Newsgroup: it.lavoro.professioni.webmaster
Titolo: Piccola statistica delle password usate

Incredibile quanto sia superficiale la scelta delle 
password nelle iscrizioni a siti web. I dati provengono 
dal mio sito rivolto al pubblico italiano con community 
e newsletter.
Parole di senso compiuto (circa un utente su 4) si 
sprecano.
Anche i nomi propri (un utente su 20) ricorrono. E non 
ho voluto conteggiare password come ad esempio "mario7".
Ma c'è di peggio. Un utente su 30 usa come password lo 
stesso nome utente.
Numeri che non aprono bensì spalancano le porte ad 
attacchi.

iudo ha scritto:

Domanda cattiva: come fai a sapere le password della tua utenza?


Come amministratore può avere accesso alle password, o comunque se non 
proprio alle password all'account medesimo dell'utente.
In ogni caso il problema non è conoscere o meno la password ma il modo e la 
forma con cui queste informazioni vengono trattate.
Conoscere la password e mantenerla riservata PER UN AMMINISTRATORE non 
costituisce una violazione della privacy per l'utente; diffondere invece 
l'informazione contro la volontà dell'utente invece si.

 Come amministratore può avere accesso alle password, o comunque se non 
Se salvasse solo l'hash delle password sarebbe molto meglio per tutti...
Mi meraviglia e rattrista sapere che ancora molta gente che non lo fa :(
Saluti,
Matteo


Non è colpa della gente, ma di chi scrive il codice, infondo basta solo una 
riga... di codice nel caso del php, nulla di più complicato. 

 password nelle iscrizioni a siti web.
Non è incredibile ed è un discorso vecchio di decine di anni, almeno 
quanto i vari jacktheripper del caso.
Piuttosto tu vedi le password degli utenti del sito in chiaro?

forma con cui queste informazioni vengono trattate.
Diciamo che se la password l'amministratore non ce l'ha, allora non puo'
diffonderla neanche volendo. Se invece ce l'ha, un incidente, un guasto,
una tremenda inondazione, le cavallette... puo' succedere di tutto.
Molto meglio archiviare l'hash, meglio ancora se "salato".
Per quanto riguarda la verifica esistono appositi tool tipo JtR, con cui
uno puo' verificare le password avendo hash e secret.
In fase di immissione si puo' dotarsi d'un vocabolario piu' nomi propri,
e dire: "Se la password, una volta tolti i caratteri non alfabetici, sta
nel database, e' vuota, o e' il nome utente; o tale e' la password messa
al contrario; allora e' bene chiedere (gentilmente) all'utente, 'Please,
me la scegli una password migliore'?". Si puo' farlo anche con AJAX mano
a mano che la scrive.
Certo, cosi' viene considerata doppiamente insicura "L3e.o1n4a1r5d9o", e
magari l'utente obietta, ma magari con un filtro regexp piu' furbo...
Leonardo
-- 
IN NO EVENT SHALL MICROSOFT [] BE LIABLE FOR [] FAILURE TO MEET ANY DUTY
INCLUDING OF GOOD FAITH OR OF REASONABLE CARE, FOR NEGLIGENCE [] EVEN IN
THE EVENT OF [] BREACH OF CONTRACT OR BREACH OF WARRANTY OF MICROSOFT...
                              -- EULA di Windows Media VCM 9, articolo 8


quoto

 Mi meraviglia e rattrista sapere che ancora molta gente che non lo fa :(
  Domanda da inesperto, e mi scuso per l'OT su un NG "professioni": ma
se salva solo l'hash puo' poi in qualche modo recuperare la passoword in
caso di dimenticanza da parte dell'utente?
  Se, come credo, non e' cosi', non puoi piu' fornire il servizio di
recupero password che e' assai diffuso in rete... pericoloso pure quello
(e ovviabile in mille modi piu' sicuri, lo so) ma tanto tanto gradito
dagli utenti. ;-)
  Un saluto, sperando di non aver sparato bischerate! :-)
-- 
Gianfranco Bertozzi
http://www.locandamilu.it
Linux User #183585

 dagli utenti. ;-)
E infatti non si recupera la password ma, una  volta passata la 
procedura atta a stabilire che tu sei tu, viene (di solito) generata una 
nuova password.

recupero password che e' assai diffuso in rete...
Guarda bene: quello che e' diffuso in rete e' il servizio di RIPRISTINO
password, ovvero non ti dice la password buona ma ti consente di rifare
la password da zero.
Io come abitudine quando creo un account ci metto una password schifida
e poi dico di essermela dimenticata, e guardo cosa succede. Se mi manda
la password originale, mi so regolare.
Leonardo (ok, ok, la verita' e' che me la scordo davvero <grin>)


 Leonardo (ok, ok, la verita' e' che me la scordo davvero <grin>)
Fai cosi': inventi una password facilmente memorizzabile ("pippo" e'
ottima, te la consiglio caldamente) e usi sempre quella! ;-p
  Saluti, :-)


Gianfranco ha scritto:

Infatti mi chiedo: è più sicuro utilizzare la stessa password (o le 
stesse due-tre) per tutti i servizi, o utilizzarne sempre una diversa?
Nel primo caso è più facile ricordarle, ma anche più facile andare 
incontro a grane nel caso qualcuno arrivasse a conoscerla.
Nel secondo caso è difficile mandarle a mente tutte, per cui si finisce 
per scriverle da qualche parte... con il rischio che finiscano in mani 
estranee.
Voi come vi regolate? :-)
m.
-- 
"La legge, in Italia, è come l'onore delle puttane"
(Curzio Malaparte)

forte? =8-/
Beh, quando inserisco dati in quei siti, tengo presente che - se piove
di quel che tuona - quei dati potrebbero andare in giro.
Ergo, inserisco solo quei dati che, se vanno in giro, poco male.
Leonardo


Voi come vi regolate? :-)
Tengo tutte le password, ognuna diversa dalle altre, in un Palm. Del
quale ho vari backup (criptati con AES) in posti diversi, usando una
master password che non uso per nient'altro.
In realta' le cinque-sei password usate comunemente me le ricordo di
mio, senza bisogno di ricorrere all'aiutino.
I disastri succedono quando mi dimentico di aggiornare il Palm :-)
Leonardo


 Domanda cattiva: come fai a sapere le password della tua utenza?
certe cose puoi anche vederle con una query, un count ed un like...
senza andare troppo nei dettagli :)
-- 
Giacomo
  np: (Foobar is not active ;-)

senza andare troppo nei dettagli :)
	SELECT 
users.name
, dictionary.clear_text
		FROM users JOIN dictionary
		WHERE users.password = dictionary.cooked_hash;
...ovviamente, questo prende solo le password *veramente* idiote; a
posteriori, e su un sistema messo benino, non mi pare si possa fare
molto altro.
Gia' cosi' comunque e' un lavoraccio.
Per pochi utenti e su un sistema configurato male (per es., bisogna
salare un archivio - BTDTGTT) si puo' cercare l'MD5. Incompleto, ma
chissa'.
http://www.md5oogle.com/decrypt.php?input=0c88028bf3aa6a6a143ed846f2be1ea4&meta=01
Nel caso, ho una tabella di codici MD5 insicuri da qualche parte, a
patto di ritrovarla.


 stesse due-tre) per tutti i servizi, o utilizzarne sempre una diversa?
  Ovviamente la seconda. Io pero' pratico una variante della prima: per
le questioni importanti ho tre o quattro password e uso sempre quelle.
Ogni tanto aggiorno tutto con password nuove e vado avanti cosi'.
  Saluti,
-- 
Gianfranco Bertozzi
Linux User #183585

 di quel che tuona - quei dati potrebbero andare in giro.
  Capisco. La questione della privacy personale non mi interessa perche'
non ci lascio mai nulla di importante. Ma da quel che ricordo, Aruba e'
di quelli che ti mandano la password via mail.... non e' che abbia cose
stratosferiche ma qualche sitarello ce l'ho messo e mi trovo bene.
  Tu come ti comporti in questi casi? Si puo' continuare a lavorarci o
e' decisamente meglio cambiare hosting?
  Grazie delle risposte. E un saluto svelto,


  Tu come ti comporti in questi casi?
Uso password davvero random, generate da SplashID per Palm. Su siti di
cui mi fido di piu', impiego password un po' piu' facili da ricordare,
anche se sono un po' meno sicure; tanto, a forza bruta non si trovano,
se mi sniffano la connessione trovano sia quelle sicure che quelle non
sicure. Cosi' se uno riesce a mettere le mani sul DB e recupera quella
password, non gli dice niente sulle altre password che potrei usare...
viceversa, se uno vedesse che uso "crichton", potrebbe pensare di fare
brute force su un altro mio account provando da "asimov" a "zelazny".
Oppure, sui siti poco sicuri, di cui non mi frega niente e dove non e'
controllata la mia identita', uso "puppa". Tanto, su un sito cosi' che
magari manco conosco, chiunque puo' CREARE un account nuovo con i miei
dati e dire d'essere me, quindi non mi cambia niente.


 
Sebbene non sia un programmatore so che ci sono molti modi più o meno 
facili per ricavare le password, ma la mia domanda era più "filosofica". :)
Chi ha aperto la discussione si lamentava della semplicità delle 
password dei suoi utenti, mentre per me è ben più grave che un 
professionista non implementi tutte le soluzioni in grado di impedire la 
divulgazione (compreso all'admin) di tali informazioni.

 all'admin) di tali informazioni.
sì sì certo
io rispondevo, se non ho cannato il reply, al fatto di "come fai a 
conoscere le pass..." etc
Pur sapendo bene che tenerle in chiaro non sia il miglior modo di 
lavorare (ma è cmq un modo con pregi e difetti) la mia risposta voleva 
semplicemente far notare che non sarebbe nemmeno necessario accedere al 
campo password per scoprire statistiche come quelle dette da iudo.
-- 
Giacomo
  np: Counting Crows - Los Angeles