Newsgroup: it.comp.sicurezza.crittografia
Titolo: Re: Password semplici o complesse?

utili post in merito (ma non ricordo dove).
Il motivo per cui non ho pensato subito a un gruppo di crittografia è che
secondo me la questione non riguarda solo la sicurezza intrinseca della pwd
di fronte a un attacco, ma anche e soprattutto la psicologia degli utenti,
che non riuscendo a ricordare la prima pwd la scriveranno su un post-it,
lasciato magari in  vista sul monitor, mentre con la seconda pwd, più
memorizzabile, c'è forse qualche speranza non lo facciano!
Comunque, sentiamo che ne pensano i crittografi :)
Nel merito, poi, quel paio di programmi per testare la sicurezza di pwd che
ho provato a usare non mi sembra che potessero trarre vantaggio dal fatto
che la pwd contiene al suo interno pezzi di parola come "caval" o il nome
"john", a parità di lunghezza e di ventaglio di caratteri (con lettere,
numeri e punteggiatura in entrambi i casi). 
Però magari ci sono altri prog che lo fanno!
Xpost e Fup2 it.comp.sicurezza.crittografia
 
-- 
enrico /dot/ c /at\ people \dot\

  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (ArchLinux /Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it

 dizionario.
Non necessariamente vero, semplicemente diminuisce la quantitàò di
entropia "per bit".
Una password composta da uan frase italiana (perfino di senso compiuto!)
di 100 caratteri è probabilmente sicura quanto una password "casuale" da
15 caratteri, nonostante sia composta da parole comuni ed abbia perfino
un significato "semantico" che le collega tra loro.
Per una password che deve essere ricordata in modo sicuro e digitata
poche volte, in effeti, IMHO una frase italiana molto lunga è la cosa
migliore...
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkHdLioACgkQaJiCLMjyUvuwQQCgzgI6VJzAuBikr/Xyk8X072wM
eewAoIS+q7OYSS1adoCllbfr8birB8oG
=RALb
-----END PGP SIGNATURE-----

 di aver dato un minimo di spunto per la discussione. A piu` tardi. :)
Grazie della risposta! :)

 di aver dato un minimo di spunto per la discussione. A piu` tardi. :)
Grazie della risposta! :)

 Come fa a sapere che metodo uso dei tanti teoricamente possibili?
Occhio a utilizzare la segretezza come se fosse sicurezza: lo sa e
basta. [1]
O meglio: devi dare per assunto che lo sappia.
Quindi la sicurezza di quella chiave di 15 caratteri non sarebbe più
6^15 ma semplicemente il numero di poemi esistenti al mondo (sicuramente
un numero IMMENSAMENTE minore di 6^15).
[1] 
http://it.wikipedia.org/wiki/Principio_di_Kerckhoffs
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkHdRTIACgkQaJiCLMjyUvs0PACg3bxC2W8BhqBkR0bg7+UoO8gK
kLUAoIB2CBdrAnC+QlDRfy8/fddt+Wn3
=3nem
-----END PGP SIGNATURE-----

 Lapo


 Grazie della risposta! :)
Grazie a te.


 Io sono a mio agio con le password casuali. :)
A imparare la mia attuale "password sicura" ho impiegato oltre 2
settimane... e non è neppure così lunga (poco meno di 15 caratteri
alfanumerici) T_T
Le lavorassi in un ambiente che costringe a cambiare una password al
mese, magari diversa dalle ultime 5, temo che io stesso ricadrei al
"monitor"...
No, beh, scherzo, ma comunque mi segnerei la password da qualche parte
(probabilmente un file crittato sul palmare).
Questo per dire che secondo me costringere le persone a cambiare
password troppo spesso è decisamente dannoso.
MOLTO melgio una password casuale di 15 caratteri da cambiare una volta
l'anno che la stessa, ma da cambiare una volta al mese... IMHO.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkHdk0kACgkQaJiCLMjyUvut3gCeN1INgQTf5OZOrIoLbQldkKm6
JeAAoIgiw3go1ud7OR+hTmFyuVKw6aEt
=ffjC
-----END PGP SIGNATURE-----

 l'anno che la stessa, ma da cambiare una volta al mese... IMHO.
Mi trovi d'accordo. In un ambiente lavorativo normale sarebbe visto come 
una pretesa assurda dalla maggiorparte dei dipendenti.


 migliore...
Una volta ho provato un sito che generava pwd casuali ma in forma
umanamente leggibile/pronunciabile. Certo, questo vuol anche dire ridurre
il numero di combinazioni, perň rende piů "digeribili", memorizzabili e
utilizzabili  senza averle vicino per iscritto, le pwd lunghe, quindi
consente di impiegare una maggiore lunghezza, credo :)

 l'anno che la stessa, ma da cambiare una volta al mese... IMHO.
Pare sensato :)

 di complesse! 
Arghhhh!!! (Senza parole ;)).


 consente di impiegare una maggiore lunghezza, credo :)
Certo, più "struttura" hanno sotto meno sono "dense" di entropia, ma
allungandole un po' possono essere altrettanto valide!
Tieni solo conto che mentre una buona password "casuale" alfanumerica
con qualche simbolo speciale può tranquillamente contenere 6 bit di
entropia per byten (e quidni occupare 21 caratteri per una OTTIMA
password a 128 bit), le frasi di una lingua viva contengono in genere
circa 2 bit per byte (e servirebbe quindi una frase di oltre 64 caratteri).
Al gusto personale quale delle due si preferisce ricordare...
Dipende, ovviamente, anche da quanto spesso va scritta... a riguardo mi
piacerebbe che Mozilla si ricordasse la mia master password più a lungo
*ma* se la scordasse all'istante all'attivazione dello screen-saver
oppure alla pressione di windows-L (comando di cambio utente, in
WindowsXP)... attualmente tengo la password a 15 minuti di scadenza, ma
questo significa che devo scriverla decine e decine di volte al giorno...
Senza contare che quel maledetto di enigmail si tiene la SUA in cache e
non ha il modo di tenerla nel PSM... =((((
Uff uff....
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkHePDoACgkQaJiCLMjyUvtx2ACfYZE8qv+2vllVxp+B4WDQr1I9
DFYAoOWinS7eTZZXGjgQNKT2TUdd8zmR
=5Vtf
-----END PGP SIGNATURE-----

 di complesse! 
Beh io le faccio ricordare proprio a Mozilla, la maggior parte delle mie
password.
Però *ho* impostato la master password, con *la* password lunga che so
bene a memoria 0=)
Tra l'altro *finalmente* è possibile (digitando di nuovo la master
password) leggere le password ricordate da Mozilla, cosa che mi evita di
doverle scrivere *anche* nel file AxCrypt che uso per tutte "le altre
password" non web.
In realtà, quindi, per l'utente sgamato UNA buona password basta sempre
e comunque... e secondo me è la soluzione migliore, almeno per quelli,
come me, che hanno pessima memoria!
Una sono certo di ricordarla, anche lunga.. di più semplicemente non potrei.
Purtroppo però se si parla di "sicurezza sul lavoro" non si parla
dell'utente sgamato... si parla proprio di "password sul post-it"  =(((
Alle volte, pensando a questo tipo di problematiche, mi deprimo e penso:
ma AES, ma le ricerche su MD5... a che pro? tanto l'anello debole è
l'uomo... ed è così *schifosamente* più debole di qualsiasi cosa di cui
i crittografi si "preoccupano"... =(
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkHeO08ACgkQaJiCLMjyUvv+MQCgyqNPtA2njaFX+60Yh5poiCW2
5v4AoIzO5zDh4DoqNkYVppQ+Xd2z2F8k
=6bC/
-----END PGP SIGNATURE-----

 i crittografi si "preoccupano"... =(
Non solo. 
Portatili affidati da una nota azienda ai dipendenti. 
Pwd amministratore Win = Nome del computer. 
Nome Amministratore Win = Nome del computer (quasi uguale) 

 Nome Amministratore Win = Nome del computer (quasi uguale) 
Non c'è limite al peggio, eh? ^_^
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkHfFnkACgkQaJiCLMjyUvvx2ACghTeIqtBwZezvIhXzLzE0bUXQ
HqkAn0dtrCp5pvrMqS5AfLZnCVW+oDxB
=qyWD
-----END PGP SIGNATURE-----