Newsgroup: it.comp.macintosh
Titolo: [OT] Perchè Google Mail vuole il mio numero di cellulare?

Mi sono un po' rotto le scatole che periodicamente Gmail mi chieda il
numero di cellulare, quando accedo dal web.
 
Dicono che si fanno rubare la password a centinaia al girono, male, se
si fanno rubare la mia password perchè dovrei dar oro il mio niumero di
cellulare?
 
Comincio a pensare che quelli di Google siano dei farabutti e i loro
servizi pseudo-gratuiti siano i più costosi del mondo: pagamento in dati
personali.
 
Sono diventato paranoico? c'è qualcosa sotto? o stanno solo esagerando?
 
-- 
Pio Alt

 Sono diventato paranoico? c'è qualcosa sotto? o stanno solo esagerando?
 
Secondo me alla Google inc. stanno soffrendo un pò per l'espansione
dell'azienda, cominci a vedere reparti che chiaramente non parlano con
altri e portano avanti progetti un pelo ridondanti.
Stile Microsoft, insomma.
-- 
Quando c'era lui i treni partivano in orario
Quando c'era lui ci deportavano in orario

 Dicono che si fanno rubare la password a centinaia al girono
Non dicono questo. E' che i fessi scrivono la pwd sul post-it che poi 
attaccano al monitor dell'ufficio, coram populo.
Basta fornire un account di backup e la richiesta non te la fa piu'.
 
Si saranno rotti i maroni di migliaia di scemi che scrivono a google per 
recuperare la propria password.

 Basta fornire un account di backup e la richiesta non te la fa piu'.
 
Lo pensavo anch'io :) invece si ostina... dopo qualche tempo ci prova
ancora :)
 
-- 
Pio Alt

Pio Alt . ha pensato forte:
 

A me non lo fa. In compenso chiede conferma dell'account, che poi e' lo 
stesso in ultima analisi. 
C'e' in giro troppa gente cogliona che si perde le pwd.

 C'e' in giro troppa gente cogliona che si perde le pwd.
 
Mi viene da porre un quesito generico, mi attacco qui perchè sarebbe OT
pure lui.
 
Una password:          ajr174+-=awd732_|\
è più sicura di:       casapanevinotavolo
?
 
Mi sono sempre chiesto, visto che per il computer un carattere vale
l'altro, è solo un codice ASCI... ¿come può una stringa di enne
caratteri strampalati essere scoperta più difficilmente di un'altra
stringa, sempre di enne caratteri, che hanno casualmente un senso
compito in italiano.
 
Mi piacerebbe saperlo da un punto di vista logico e tecnico, se qualcuno
ha la pazienza di spiegarmelo in termini semplici.
 
Grazie
-- 
Pio Alt

 casapanevinotavolo ?
Certo. Ci sono vari parametri da valutare in una pwd, usa google per i 
dettagli.
Il problema e' che la prima non te la ricordi e la scrivi sul post-it.

 č piů sicura di:       casapanevinotavolo
 
Ma non di:
 
nellacasadipanepioveilvinodaltavolo
 
-- 
-riko
http://www.enrico-franchi.org/
 
http://rik0-techtemple.blogspot.com/
 


 
-- 
Pio Alt


Credo, e sottolineo credo, che la seconda sia più debole proprio perché
mnemonica -> più probabile che sia utilizzata da una persona. Su questo
ragionamento i sistemi che tentano di forzare le pwd cominciano prima da
combinazioni di senso compiuto. 
 
-- 
P@olo

 wrote:

Il solito, immenso XKCD: 
http://xkcd.com/936/
 
 
-- 
Qui chi non terrorizza si ammala di terrore

 combinazioni di senso compiuto.
 
Quindi bisognerebbe capire come cercano di trovarle per capire come
renderle più sicure.
In questo modo però è un continuo rincorrersi, se tutti consigliano di
usare una certa "sintassi" per scrivere una pw, anche quelli che le
cercano useranno la stessa tattica e quindi si torna da capo...
 
Poi c'è la questione "grandi numeri" e quindi probabilità che una pw sia
stupida, per cui si comincia da quelle...
 
-- 
Pio Alt
 
La password sicura di Bill Gates?  Windows2000  e una stringa mista
lettere e numeri, è abbastanza lunga ed è una espressione a cui nessuno
penserebbe perchè tutti la hanno rimossa dalla memoria :)

 Il solito, immenso XKCD: 
http://xkcd.com/936/
 
 
Ti ringrazio ma questo non riesco a leggerlo neppure con Google Traslator :)
 
-- 
Pio Alt

 Il solito, immenso XKCD: 
http://xkcd.com/936/
 
 
 
ah ah bellissima
 
 
-- 
La nuova hypertext fiction di Mauro Mazzetti: 
http://goo.gl/6V2eL
 

 wrote:

e qualcuno dalle tue parti che te lo traduca?


 Mi piacerebbe avere dei punti fermi e magari anche capire il motivo.
 
correct horse battery staple


 cercano useranno la stessa tattica e quindi si torna da capo...
 
Infatti. Si va solo di matematica.


 compito in italiano.
 
Statisticamente le persone usano pw semplici e di solito si inizia con
gli attacchi a dizionario ;)
 
G.

 correct horse battery staple
 
ehi, come fai a conoscere la mia password?


 ehi, come fai a conoscere la mia password?
 
m3 c4n5!


 Infatti. Si va solo di matematica.
 
Perņ se si va solo di matematica una stringa dovrebbe vale l'altra...
ancora non mi č chiaro...
 
-- 
Pio Alt


Questo mi pare di averlo assodato, chi cerca di trovare le password usa
delle priorità nell'"algoritmo" che crea le combinazioni, le quali
quindi non sono casuali ma "guidate".
Resta il fatto che deve andare per tentativi. NOn la scoprirà mai al
primo tentativo.
 
A questo punto mi chiedo cosa fanno dall'altra parte per difendermi da
chi cerca la mia password.
Cioè prendiamo Google, quanti tentativi permette di fare in un minuto e
quanti di seguito prima di bloccare per un giorno o una settimana l'account?
 
Siccome chi cerca pw deve provare molte volte, molte combinazioni,
basterebbero dei limiti temporali per impedire di fatto la cosa, se si
possono fare 10 tentativi sbagliati al giorno, ci vorranno secoli per
scoprire la pw: "chimitrovaebravo" anche se non è molto sicura.
 
Per una persona non è possibile sbagliare 10 volte di seguito, mentre
per un algoritmo di ricerca 10 è un numero piccolissimo di tentativi...
 
-- 
Pio Alt

 Mi piacerebbe avere dei punti fermi e magari anche capire il motivo.
 
Entropia.
 
Essenzialmente se hai un alfabeto di k caratteri, hai k^n stringhe di n
caratteri.
 
Puoi facilmente verificare che fare crescere n e' piu' efficacie che
fare crescere k.
 
Ovviamente se la pwd e' corta, conviene usare tutto l'alfabeto in modo
da fare crescere "almeno" k. Ma se puoi fare crescere n, non c'e' molto
altro da fare. E questo andrebbe anche bene...
 
In effetti pero' c'e' un'altro aspetto da considerare. Il conto di cui
sopra e', essenzialmente fallato. Se scegli una stringa "mnemonica", per
qualche valore di mnemonico, stai restringendo lo spazio delle ipotesi
e, di fatto, diminuisci la forza della password (ammesso che chi la
cerca appunto la cerchi fra le mnemoniche).
 
In pratica se scegli alcune parole concatentate (o fai sostituzioni
prevedibili sulle stesse, non stai davvero scegliendo nello spazio delle
stringhe di n lettere su un alfabeto di k elementi, stai facendo una
cosa diversa).
 
Il giochino continua a funzionare per un altro motivo. Se tu prendi 6
parole italiane, per dire, hai di fatto una password scelta su uno
spazio di combinazioni k^6. Solo che questa volta k e' grosso almeno
5000. Quindi sei passato da prendere una stringa di 10 elementi da un
alfabeto di una settantina di caratteri (~ 2.82475249e18 possibilita')
ad una stringa di 6 elementi da un alfabeto di 5000 caratteri (~
1.5625e22). E, attenzione, nel caso dei 10 elementi il problema e' che
probabilmente tu non stai davvero scegliendo a caso su *tutto* lo
spazio. Quindi di fatto il tutto e' piu' debole.
 
 
http://xkcd.com/936/
 


 ancora non mi è chiaro...
 
Questo se lo spazio delle prove e' sufficientemente grosso.



 
Col numero di cellulare sei perfettamente profilabile e rintracciabile 
anche fisicamente, come ben sa la polizia.
 
Ti sei mai chiesto perchè ti chiedono la carta di identità quando ti 
danno un numero ?
 

 prevedibili sulle stesse,
 
Intendi per esempio che:
non6furbo
vale tanto quanto
nonseifurbo
? :)
 
-- 
Pio Alt


Verissimo, non ci avevo pensato, anche se qualcosa avevo annusato :) ci
può sempre essere il cretino che pubblica in rete la sua rubrica con il
mio numero o nome mentre io su Gmail posso anche usare uno pseudonimo...
 
Inoltre il numero di telefono non lo si cambia mica spesso...
 
E' l'elemento di valore di Facebook: se non ti iscrivi col nome vero e
la foto vera non funziona e quindi FB ha una anagrafe civile più fornita
degli stati "sovrani"...
 
-- 
Pio Alt

 vale 5000^8
 
Occhio che stai dando per scontato di scegliere per la tua password 
solo tra le parole contenute in un dizionario conoscito dal tuo 
attaccante, se tu usi una parole in dialetto o leggermente storipiata e 
che comunque non e` presente nel dizionario del tuo attaccante il tuo 
ragionamento non e` piu` valido, e si ricade in un attacco brute force.
 
Penso anche che se si prende in cosiderazione i programmi che per 
scoprire le password usano parole dal dizionario si debba anche 
calcolare che le parole devono essere messe in un ordine ben preciso.
Chi cerca di scoprire la password non sa neanche di quanti caratteri e` 
composta, quante parole ? quanti caratteri per parola ? di quali lingua 
o lingue ?
Gli attacchi che usano il dizionario funzionano quasi esclusivamente se 
la password e` composta di una sola parola o comunque se e` stremamente 
semplice.
Se io ho una password composta di 8 parole, magari intervallate da 
numeri, l'unico modo per scoprirla sara` con un attacco brute force, 
non certo con uno che usa un dizionario.
 
In pratica andrabbe calcolato se in un attacco brute force una password 
del tipo sono-andato_in3almercato sia piu` rubusta di una composta di 
23 caratterialfanumeri e segni di interpunzione casuali, tenendo conte 
che chi cerca di attaccarti non puo` sapere a priori come e` composta.
 
 
-- 
Per rispondere togliere alfa e beta
 

 nonseifurbo
 
Per un po' si suggerivano di fare sostituzioni di lettere "simili" con
numeri su parole di dizionari. Per esempio h0m3 invece di home.
Ovviamente un po' migliora, ma non di molto. :)


 non certo con uno che usa un dizionario.
 
Dipende.
 
 
Credo che il problema e' che noi siamo svantaggiati: a chi attacca basta
prendere "un computer" su tanti in rete. Noi invece dobbiamo difenderci
da *tutti* quelli che attaccano.
 
Per questo le password deboli ogni tanto sono bucate. 
 
Se vogliono "proprio il tuo account" cercheranno anche altri mezzi
basati sulla conoscenza che tu sei tu. In realta' non e' esattamente
banale. Pero'...


 Ovviamente un po' migliora, ma non di molto. :)
 
E' una questione ingarbugliata...
Se per esempio si usa una app che conserva le pw, sarebbe possibile
usare pw di 128 caratteri generati casualmente.
 
Però il generatore di casualità potrebbe venir fornito da qualcuno che
cerca pw :) di quelli sul web mi fiderei poco, se volessi avere un
repertorio di pw vere metterei in piedi un servizio così.
 
Inoltre se le pw sono sincronizzate in rete, chi ha il server conosce
tutte le pw e potrebbe pure dire che sono criptate ma non essere vero :)
 
E naturalmente per usare il portachiavi bisogna pur avere una pw, che
sia abbastanza breve e facile da poter essere digitata 10 volte al
giorno e ricordata... così se viene scoperta quella si è perso tutto...
 
Chi ha a disposizione un gran numero di pw, come google per esempio,
potrebbe fare delle statistiche e vedere quali sono le più usate,
probabilmente saranno le più usate anche altrove :)
 
La sicurezza informatica può essere solo un processo continuo, non uno
stato. Una evoluzione di metodo e un continuo cambiamento di pw...
 
Anche se il pin del mio bancomat viene cambiato ogni 5 anni ed è solo un
numero di 5 cifre... Il numero di tessera compare su molti tagliandi
volanti e pare sia banale confezionare una tessera magnetica...
 
-- 
Pio Alt


Provino con questa:
An_infinite_number_of_monkeys_at_an_infinite_number_of_keyboards_could_produce 
_something_like_Usenet
 

 1.5625e22).
 
C'è qualcosa che mi stona: ovviamente i numeri sono quelli, date le
premesse, ma quello che non viene evidenziato qui è che i 6 elementi
(parole) sono di fatto composti di lettere (o meglio caratteri ASCII).
Quindi in realtà tu stai confrontando una combinazione di 10 ASCII con una
combinazione di 6 parole che a loro volta sono combinazione di caratteri
ASCII. Per forza la seconda soluzione è più robusta: è più lunga!!!!
 
-- 
P@olo

 vale 5000^8
 
In cui i 5000 elementi sono a loro volta frutto di 256^n in cui n è la
lunghezza della parola. 
Secondo me resta un solo elemento: più è lunga la pwd più è sicura. Punto. 
 
Se concateni tanti caratteri ASCII a caso quanti quelli che compongono 8
parole concatenate, nella peggiore delle ipotesi fai pari. Ma credo che,
non essendoci logica tu abbia maggior sicurezza. 
 
-- 
P@olo

 banale. Pero'...
 
Giusto ma qui siamo gia` ben altro livello.
Come diceva un esperto di sicurezza il modo piu` semplice per conoscere 
una password e chiedarla direttamente alla persona che la conosce.
 
Detto questo il ragionamento di partenza partiva da un presupposto 
diverso e cioe` che una password di 6 o 8 caratteri complessa da 
memorizzare era in ralta` meno sicura di una formata da 4 o 5 parole 
ogniuna delle quali piutttosto comune.
 
 
-- 
Riccardo Saettone



Si mai stai dando per scontato che chi attacchi usi un programma cosi` 
complesso da poter trarre vantaggio da questa differenza.
Ora forse se sei NSA o MI5 o MI6 hai una cosa del genere, ma tutti gli altri ?
 
La mia domanda e` esiste un modo per l'attacante di sapere se la tua 
password e fatta di aparole di senso compiuto piuttosto che di 
caratteri alfanumerici ?
 
Non dimentichiamci che alla base di tutto questo discorso sta l'ipotesi 
che usando uan password fatta di parle piuttosto che di caratteri senza 
senso si possa avera una password formata da piu` caratteri diciamo 20 
o 30 per quella di parole contro le 8 o 10 al massimo per quella senza 
senso.



Ah, ok, se usiamo questo presupposto (pwd più lunga) sono pienamente
d'accordo con te!!!
Era quello che stavo dicendo: più lunga -> maggiore sicurezza
indipendentemente dal senso compiuto o meno. 
Se mi dici che usi parole perché ti consente di aumentare la lunghezza
allora ok. 
 
-- 
P@olo

 banale. Pero'...
 
Non so quanto affidavile ma su wikipedia...si trova questo:
http://it.wikipedia.org/wiki/Free_Kevin
 
 
Se non sbaglio leggevo su di una rivista di quelle in edicola, anni fa,  di
una campagna per Free Kevin, e di come a volte si possano ottenere 
informazioni
con mezzi molto meno impressionanti come il rovistare nel bidone della 
carta:
ovviamente imagino sia illegale, per privacy ecc. 
 
 

 ogniuna delle quali piutttosto comune.
 
Il che e' vero, per il motivo da me spiegato.


 
http://it.wikipedia.org/wiki/Free_Kevin
 
 
Va la, KM e' un simbolo. :)
Non e' niente di che. Comunque sono d'accordos sul fatto che le
informazioni si possono ottenere in tanti modi. La gente e' stupida.


 probabilmente saranno le più usate anche altrove :)
 
Google non ha pw.


 ASCII. Per forza la seconda soluzione è più robusta: è più lunga!!!!
 
Non hai colto il discorso, mi sa.


 non essendoci logica tu abbia maggior sicurezza. 
 
Ho gia' spiegato come funziona, non lo so fare meglio.
Per il resto, ovviamente siamo tutti d'accordo: se riesci a ricordarti
una pwd molto lunga, fatta di caratteri casuali, etc etc etc. Bravo.
 
XKCD fa un po' di matematica e ti spiega perche' 5 parole inglesi vanno
bene. 


 una pwd molto lunga, fatta di caratteri casuali, etc etc etc. Bravo.
 
Alla fine credo che siamo d'accordo. Solo non è banale spiegare certi
concetti qui e e iscritto. 
 
 
-- 
P@olo

 infinitamente maggiori.
 
No. Solo maggiori.


 degli stati "sovrani"...
 
EH? veramente su FB praticamente ogni profilo ne ha almeno uno doppio
fasullo :)
 
G.

 per un algoritmo di ricerca 10 è un numero piccolissimo di tentativi...
 
Vero.
Ragion per cui l'uso di bot per andarsi a prendere le pw direttamente
sul PC dell'utente è il metodo ormai più usato.
 
ciao
G.

 sul PC dell'utente è il metodo ormai più usato.
 
Quindi scervellarsi per scrivere e ricordare una pw "sicura" può essere
fatica sprecata...
 
Ancora non mi spiego perchè le poste italiane non fermassero il phishing
quotidiano sulla casella di posta elettronica delle 
poste.it
 fatto
contro il conto corrente delle poste stesse...
 
La sicurezza in rete mi sembra una cosa piuttosto labile, tutto
considerato. Non sono un tecnico e quindi capisco dal punto di vista
"generale" ma mi sembra che tutto dovrebbe dipendere da un sistema
pensato in modo sicuro e non con delle accortezze continue e
indeterminate che deve seguire il singolo utente (per definizione non
esperto).
 
Quando seppi del sistema a doppia chiave pubblica e privata mi sembrò
ottimo ma anche qui c'è una chiave da conservare gelosamente che in
pratica ha bisogno di un hardware contenitore per quanto è lunga e
complicata... e soprattutto se viene sottratta si hanno ripercussioni
incontrollate sul pregresso e su parte del futuro...
Poi serve una pw di riserva per recuperare...
Anche così non si ha sicurezza assoluta e si ha scarsa comodità d'uso.
 
Per quanto ne so resta solo il sistema biometrico ma sinceramente
preferirei che mi svuotassero il conto delle poste (che non ho)
piuttosto di vedermi sottratto un dito per accedere con le impronte
digitali :)
 
-- 
Pio Alt