Newsgroup: it.comp.macintosh
Titolo: [OT] Verifica della sicurezza password

Ricordo una discussione di qualche mese fa in cui (non ricordo chi)
aveva scritto che qualunque testo che puň essere facilmente ricordato
puň anche essere facilmente craccato con dei software... Rainbow mi pare
che fosse il nome. Cosě quando ho letto di questa pagina di test ho
pensato di fare delle prove.
 
https://blog.kaspersky.it/password-check/
 
 
Ho fatto diversi test utilizzando alcune mie password modificate (ad
esempio cambiando solo i numeri), e il risultato č stato molto
rassicurante anche se le basi di quelle password sono nomi di personaggi
letterari.
Con un normale computer ci vorrebbero dai 700 ai 1000 anni, con il piů
potente elaboratore al mondo 10 giorni.
 
Ho provato anche a creare alcune password usando strofe di poesie o
canzoni (in entrambi i casi si tratta di testi "strani" ma che ricordo
bene), ed č andata ancora meglio. Col supercomputer ci vorrebbero 7
mesi.
 
Ora sarei curioso di fare gli stessi test con quei software usati per
craccare le password.


a me piacerebbe sapere come fanno a calcolare il tempo...di calcolo per una data password.
 
gli ho dato in pasto un paio di password simili a quelle che uso normalemente (create a random da KeePassX):
una mi ha detto che sono parole molto usate, mi ha dato cmq 10000+ secoli con un home computer (72 secoli con il supercomputer), un'altra mi ha dato 1000+ secoli con il supercomuper.
mah.


Questa: rv57riV (ho premuto a caso i tasti sulla tastiera), mi da 3 mesi con un macbook 2012, sono 7 caratteri. Ho in giro un soft per craccare password che usa la scheda grafica, password di 7 caratteri il mio pc (samsung i5) ci mette circa 12 ore a passarle tutte (poi dipende anche dall'algoritmo di crittaggio eh).
Fai tu...

 dall'algoritmo di crittaggio eh). Fai tu...
 
Quelle che uso (personaggi letterari, strofe di poesie o canzoni) sono
più lunghe, almeno 15 caratteri. Dipenderà anche da questo.
 
L'unica volta che un mio indirizzo email stato craccato per scopi di
spam (era @
tin.it
, poi l'ho recuperato inviando la documentazione) avevo
ancora la primissima password impostata una quindicina d'anni fa,
proprio di 7 caratteri.
E' successo lo stesso recentemente a una amica, che però ingenuamente
aveva usato come password lo stesso nome che compare nell'indirizzo.
 
A proposito...
 
http://attivissimo.blogspot.it/2015/12/motivi-per-non-usare-la-stessa-password.html
 
 
http://attivissimo.blogspot.it/2015/07/le-password-patetiche-dei-siti-di.html
 

 più lunghe, almeno 15 caratteri. Dipenderà anche da questo.
 
Eh, come diceva mia nonna, la lunghezza conta ;)
Per il bruteforce si devono spazzolare tutte le combinazioni e quindi 
diventa un discorso esclusivamente di potenze, visto che ogni carattere ha 
256 valori possibili, ogni carattere in più moltiplica i casi precedenti.
 
In sostaza, piuttosto di una pass astrusa di 8 caratteri senza senso, è 
meglio una pass composta di testo facilmente memorizzabile, ma più lungo, 
meglio se di almeno 16 o 20 caratteri, o 36 come questa:
Iocel'hopiùlungodiquellodiTrystero;)
data per oltre 10000 secoli (infinito) anche col supercomputer.
 
-- 
Sans

 scrisse :

eh no.
c'era un esaustivo articolo su arstechnica l'anno scorso mi pare.
 
Trovato! 
http://arstechnica.com/security/2013/05/how-crackers-make-minced-meat-out-of-your-passwords/1/
 
 
(ce n'era anche un altro, ma non lo trovo...)
 
In teoria e' vero che chi l'ha piu' lungo vince, in pratica avere una password lunga, ma fatta di parole di senso compiuto (anche se con maiuscole e altra roba messa dentro "a caso") e' peggio di averne una piu' corta, ma completamente random.
Il fatto e' che esistono gli attacchi con vocabolario, con raimbow table, ecc. che riducono drasticamente il tempo necessario per questo tipo di password.
 
Inoltre gli umani sono prevedibili, cioe' non aggiungono quasi mai piu' di 3 cifre ad una password (quasi sempre all'inizio o alla fine), le maiuscole stanno sempre dove dovrebbero stare (all'inizio della parola, raramente alla fine, ancora piu' raramente nel mezzo), ecc. Questo perche' altrimenti sarebbe molto difficile ricordarsi le password: era "paSsword" o "pasSword"?
 
Ciao Jack


 
Ora che l'hai scritta sarà nella prossima versione di qualche RainbowTable :P
 
ciao!
 
Gabriele

 3 cifre...
 
Se poi a quelle combinazioni apparentemente insensate aggiungo lettere
e/o numeri che ricordo bene (ad es. data di nascita, codice fiscale,
numero di telefono, targa...), credo che possano essere considerate
sicure tanto quanto quelle random, impossibili da ricordare e che quindi
devono essere annotate da qualche parte, anche in software appositi che
però...
 
http://attivissimo.blogspot.it/2015/06/lastpass-attaccata-meglio-cambiare-le.html
 

 Ora che l'hai scritta sarà nella prossima versione di qualche RainbowTable :P
 
mi basterà cambiarla di poco ;-)
 
Iocel'hopiùlungodiquellodiTrystero;)
MD5  = E5E9498DC36547773B34AA395FBD6C01
SHA1 = C0EBE84DA74948D625E0094192A59BC8D6772759
 
Iocel'hopiùlungodiquellodiTrystero:)
MD5  = 3B85699C982C78D984A3F72779CF0CF5
SHA1 = AFC3DF963F9073A6D6EC5EE7BDB88EAD97AAF138
 
e i vari terabyte (anzi, exabyte) di RT da dizionari vanno a farsi 
benedire
 
-- 
Sans

 
http://attivissimo.blogspot.it/2015/06/lastpass-attaccata-meglio-cambiare-le.html
 
 
In generale, se per un umano e' semplice ricordarsela, per un computer e' una cazzata trovarla.
punto.
e' stato dimostrato (vedi articolo su arstechnica ad esempio), quindi inutile continuare ad arrapicarsi sugli specchi pensando di essere piu' furbi a pensare password facili da ricordare ma difficli per un computer da trovare.
Chi cracca password non lo fa per hobby, ma per fare soldi, il loro impegno e' molto piu' grande del tuo per pensare una password.
E' una gara persa in partenza, inutile gareggiare.
Per il momento l'unico modo di stare tranquilli e' o l'autenticazione a 2 fattori (password piu' codice che ti viene mandato tramite sms o simili), oppure password completamente random (che eliminano le scorciatoie di dizionari, raimbow table, ecc) di almeno 16 caratteri. E ovviamente un password manager per ricordarsele.
 
Ciao Jack

 mi basterà cambiarla di poco ;-)
 
inutile.
quante combinazioni pensi ci possano essere? 10, 20, 1000?
Quanto pensi ci metta un computer a provarle tutte e 1000? 
 
Ciao Jack

 una cazzata trovarla. punto. e' stato dimostrato...
 
Mi piacerebbe avere una dimostrazione. Ad esempio fornire un mio
indirizzo GMail e poi vedere quanto tempo ci mette un esperto a craccare
la password "ricordabile" di 
rasmu...@gmail.com
 
Per rendere più facile il lavoro dico che la password è composta da due
parole tratte da una poesia e un numero. Tutti gli elementi per me sono
molto facili da ricordare.
Vuoi provare con uno di quei software?

 Vuoi provare con uno di quei software?
 
no, non ho tempo e non sono capace (e non ho volgia di sbattermi per imparare).
 
cmq di tool e tutorial ce ne sono a bizzeffe, basta googolare "crack password".
prova tu, poi ci dici.
 
Ciao Jack

 una cazzata trovarla."
 
https://it.wikipedia.org/wiki/Onere_della_prova
 

Il giorno mercoledì 27 gennaio 2016 12:15:25 UTC+1, Trystero ha scritto:

io la dimostrazione te l'ho data: l'articolo su arstechnica.
Sei tu che non ci credi.
 
Ciao Jack


Tu però insisti a non capire che il cracking viene fatto su file non certo
provando a macchinetta ad autenticarsi dalla web interface di google, eh!
 
-- 
so long, and thanks for all the fish

 Sei tu che non ci credi.
 
Quello che trovo in quell'articolo è un po' diverso, e anche il titolo
parla di password tipo "qeadzcwrsfxv1331"
 
http://arstechnica.com/security/2013/05/how-crackers-make-minced-meat-out-of-your-passwords/1/
 
http://arstechnica.com/security/2013/03/how-i-became-a-password-cracker/
 
 
Dice che un non esperto di cracking ha violato migliaia di password
"cryptographically hashed" col metodo MD5
https://it.wikipedia.org/wiki/MD5
 
 
----------------------
Ars deputy editor and a self-admitted newbie to password cracking,
downloaded a list of more than 16,000 cryptographically hashed
passcodes. Within a few hours, he deciphered almost half of them. (…)
The list contained 16,449 passwords converted into hashes using the MD5
cryptographic hash function
(…)
For instance, hashing the password "arstechnica" with the MD5 algorithm
produces the hash c915e95033e8c69ada58eb784a98b2ed. Even minor changes
to the initial password produce completely different results;
"ArsTechnica" (with two uppercase letters) becomes
1d9a3f8172b01328de5acba20563408e after hashing. 
---------------------
 
Ma le password originali, criptate con MD5 e decriptate facilmente erano
in partenza "Terrible passwords" secondo l'hacker:
 
---------------------
"The list of "plains," as many crackers refer to deciphered hashes,
contains the usual list of commonly used passcodes that are found in
virtually every breach involving consumer websites. "123456," "1234567,"
and "password" are there, as is "letmein," "Destiny21," and
"pizzapizza." Passwords of this ilk are hopelessly weak. Despite the
additional tweaking, "p@$$word," "123456789j," "letmein1!," and
"LETMEin3" are equally awful. But sprinkled among the overused and
easily cracked passcodes in the leaked list are some that many readers
might assume are relatively secure. ":LOL1313le" is in there, as are
"Coneyisland9/," "momof3g8kids," "1368555av," "n3xtb1gth1ng,"
"qeadzcwrsfxv1331," "m27bufford," "J21.redskin," "Garrett1993*," and
"Oscar+emmy2."
-----------------------
 
La decrittazione di password criptate con MD5 si basa su liste di parole
e dizionari in tutte le lingue che si scaricano dal web con facilità:
http://www.md5this.com/tools/wordlists.html
 

 (...)

bom, a questo punto e' chiaro che non vuoi capire, un po' come quando avevi problemi con la rete dei tuoi due mac pro.
 
Quindi:
HAI RAGIONE TU. LE TUE PASSWORD SONO IMPOSSIBILI DA TROVARE. TUTTI GLI ANALISTI CRITTOGRAFICI DEL MONDO SONO IDIOTI A DIRE CHE LE UNICHE PASSWORD SICURE SONO QUELLE COMPLETAMENTE RANDOM, BASTEREBBE USARE PASSWORD COME QUELLE DI TRYSTERO PER ESSERE AL SICURO.
 
Sei contento adesso?
 
Ciao Jack

 Sei contento adesso?
 
Sono contento di aver letto un articolo interessante (grazie), che perň
non dice quello che sostenevi.

 data per oltre 10000 secoli (infinito) anche col supercomputer.
 
Ho appena riprovato nello stesso sito, inserendo combinazioni di tre
parole "nonsense" tratte da canzoni o poesie che ricordo bene, e ho
ottenuto lo stesso: 10000 secoli.
 
 
Oppure si può usare una "passphrase" di almeno 5 o 6 parole, ottenuta
col Diceware, sempre insensata ma ricordabile, invece che una "password"
 
https://it.wikipedia.org/wiki/Passphrase
 
 
http://www.taringamberini.com/it/diceware_it_IT/
 
 
https://theintercept.com/2015/03/26/passphrases-can-memorize-attackers-cant-guess/
 
 
In other words, if an attacker knows that you are using a seven-word
Diceware passphrase, and they pick seven random words from the Diceware
word list to guess, there is a one in
1,719,070,799,748,422,591,028,658,176 chance that they'll pick your
passphrase each try.
At one trillion guesses per second — per Edward Snowden's January 2013
warning — it would take an average of 27 million years to guess this
passphrase.
 
https://en.wikipedia.org/wiki/Diceware
 
 
https://www.fourmilab.ch/javascrypt/pass_phrase.html
 
http://www.wowarea.com/italiano/aiuto/pwdit.htm
 
 

 io faccia
 
A volte però avvengono furti di massa. E' già successo diverse volte con
TIN, una a me, una a una amica, e se cerco con Google trovo centinaia di
messaggi "mi hanno rubato l'email di TIN" o Alice, furti avvenuti negli
stessi periodi.
Scopo, nei casi che conosco, usare questi indirizzi per inviare migliaia
di messaggi spam.
Se avessero cercato dati sensibili nelle mie mail al massimo avrebbero
trovato l'IBAN, e solo quello della carta PayPal, non quello del vero
conto bancario (sempre che possa servire a qualcosa).
Non uso home banking. Finora non ne ho mai sentito il bisogno.