Newsgroup: it.comp.macintosh
Titolo: Le password...

E' in inglese, ma molto istruttivo:
 
http://arstechnica.com/security/2013/05/how-crackers-make-minced-meat-ou
 
t-of-your-passwords/
 
Voi cosa usate per "ricordare" le password?
 
Ciao Jack
-- 
Yoda of Borg am I! Assimilated shall you be! Futile resistance is, hmm?

 Ciao Jack
 
1 Password 
-- 
ciao
Marco Sax

 Voi cosa usate per "ricordare" le password?
 
A parte 1Password ... se ti riferisci a "meccanismi mnemonici" ... uso 
sempre quelle 4/5 password in base all'importanza di cosa devono 
proteggere.
 
In pių prima di 1Password avevo un mio "filone" in un dmg criptato con 
segnato TUTTO... e che in realtā uso ancora adesso. Viviamo una vita di 
password e pin ormai.
 
-- 
// Treat everyone u meet like u want to be treated
        aggiungere un tra per spedire posta

 proteggere.
 
anch'io, ma non e' sufficiente, per questo chiedevo.
 
Per il momento ho trovato KeePassX: minimale (zero integrazione con
l'OS), multipiattaforma e free.
Abbinato a SyncPass su iPhone.


 Abbinato a SyncPass su iPhone.
 
Hmmm ... (cos� inizio, cos� concludo).


 Hmmm ... (così inizio, così concludo).
 
cosa vuoi dire? :)


 problema e' risolto.
 
Probabilmente la mia banca ha il sistema migliore, che non comporta 
perdite di tempo:
quando fai un'operazione ti viene fuori un codice: telefoni ad un numero 
verde (solamente con un nuemro di telefono che hai preventivamente 
registrato in banca) e lo immetti.
Tempo operazione 10 secondi.
 
Ciao,
	Beppe.
 
-- 
La fatica fisica appaga lo spirito ed avvicina alla saggezza. Solo 
soffrendo acquisisci la forza morale che scaturisce dall'autodominio.

 	Beppe.
 
Io ho un codice cliente (segreto), un pin scelto da me (segreto) e un
codice che viene da un aggeggino elettronico e che cambia ad ogni
operazione (anzi, cambia ogni volta che premo il pulsantino e scade se non
lo uso subito).
Sicuro e veloce, anche se hai la menata dell'aggeggino.
 
-- 
Domenico
http://puce72.tevac.com
 

 Sicuro e veloce, anche se hai la menata dell'aggeggino.
 
Meglio quello del Beppe. Certo che se però per una qualsiasi ragioni non 
puoi telefonare ... :D ...


Keepass con il db messo su dropbox, nella folder servita da truecript. Il db poi si apre solo se metto la master password e poi, ovviamente la key di truecrypt. Lo so che è fin troppa paranoia ma vi sono un sacco di password non mie, ad esempio accessi a firewall, vpn, switch, fortigate dei clienti che finissero un mani sbagliate sono fottuto (circa un centinaio fai te). Poi su truecript conservo i certificati e quant'altro

 Idem, solo che invece dell'aggeggino posso usare un'app sull'iPhone.
 
Figo! Il modo perfetto per rendere completamente inutile tutta
l'infrastruttura! :-D
 
-- 
so long, and thanks for all the fish

 al sito.
 
I codici però sono hostati sul sito che per definizione è bucabile. Un
Token RSA/SecureID invece non lo puoi bucare


 Che codici?
 
Quelli che avresti "sull'aggeggino", se avessi l'aggeggino


 puoi telefonare ... :D ...
 
Io preferisco fare da me piuttosto che dover chiamare ogni volta anche per
una semplice ricarica del telefono
 
-- 
Domenico
http://puce72.tevac.com
 

 Idem, solo che invece dell'aggeggino posso usare un'app sull'iPhone.
 
Bello. Io sull'iPhone posso scegliere di usare solo codice cliente e pin.
 
-- 
Domenico
http://puce72.tevac.com
 

 I codici però sono hostati sul sito che per definizione è bucabile. 
 
Al di la del fatto che ipoteticamente tutto è bucabile, nel caso specifico
non c'è alcun sito che hosta i codici... sono codici generati da un
algoritmo in base al tuo ID cliente e, credo, in base a dati personali e
alla data e ora in cui premi il pulsantino per chiederne uno. Dall'altra
parte viene verificato con lo stesso algoritmo che il codice sia
congruente, ma non c'è una lista di codici predefiniti.
Non lo puoi sradicare con la forza bruta perché dopo 3 errori ti chiede
ulteriori info personali per proseguire, e poi si blocca. Il punte debole
potrebbe stare nell'algoritmo, ma prima di arrivare a quello devi comunque
conoscere ID cliente e PIN... Non è perfetto ma mi pare abbastanza sicuro.
 
-- 
Domenico
http://puce72.tevac.com
 

 Sono codici generati random in base a non so quale algoritmo
 
Lo so perfettamente, ma non sono poi tanto sicuro:
- che l'app riproduca lo stesso meccanismo
- che scada dopo tre anni come il Token RSA


 la carta e digitare il PIN.
 
Ah no, quello che uso io è praticamente piccolo come un portachiavi 
 
-- 
Domenico
http://puce72.tevac.com
 

 su nessun sito...
 
http://arstechnica.com/security/2011/06/rsa-finally-comes-clean-securid-
 
is-compromised/


 cosa vuoi dire? :)
 
Vedi sopra ... "Hmmm" ...


 typically every 30 or 60 seconds.»
 
no intendevo che hanno dovuto cambiarne un sacco perche' avevano
crackato l'algoritmo...


 Tempo operazione 10 secondi.
 
 
Io invece per autenticarmi devo immettere un username, una password e 
quindi ho 60 secondi per chiamare un certo numero da un telefono il cui 
numero è stato preventivamente autorizzato.
Poi ho una ulteriore password da inserire quando faccio le operazioni, 
tipo bonifico, pagamenti, ecc.
 
-- 
Per rispondere togliere alfa e beta
 


Da quanto ho letto ma si riferiva ad alcune banche US quelle app per 
iphone funzionano esattamente come i token RSA/secureID, quindi non ci 
sono "codici" in chiaro o meno da qualche parte.


 la carta e digitare il PIN.
 
Quindi in pratica tu hai bisogno di:
 
1) username
2) password
3) aggeggino HW
4) tessera bancomat
5) pin della tessera bancomat


 Sicuro e veloce, anche se hai la menata dell'aggeggino.
 
Idem ma il mio aggeggino è grande come
una carta di credito e lo tengo nel portafoglio. 
In alternativa posso accedere senza l'aggeggino da un pc su cui ho
installato precedentemente un certificato scaricato con dei codici dati
dalla banca.

 numerici fissi? Perché esiste anche questo tipo di accesso qui...
 
 
Genera codici in tempo reale schiacciando un bottone, però nn è più spesso
di una normale carta di credito.

 4) pin dell'app
 
Be così è già meglio.


 4) pin dell'app
 
ho anch'io il conto Barclays: pero' l'app funziona solo in UK (o e'
scaricabile da iTunes UK, non ricordo), e io  risiedo in Italia 
 
-- 
ciao
Marco Sax


L'aggeggino è clonabile...
 
-- 
La fatica fisica appaga lo spirito ed avvicina alla saggezza. Solo 
soffrendo acquisisci la forza morale che scaturisce dall'autodominio.

 L'aggeggino è clonabile...
 
Anche la carta di credito è clonabile... smettiamo di usare carte di
credito?
Sai quant'è facile intercettare una telefonata?
Sai che fa molti più danni il "Social Cracking" che non altro?
 
L'aggeggino è "personale" e legato ai miei dati (che devi conoscere se vuoi
usare l'aggeggino). In caso di smarrimento si denuncia e viene bloccato.
Non c'è alcun motivo per cui debba finire in mano ad un altro (come invece
avviene usando la carta di credito), quindi non vedo come lo si potrebbe
clonare...
 
-- 
Domenico
http://puce72.tevac.com
 

 clonare...
 
Tas, tas, tas,.. che un giorno in autostrada alla stazione AGIP di Parma 
faccio per pagare e scopro che mi avevano bloccato la carta perché 
clonata. 
 
Non è stato bello ... :-(
Anche se fortunatamente l'avevano provata con un minimo prelievo (25€ 
circa) ed è stata bloccata quando avevano invece voluto pagare 1500 
dollari ad Atlanta ...


 dollari ad Atlanta ...
 
Appunto: la carta te la clonano. L'aggeggino mi pare quantomeno improbabile
visto che non lo dai a nessuno.
 
-- 
Domenico
http://puce72.tevac.com
 


 
I Truster (aka aggeggino) sono per definizione concettualmente 
inclonabili, ecco perchè sono così diffusi, soprattutto all'estero.
 
 
-- 
 
< Con Copy.com spazio esterno Cloud da 15 Gb gratuito per Mac/Windows e 
portatili iOs e Android. A questi 15 Gb si aggiungono automaticamente 5 
Gb extra reciproci e gratuiti iscrivendosi tramite il link ---> 
https://copy.com?r=BCKMOI
 >

 Ciao Jack
 
Update:
 
ho trovato KyPass Companion. Compatibile con i db di KeePass(X) e
include un estensione per Safari, Firefox e Chrome. Per il momento e'
free. E' anche in beta, ma sembra funzionare.


 1) Se usi MD5 nel 2013 sei un cazzone, come developer
 
Per mia esperienza almeno meta' degli sviluppatori web che c'e' in giro
non sa neanche cos'e' l'MD5.
Gia' bello che non lasciano le password in chiaro.






 
bello il sito.
Il problema e' che, a quanto dice  l'articolo, il tempo necessario a
trovare la password che immetti non e' reale perche' in genere si
calcola il tempo necessario a fare un brute force su tutte le
permutazioni possibili.
Invece l'articolo spiega molto bene che basta fare delle semplici
assunzioni (numeri solo prima o dopo le parole, maiuscolo all'inizio
della parola, mai in mezzo, "sostituzioni" tipo o->0, e->3 ecc.) per
ridurre notevolmente lo spazio da controllare.


 ridurre notevolmente lo spazio da controllare.
 
Sě perň non mi č del tutto chiaro perché sarebbe piů solida la password 
di 3 lettere invece di quella di 12 o passa.
 
Ma ho letto di corsa e lo riguarderň meglio.
 
Stavo anche dando una divertita occhiata a 
www.diceware.com
 ... :D


 di 3 lettere invece di quella di 12 o passa.
 
non lo e'.
 
Ma tra "cavallo" e "ckaorjf" (stesso numero di caratteri) e' chiaramente
piu' solida la seconda, perche' completamente random, anche se in
teoria, tramite puro brute force, sono solide uguali.
Inoltre "cavallo", "Cavallo", "cavall0", "Cavall0", "cavallo01",
"1234cavallo" sono pessime in eugal maniera, perche' derivano da una
parola singola tramite un pattern facile da riconoscere
