Newsgroup: it.lavoro.informatica
Titolo: non ha rubato le password

Ruba i dati di 350mila clienti (il 10% dei clienti di wealth management, la 
gestione patrimoniale) e ne pubblica alcuni online. È l'accusa mossa a un 
dipendente di Morgan Stanley, licenziato immediatamente dalla banca. Il 
sospetto è che il dipendente avesse intenzione di vendere i dati. Il furto 
ha riguardato anche i numeri dei conti correnti, ma non delle password e dei 
codici fiscali.
 
Come faceva a rubarle? Mica le conservano sul sistema,al massimo ci sarà 
l'hash della password.
Giusto?
 
 
Ciao 
 

 Ciao
 

> Ciao
 
"Non esiste alcuna corazza che un cannone adeguatamente costruito non possa 
forare"
(Cit. un ex-artigliere, ossia il sottoscritto)
 
ciao
fm 
 
 

 (Cit. un ex-artigliere, ossia il sottoscritto)
 
se questo artigliere fosse anche informatico saprebbe che è matematicamente
dimostrato per sfondare una corazza allo stato dell'arte serve un arsenale
nucleare che nessun esercito ha attualmente disponibile, e che raddoppiando
lo spessore della corazza si eleva a potenza la quantità di artiglieria 
necessaria a sfondarla.
 
 

necessaria a sfondarla.
 
#staitranquillo, ci si procura quel che serve ...
 
ciao
fm
 
 
 

 Hai delle fonti ?
 
ho qualche pezza d'appoggio nelle poche nozioni di crittografia di cui
dispongo.
tu invece?

 ha scritto nel messaggio 
news:c0899772-795c-4796...@googlegroups.com...

So pochissimo di crittografia ma ti posso assicurare
che c'e' chi ha a disposizione armi di grande potenza,
quanto esattamente siano potenti difficile dirlo.
 
Comunque, per rimanere terra-terra e limitarci  alle passwords,
si possono rubare in mille modi diversi.
 
Per esempio:
Nel 2014, nel caso divenuto  pubblico di Home Depot,
e' stato trafugato un numero di credenziali di carta di credito
pari ad acune decine di milioni, c'e' chi dice 52 milioni di password.
 
E' stato fatto entrando inizialmente nei pc "marci" della ditta canadese
che forniva  assistenza da remoto ai frigoriferi di Home Depot,
poi evidentemente i mariuoli hanno annusato il tesoro e hanno fatto man 
bassa.
 
Fai conto che Home Depot, non e' proprio una dittarella,
 ha oltre   1100 punti vendita fra USA, Canada e Messico,
dovrebbe essere la seconda  Gdo in USA dopo Wall-Mart.
 
Hanno trovato le VPN che portavano alle LAN dei punti vendita,
sono riusciti ad accedere ai pos,
il software dei  pos (tutta roba vecchia)
e'  stato modificato per catturare le credenziali delle carte
di credito nell'unico momento in erano in chiaro,
ossia al momento della strisciata della carta.
Le credenziali venivano salvate in un file  che poi veniva periodicamente
scaricato. La cosa e' andata avanti per molte settimane, forse mesi.
 
Le società emittenti vogliono 5-10 dollari per annullare e riemettere una 
carta,
le assicurazioni non coprono danni di tale portata,
quindi dovra' pagare Home Depot.
 
Danno stimato ... forse  500 milioni di USD.
 
ciao
fm
 
 
 
 


La crittografia oggi puo essere resa sicura, non e un suo problema
Di solito i punti deboli stanno a cosa gli gira attorno (persone, altri 
sw,ed altro)
 

 La crittografia oggi puo essere resa sicura, non e un suo problema
 
Sicuro sicuro ?...:-)
 
 
http://www.wired.it/attualita/tech/2014/11/26/datagate-nsa-gchq-internet-mondiale/
 
 
 
ciao
fm
 
 

 si possono rubare in mille modi diversi.
 
questo è indubbio. peccato sia intervenuto a proposito degli hash quindi 
riferendoti ad uno preciso di questi modi.

 ha scritto nel messaggio 
news:197768db-3500-423c...@googlegroups.com...

Peccato che io abbia  risposto che NULLA e'  sicuro al 100% ...
 
ciao
fm 
 
 


Non sono parole mie, ma di un crittografo di mestiere (non mi ritengo un 
esperto di sistemi crittografici), il signor. Bruce Schneier
Sempre parole sue,i punti deboli di un sistema non sta nella 
crittografia (sempre adottando un algoritmo oggi ritenuto sicuro) ma in 
qualche parte di contorno
 
Puoi leggerti il suo libro tradotto in italiano con il nome 
"Crittografia Pratica"
 
 
 
 
 

 Peccato che io abbia  risposto che NULLA e'  sicuro al 100% ...
 
ti sei dimenticato "a parte la morte", per completare la frase fatta.
 
anche raggiungere alpha centauri non è 100% impossibile essendo la distanza
finita, ma ciò non significa che, considerata quella distanza, non lo si
possa considerare ragionevolmente impossibile. 
 
nessuno ha mai detto che la crittografia sia sicura al 100%, anzi. degli
algoritmi di cifratura si conoscono esattamente i limiti e per cui si sa
bene che non è 100% impossibile violarli. però essendo a conoscenza di
questi limiti e sapendo che si fa prima a calcolare il diametro di tutti
gli atomi della terra che superarli, la conclusione logica è che sono 
ragionevolmente sicuri. 
 
questo è quanto basandosi sui fatti e sui numeri. poi se vogliamo giocare al
"chi ti dice che non ci sia <ipotesi di fantasia>?" allora fate pure a me
non è cosa che appassiona. 
 
 
 


grazie, lo cerchero'...
 
ciao
fm 
 
 


La descrizione è un po' vaga, bisogna vedere di che password si sta parlando. Ad esempio se sono le parole in codice per sbloccare le operazioni al telefono, non è impossibile che siano memorizzate in chiaro o con un meccanismo reversibile di offuscamento, dato che devono essere usate da operatori "umani" durante un colloquio (sì, lo so che si potrebbe fare altrimenti, sto solo facendo un'ipotesi). 
Comunque, se anche si trattava degli hash, potrebbe pure essere lo stesso, se l'algoritmo usato consente di calcolare le rainbow tables.
bye!
 


Ovvio, ma quale è la probabilità che il problema stia nell' algoritmo e 
non nel contorno ?
Molto bassa
 

 bassa.
 
Sono stati rubati, con lo stesso malware, i dati delle carte di credito 
dai pos di Home Depot e di Target. Le modalità di penetrazione che 
descrivi sono quelle dell'attacco a Target.
 
E la cosa è ancora più complessa perché per raggiungere i POS e poi per 
far uscire i dati, hanno dovuto rimbalzare di server in server 
all'interno delle LAN, incluso il server di software distribution... un 
attacco da film...

 Oggi si consigla AES  ... quanto durera'?
 
il mondo non è statico e questa non è certo l'unica dimostrazione.