Newsgroup: it.lavoro.informatica
Titolo: Possibile furto di password per 5 milioni di account Google

C'entrerà mica per caso la politica internazionale?

http://alturl.com/dhtsi



 
http://alturl.com/dhtsi




Bah, se parliamo di account gratuiti è come dire che hanno rubato 5 milioni di uova forzando la porta del pollaio :-)

Più delicato se ci sono molti account a pagamento. Ma, considerato che svaligiano pure le casseforti  delle banche, perchè tirare in ballo la politica?


> Bah, se parliamo di account gratuiti è come dire che hanno rubato 5 milioni di uova forzando la porta del pollaio :-)



Ma non credo proprio: se mi rubassero l'account GMAIL potrei pensare di mollare per sempre il mondo dei PC e darmi all'agricoltura vecchio stile!



Al3x


 Pi� delicato se ci sono molti account a pagamento. Ma, considerato che svaligiano pure le casseforti  delle banche, perch� tirare in ballo la politica?



Perch� la guerra non si fa solo con kalashnikov, carri, droni, bombe e 

mine antiuomo. Si fa anche con spie, boicottaggi e sanzioni.


 Ma non credo proprio: se mi rubassero l'account GMAIL potrei pensare di mollare per sempre il mondo dei PC e darmi all'agricoltura vecchio stile!



Perch�?


 Ma non credo proprio: se mi rubassero l'account GMAIL potrei pensare di mollare per sempre il mondo dei PC e darmi all'agricoltura vecchio stile!





Non credo che Google, o chi per lui, dia lo stesso livello di sicurezza agli utenti gratuiti ed a quelli paganti.






 mine antiuomo. Si fa anche con spie, boicottaggi e sanzioni.



E che c'entra? Mica dietro ogni fatto criminoso c'è un motivo politico/strategico. Mi pare un'enorme sopravvalutazione del ruolo di queste mega aziende informatiche. 


 queste mega aziende informatiche.



Ovviamente la mia era una provocazione (non esiste nessuna prova del 

collegamento furto-politica, né è mia intenzione finire nelle teorie del 

gomblotto!).



Ma proprio perché sono mega aziende (informatiche o meno), hanno mega 

fatturati. Quando Google perde in borsa lo 0,1%, in realtà non perde 

proprio poco.


 Non credo che Google, o chi per lui, dia lo stesso livello di sicurezza agli utenti gratuiti ed a quelli paganti.



A quanto pare non hanno puntato su questo, per tranquillizzare utenti e 

mercati.



Password rubate, Gmail tranquillizza: �Solo il 2% funzionavano�:

http://bit.ly/1BugxOo




Non vi sentite gi� pi� tranquilli?


 proprio poco.



Sai qual'è il problema? Che mentre è (relativamente) facile valutare il valore monetario di un normale furto o rapina di beni materiali, è estremamente difficile valutare quello di un furto di dati informatici.

Per quel che ne sappiamo, 5 milioni di pw potrebbero corrispondere a 5 euro come pure a 5 miliardi. Tu cerchi di valutare la cosa tramite le quotazioni di borsa, idea brillante ma certamente opinabile. Esistesse un mercato delle pw magari ne sapremmo di più :-)





le password sono state rubate (*) e divulgate, probabilmente gli autori 

del furto non hanno nemmeno toccato nessuno di quegli account. è evidente 

l'intento di arrecare un danno d'immagine, al che si riconduce alla 

valutazione che ha fatto lui.



(*) che poi molto probabilmente non hanno rubato niente da google, ma 

hanno semplicemente crackato 5 milioni di account "deboli" (password di 

dizionario e/o verifica a due passaggi non abilitata). 


 valutazione che ha fatto lui.



Bah, il danno di immagine c'è sempre, non è che se, per es., rubano qualcosa ad una banca (che, tra le altre cose, vende servizi di custodia e sicurezza come nel caso in questione) quella ne esce tanto bene.





parliamone. hanno quasi mezzo miliardo di utenti attivi, ti lascio 

immaginare il giro d'affari degli advertising (la gente paga a google per 

quelle impressioni sulla webmail). secondo te vale la pena di buttarsi 

dietro le spalle la sicurezza per questo popò di roba? oltretutto non sono 

neanche certo si possa attivare la verifica a due passaggi sugli account 

di domini che usano google apps a pagamento.


 dizionario e/o verifica a due passaggi non abilitata).



Chiaro.



Probabilmente hanno usato un malware ad hoc o hanno fatto phishing su 

larga scala. E infatti (notizia di un paio di settimane fa):



Spunta vulnerabilità critica per la app di Gmail e non solo

http://bit.ly/WNhBgP




Windows andrà ancora per la maggiore sui desktop, ma Android va forte 

sugli smartphone! ;)


 e sicurezza come nel caso in questione) quella ne esce tanto bene.



non è la stessa cosa. se vieni a sapere che hanno rapinato l'agenzia dove 

hai il conto a te frega il giusto (a meno che non sia presente) e non 

chiudi il conto per questo, mentre se vieni a sapere che hanno rubato 5 

milioni di password dal tuo provider come minimo ci pensi. poi magari se 

sei un utente evoluto ti informi meglio e capisci che il rischio non 

riguarda te, ma mica tutti sono in grado di comprenderlo. per l'opinione 

pubblica "hanno rubato le password a google" e basta.




 pubblica "hanno rubato le password a google" e basta.





E' un aspetto interessante: noi conosciamo la gestione territoriale delle banche (più o meno), ma non sappiamo nulla di quella di Google. Pertanto la frase "hanno rubato a Google" è dovuta anche a questa misteriosità, non so se voluta o meno.

Inoltre non facciamo confusione tra il furto di entità anonime, come le banconote, con il furto di beni personali per l'appunto custoditi dalla banca, es. cassetta di sicurezza. Il caso in questione riguarda questo, il furto di informazioni personali (o meglio delle chiavi di accesso) di cui l'azienda colpita gestisce la custodia. 






 dietro le spalle la sicurezza per questo popò di roba? 



Non vale la pena cercare una sicurezza di altissimo profilo, per l'appunto il paragone tra la serratura venduta al discount e il caveau di Fort Knox. Se vuoi quest'ultimo, paghi.

Tra l'altro maggiore sicurezza non è solo una questione puramente tecnica, ma potrebbe significare selezionare con speciale accuratezza il personale che lavora in quel reparto, ad evitare che i fantastici algoritmi siano sconfitti da un impiegato infedele che semplicemente si vende la *sua* pw... :-)

E' ragionevole estendere una cosa del genere a tutto il servizio email indistintamente? Credo di no.










 misteriosità, non so se voluta o meno.



no è dovuto ad un misto di ignoranza e semplificazione giornalistica. 

tant'è che se leggi gli articoli di testate un minimo specializzate ci sta 

scritto che le password sono state rubate agli utenti, non a google. 

oltretutto non è possibile rubare le password a google per la semplice 

ragione che che google le password in chiaro non ce l'ha proprio. se 

putacaso avessero davvero rubato il database delle credenziali per forzare 

5 milioni di hash avrebbero dovuto cominciare ai tempi dei dinosauri. 


 scritto che le password sono state rubate agli utenti, non a google.



Sì, è così: le password sono state rubate agli utenti.



Ma per questo episodio almeno è scritto un po' ovunque, pure sul da me 

citato Giornalettismo che non è che proprio sia il massimo (anche 

perché, come mi giro mi giro, lo devo ancora trovare un quotidiano 

online italiano che sia davvero il massimo).


 5 milioni di hash avrebbero dovuto cominciare ai tempi dei dinosauri.



Quindi lo stesso gestore non avrebbe modo di risalire dalla pw criptata a quella in chiaro?


 a quella in chiaro?



ma direi proprio di no. spero non ti sorprenda la cosa.


rootkit wrote on 12/09/14 00.08:


Dipende se lui intendeva per "gestore" l'ISP con cui si collega o Google stessa ;)



G.



l'isp direi peggio mi sento, lui al massimo si vede passare le password 

dentro un tunnel https e che si metta nel mezzo la vedo un ipotesi un po' 

improbabile.



che poi a google non adottino quei criteri che adotta anche un povero 

bischero come me (usare un algoritmo di cifratura adatto, memorizzare il 

seed separatamente alla pwd) francamente non è un ipotesi che prenderei in 

considerazione. a meno che non ci mettiamo a giocare con "e chi ti dice 

che <ipotesi di fantasia inventata dal niente>", in tal caso vabbeh alzo 

le mani... divertente, però non è così che si analizzano i fatti.




Imvvho....se le cose fossero andate cosi'....direi che si sarebbe trattato

comunque di un'operazione di un certo impegno in termini di tempo e denaro 

...



Un'organizzanione governativa?  ... o, forse, la Spectre?...:-)





ciao

fm





.






 le mani... divertente, però non è così che si analizzano i fatti.



va che preso un qualunque algoritmo è una cosa semplice risalire alla password in chiaro con un brute-force.

Tra l'altro non è notizia dell'ultima ora che l'nsa ha collaborato con queste aziende americane e non si sa ancora quali buchi potessero avere questi algoritmi.



p.s: ipotesi è femminile, uno professionale come te dovrebbe anche sapere scrivere in italiano correttamente


 ma direi proprio di no. spero non ti sorprenda la cosa.



Hmm, e se l'utente perde o si scorda la pw, Google non sarebbe in grado di dargliene un'altra su sua richiesta, con conseguente impossibilità definitiva ad accedere ai suoi dati? Ma stiamo scherzando?? :-)




con conseguente impossibilitï¿½ definitiva ad accedere ai suoi dati? Ma stiamo scherzando?? :-)



Google non lo so, perche' non credo di aver mai perso la pwd Google, ma 

in genere quando ho perso qualche password (tipo quella del server 

tedesco dell'email che compare) ti mandano ad una pagina in cui scegli 

te la nuova password che, immagino, vada a finire gia' criptata nei loro 

db quindi, teoricamente, loro non conoscono la password, nemmeno se te 

ne danno un'altra (al solito, a meno di intercettare con tecniche tipo 

"man in the middle" la comunicazione della nuova password nel cammino 

dal tuo PC al loro DB. Ma se non fanno questo, di solito no, non possono 

risalire alla password in chiaro). E ti diro' che in realta' anche i 

sistemi per la spedizione di SMS, ad esempio quelli che c'erano per 

tracciare le raccomandate veloci fino a qualche tempo fa (ora ho visto 

che gli SMS sono stati sostituiti da una chiamata ad un numero verde) 

prevedevano che il numero di telefono di chi voleva tracciare la propria 

raccomandata finisse direttamente criptato nel DB. Per cui se poi uno 

chiamava e diceva: "Ho mandato un SMS per chiedere la tracciatura della 

raccomandata tramite SMS ma non mi e' arrivato niente. Il mio numero di 

telefono e' 338xxx", per cercare di capire cosa era successo, dovevi 

prima calcolare l'hash di 338xxxx e poi andare nel DB usando come chiave 

l'hash di tale numero. Cioe' il numero di telefono doveva dirlo il 

cliente, altrimenti non si era in grado di capire se quel numero di 

telefono era effettivamente nel DB oppure no.







Ciao,

Marco.



PS: I messaggi contenenti righe piu' lunghe di 79 caratteri urtano

notevolmente la suscettibilita' di Thunderbird.


 



se la tua vita e' appesa a una password di gmail te lo auguro, di tornare all'agricoltura :)


 telefono era effettivamente nel DB oppure no.





Interessante. In effetti penso che sia molto costoso mettere in piedi un sistema altamente sicuro, che contemporaneamente ti consenta un accesso senza conoscere la chiave originale, in caso di emergenza.






Intendo dire che Google ha in mano la chiave e comunque l'accesso ce l'hanno 

visto che in caso di richiesta giudiziaria i dati li consegnano eccome.

L'unica soluzione in questo caso è accertarsi che il dato sia criptato sul file 

system e che il fornitore dello spazio non abbia la chiave.



ciao

Gabriele




 definitiva ad accedere ai suoi dati? Ma stiamo scherzando?? :-)



no, la procedura di recupero non prevede assolutamente che sia google a 

crearti la nuova password. 


 eccome.



certo, ha in mano la chiave della porta di servizio, ma mica per 

decrittare la password. può accedere ai dati, alle mail, anche a quelle 

cancellate volendo. però questo è un'altro film, adesso si sta disquisendo 

da dove sono uscite quelle password. fossero state pubblicati dei 

contnenuti allora si poteva parlare anche di questo.


 contnenuti allora si poteva parlare anche di questo.



ma la smetti di scrivere cazzate?

Il fatto che ci sia stato un leak così grosso invece fa proprio pensare che sia stato qualcuno di interno a fare uscire le password, è sempre così.

Cazzo ti faccio un esempio semplicissimo almeno magari riesci a capire come funziona:



io so che la password x criptata con l'algoritmo y (indipendentemente dalla complessità) mi genera la sequenza z.



faccio select * from user where password = 'z' e ho tutti gli utenti con quella password.



Questo è solo un esempio semplice, ma se ad es. utilizzano anche altri campi per generare la password nulla vieta di rendere la query dinamica.

Ripeto: se si conosce l'algoritmo è come avere la password in chiaro.



Poi ripeto un brute-force non ci mette mesi, ci mette ore al max (ma anche secondi con password semplici).



Questo a prescindere dal fatto che Google possa avere anche le password in chiaro storate da qualche parte (la form alla fine ti manderà sempre la password in chiaro, e il codice vede una password in chiaro), nulla lo vieta. E nulla vieta a google anche di fare update sul proprio db inconsapevolmente all'utente e ignorando le procedure del proprio front-end.



p.s: altro è maschile e quindi si scrive un altro, mentre ipotesi è femminile e si scrive un'ipotesi (o al max una ipotesi, un ipotesi non si può proprio vedere)


 Ripeto: se si conosce l'algoritmo è come avere la password in chiaro.



questa è troppo bella. te la rubo e la metto in firma.

con doverosa citazione dell'autore, naturalmente.



-- 

Diego su ili: "Ripeto: se si conosce l'algoritmo è come avere la password 

in chiaro."


 con doverosa citazione dell'autore, naturalmente.



Beh almeno con una mia cit. non devi passare dal correttore ortografico.


 quanti tentativi teorici devi fare per trovare una soluzione/collisione.



Il problema e' che il numero di "tentativi teorici" e' riferito al worst 

case, cioe' al fatto che tu non riesci a beccare la soluzione fino

all'ultimo tentativo. In altre parole la teoria esclude il caso di "puro 

c**o" in cui tu riesci a beccare la password di 1024 byte al primo 

tentativo :-). Poi puoi sempre dire che la probabilita' di beccarne 

anche una sola al primo tentativo e' inferiore a quella di vincere al 

superenalotto, figuriamici 5 milioni. Ma il c**o

e' c**o :-) (qualcuno al superenalotto ogni tanto vince).





Ciao,

Marco.


 Poi ripeto un brute-force non ci mette mesi, ci mette ore al max (ma anche secondi con password semplici).



Gli algoritmi hash sono fatti esattamente in modo da non poter mai 

risalire al valore di x, dato z (ne' in minuti, ne' in mesi' ne' in 

anni, ne' in secoli e nemmeno se il calcolo fosse iniziato il primo anno 

dell'eone adeano e durato fino ad oggi). La funzione hash e' 

semplicemente non invertibile, in quanto non  biettiva (in particolare 

non e' iniettiva, cioe' non e' vero che per ogni valore di z esiste uno 

ed un solo valore di x che puo' generare quel dato z tramite l'algoritmo 

y. Possono esistere piu' valori di x che generano quello stesso z, 

ragione per cui da z non e' possibile in alcun modo ottenere x). Quindi 

di z non te ne fai niente, se vuoi x.





Ciao,

Marco.






 



peccato che io parto da x e non da z. Non ho mai parlato di fare reverse-engineering dell'algoritmo.



Gli utenti che sono stati estratti dalla lista non sono utenti specifici ma sono 5MILIONI di utenti.






 Il fatto che ci sia stato un leak così grosso invece fa proprio pensare che sia stato qualcuno di interno a fare uscire le password, è sempre così.



Non è affatto detto che sia  andata così.

A parte che l'operazione era mirata ad account russi, quindi proprio volendo ci 

vedrei un attacco "in mezzo", la maggior parte delle volte basta avere a 

disposizione una bella botnet (affittabile per pochi dollari/euro/rubli) e 

ciucciare valanghe di password.

Guarda, io segnalo spesso, con dovizia di particolari, account bucati di 

aziende italiane, di ospedali, di uffici pubblici, di sindacati e perfino di 

apparati militari; beh, quasi nessuno si degna di rispondere e intanto le 

password escono...



Ormai si va di pesca a strascico, oppure di crack mirato via 0-day.



ciao

Gabriele




 ciucciare valanghe di password.



può anche essere


 avrebbe dovuto cominciare nel cretaceo. ti sembra plausibile?



Hai ragione, tuttavia è pur vero che ogni tanto viene fuori che il tale algoritmo (o forse meglio una certa implementazione dell'algoritmo) può essere forzato in due facili mosse (vedi OpenSSL, WEP, certe versioni Bluetooth).

Quindi sarei cauto anche nel prendere le dimostrazioni matematiche come argomento risolutivo. 






 contnenuti allora si poteva parlare anche di questo.



Questo è corretto, sono uscite delle pw. Tuttavia questo non significa che la "chiave di servizio" non consenta di risalire direttamente alle pw in chiaro. 

A meno che *tutti* gli account di posta possono essere aperti da una singola chiave di servizio, nei casi di emergenza. Non ha diretta attinenza con la lista di pw, ma meglio mi sento... Se conosci quella chiave conosci tutto.

(magari non proprio tutti, ma quelli che stanno in un determinato gruppo)


 e' c**o :-) (qualcuno al superenalotto ogni tanto vince).



A rigore, ogni tentativo di craccare una singola pw  ha probabilità indipendente da quello delle altre. Ergo le probabilità si sommano. Ergo più aumenti il numero di casi distinti, più la vincita all'enalotto diventa probabile :-)


 l'utente titolare di quella password. 



Che l'algoritmo usato da Google non sia reversibile è un assioma tuo e di rootkit :-) 


 anche secondi con password semplici).



fico, la prossima volta che devo beccare una password alla cieca, vengo 

a farlo fare a te :-D



(non so, non ho letto benissimo tutto il thread... ma stai teorizzando 

un attacco brute-force su 5 milioni di password?)



-- 

"Anche quelli che sostengono che tutto � predeterminato guardano bene,

prima di attraversare la strada." -- Stephen Hawking




 un attacco brute-force su 5 milioni di password?)



Teoricamente un hacker coi controcosi potrebbe creare una specie di virus che sfrutta di nascosto la cpu del computer ospite per fare un pezzetto del lavoro, allo stesso modo di certi progetti di parallelizzazione leciti come il SETI.

Oggi come oggi la potenza di calcolo connessa in rete (pc, tablet, cellulari con 4 cpu per giocarci ad Angry Bird... :-)) non è certo merce rara.


 Ripeto: se si conosce l'algoritmo ï¿½ come avere la password in chiaro.



ILI riesce sempre a sorprendermi...



Chi era quell'altro che aveva scritto serio serio che "voleva 

cancellarsi da internet" ?





Comunque, leggendo piï¿½ o meno a destra e manca sull'accaduto, quello che 

ho estrapolato ï¿½ estremamente semplice:

hanno bucato diversi sistemi che richiedono come credenziali una email 

come login (username) e la password. Non serve nessun supercomputer o 

chissï¿½ quale magheggio. Sai quanti blog che salvano le password in 

chiaro ci sono in giro? (L'ultimo che ho provato aveva su Wordpress)



Molti utenti hanno usato Gmail come login e ancora molti fra questi 

hanno usato la *stessa* password usata per Gmail. Il gioco ï¿½ fatto: 

rubando le credenziali di Pincopallo si ha potenzialmente accesso con 

buona probabilitï¿½ anche a Gmail.



Questo ï¿½ semplice da capire per me e per molti altri "addetti ai lavori" 

e come ripete rootkit il problema non ï¿½ Google ma l'utente.



Ma se io hacker prendo un file che contiene 5 milioni di credenziali in 

cui la login ï¿½ l'email di Google e lo rendo pubblico l'associazione 

sbagliata "credenziale rubata->Google violato" ï¿½ *automatica*. Guarda 

caso sbandierata in un periodo di forti tensioni in cui nel paese del 

Vladimiro fanno chiudere i McDonalds a manetta...



M.


 Con il numero di utenti di google sai quanti ne becchi??? Sopratutto con le piï¿½ semplici



non funziona cosï¿½



M.


 chiaro da capire.



diego, fatti un favore: taci.



non dico di essere esperti in crittografia (cosa che io non sono), ma se 

tu avessi anche solo una volta cifrato una password con un algoritmo 

adatto, es. bcrypt/blowfish, sapresti che l'hash generato *non* è uguale a 

parità di password e la verifica *non* si fa semplicemente confrontando 

gli hash.



quindi il presunto utente google ha due possibilità: si mette lì a provare 

a caso tutte le combinazioni possibili di caratteri in tutte le lunghezze 

possibili con tutti i possibili salt alla disperata ricerca di una 

collisione, oppure prova ad applicare l'algoritmo di verifica alla ricerca 

della password reale. nel primo caso, ovvero quello che dici te, ci sta 

qualche centinaio di anni (confidando nella legge di moore); nel secondo 

caso può avere più fortuna se prova secondo un dizionario, ma riesce a 

sfondare in tempi decenti solo le password più deboli.



-- 

Diego su ili: "Ripeto: se si conosce l'algoritmo è come avere la password 

in chiaro."


 di rootkit :-)



veramente è il contrario, cioè che alla google codifichino le password con 

un algoritmo che non è adatto a codificare le password è una tua 

illazione. ripeto, il giochino del "chi ti dice che <ipotesi di fantasia 

senza riscontro>" può essere anche divertente, ma non è un modo 

intelligente di analizzare i fatti.









-- 

Diego su ili: "Ripeto: se si conosce l'algoritmo è come avere la password 

in chiaro."


 un attacco brute-force su 5 milioni di password?)



no, ho solo detto che è fattibile con un brute-force trovare una password


 non funziona cosï¿½



ah no? E allora perché sgamavo le password facili in produzione semplicemente guardando il generato?


 gli hash.



infatti ho parlato di query dinamiche?



dinamiche antani con scappellamento a destra come fosse sql? 



 semplicemente guardando il generato?



forse perché era un tuo programma? :-)









-- 

Diego su ili: "Ripeto: se si conosce l'algoritmo è come avere la password 

in chiaro."


 indipendente da quello delle altre. Ergo le probabilità si sommano. 



non starai dicendo che craccare due password è più facile che craccarne 

una, spero.



 forse perché era un tuo programma? :-)



l'md5 non è un mia libreria




Beh, ha senso: se lo stesso utente ha un milione di password, sara' ben 

piu' facile beccarne una che se invece ne avesse una sola.

:-))


 intelligente di analizzare i fatti.



Siccome mi pare chiaro che non sai nessun dettaglio certo di ciò che fa o non fa Google, e quindi anche le tue sono illazioni, vuoi dire che la tua illazione è meglio della mia? :-)) 





Bah. Semmai la colpa è anche degli N gestori dei blog che glielo consentono, altro che l'utente, che non deve essere uno specialista in sicurezza.

Ed anche il gestore big-G non è che ci fa un figurone, dato che probabilmente conosce molto bene queste pratiche "antiigieniche". 

Però meglio buttarla in politica...


 una, spero.



Sto dicendo che craccare un dato numero N di pw è più probabile se si aumenta il campione, visto che ogni pw è indipendente dall'altra (pw di utenti diversi, a beneficio del buontempone gagliardo :-)


 aumenta il campione, 



questo sì, ora è chiaro.



Mi spiego ancora meglio: la probabilità del singolo tentativo ovviamente è la stessa, ma la probabilità complessiva dell'insieme di tutti i tentativi è maggiore di quella del singolo tentativo, magari rimanendo comunque nel campo infinitesimale. 




 tua illazione è meglio della mia? :-))



diciamo che affermare che google cripta le password con un algoritmo 

reversibile equivale a dire che a google sono più cialtroni e incompetenti 

di un qualsiasi amministratore di sitarello wordpress. il che mi sembra un 

capellino forte. tieni conto che codesta è una cosa che non accade nemmeno 

nei pc domestici, per dire.







Non so cosa usino quelli di google, ma qualsiasi hash e' irreversibile

per definizione di hash.



Poi magari non usano un hash e per me possono anche mettere nel DB le 

password in chiaro, non lo so.



In ogni caso non e' che se Google o Facebook usassero algoritmi 

reversibili, allora gli algoritmi irreversibili non esisterebbero.



E quindi l'affermazione generale: "dato l'algoritmo, trovata la 

password" resterebbe non valida (almeno non necessariamente).





Ciao,

Marco.






e quindi anche le tue sono illazioni, vuoi dire che la tua illazione ï¿½ meglio della mia? :-))





Non so quale fosse l'illazione di rootkit ma la mia

illazione era semplicemente che l'affermazione:

"dato l'algoritmo posso sempre risalire alla password"

non e' vera (almeno non necessariamente).



Ciao,

Marco.






 nei pc domestici, per dire.



Ragioniamo un attimo. Se la pw è crittata in modo irreversibile, ovviamente ci deve essere un modo di accesso ai dati che può farne a meno (nei casi di emergenza che sappiamo). Dicendo la prima che mi viene in mente, potrebbe essere che alla coppia userid-pw1 crittata viene associata una seconda pw2, che è quella con cui si accede effettivamente ai dati. Questa pw2 è per forza contenuta *in chiaro* in un elenco di associazione user-pw1 cr.-pw2 caricato in qualche server , altrimenti il giochetto ricomincia. A questo punto, perchè cacchio è assurdo memorizzare in chiaro direttamente la pw1? 

E' un'illazione, ma con una sua razionalità.


 non e' vera (almeno non necessariamente).



Su questo siamo d'accordo, sia pure con la riserva sulla impossibilità. Un conto è l'impossibilità matematica, un altro è l'impossibilità pratica (ci vogliono 10.000 anni di prove ecc.)


 E' un'illazione, ma con una sua razionalità.



sinceramente di razionale non c'è nulla. gli hash non sono reversibili, ma 

comunque esiste la possibilità di verificare se l'hash corrisponde ad una 

data password. ed è così che funziona l'autenticazione. non c'è alcun 

bisogno di seconde password o altra roba in chiaro.   



ispas wrote on 12/09/14 16.46:


EH ???

guarda che non serve alcuna pw di posta per leggere le email se hai accesso al 

server! A meno che il contenuto stesso non sia criptato (non sono sicuro sia 

così per gmail) e che la chiave non sia in possesso dell'hoster.

La maggior parte dei server di posta sono alla mercè di qualsiasi 

amministratore di rete vi abbia accesso.

Ti sconvolgerò di più con altro esempio: sistemisti di backup nel "cloud" anche 

quando il contenuto viene protetto da pw comunque riescono ad avere accesso e 

leggere le tue cose, a meno che non aggiungi una tua chiave privata per 

criptare ulteriormente. Un sito che spiega bene questo mio esempio è 

crashplan.com
 (sistema di backup online senza limiti di spazio, se vuoi 

provarlo ti mando una codice per "amico").



ciao

Gabriele


 l'md5 non è un mia libreria



si, ma come stanno cercando di spiegarti, andava usata "cum grano salis", letteralmente & metaforicamente.

http://en.wikipedia.org/wiki/Salt_%28cryptography%29





 l'md5 non ï¿½ un mia libreria



l'md5 non ï¿½ una libreria di cifratura ma di hash



e chi fa l'hash md5 di una password senza usare altro (salt, ...) ï¿½ un 

pirla e merita di essere deflorato


 Perï¿½ meglio buttarla in politica...



Big-G l'unica cosa che puï¿½ fare ï¿½ mettere obbligatorio un livello di 

sicurezza in piï¿½, come quello che giï¿½ ha ma ï¿½ facoltativo (telefono / 

smartphone) o usare sistemi di generazione di chiavi casuali come fanno 

le banche (Verisign e compagnia cantante...).

Mi sembra un tantino esagerato...



Anche obbligando le persone a scegliere password complicate non si 

risolve il problema. Non c'ï¿½ difesa contro l'imbecillitï¿½ umana: se la 

persona decide di usare l'email Gmail e la *stessa* password nel 

sitarello Pincopallo Wordpresso cinese o russo o di installare il trojan 

nel salvaschermo porcone con le donnine nude, Big-G non ci puï¿½ fare 

proprio nulla.



M.



Ah bè, se tutto è alla mercè di tutti gli addetti ai server, mi sono fatto preoccupazioni inutili :-)


 pirla e merita di essere deflorato



peccato che il salt è un'informazione che è conosciuta da chi fa l'applicazione.


 sei fottuto la password, l'account è virtualmente perso. 



Ok, tra quel che dice Gabriele e quel che dici tu mi par di capire che il livello di sicurezza è basso, sia come accesso ai dati, sia come possibilità di non fotterseli in caso di pw persa. A meno che gli dò pure un cellulare e/o una email2 (*). Ma per accedere al cellulare o alla email2 mi serve una pw, ma se me la perdo mi serve l'email3 e la pw3, ma se.... :-)



(*) idea furba per acquisire qualche altro dato personale, con la scusa della sicurezza


 
http://en.wikipedia.org/wiki/Salt_%28cryptography%29




oh mamma, 

ma per te come fa un'applicazione ad autenticarti?

Prende la password in chiaro, la passa ad una funzione che la processa con qualunque salt vuoi metterci e ottiene il risultato da checkare con il valore sul db.

basta fare una select di tutto questo (x ogni singolo utente) e ottieni tutti gli utenti che hanno quella password.

Non ci vuole un genio a capirlo :S :S


 proprio nulla.



Questo è vero. E' però anche vero che la proliferazione di account di tutti i tipi rende obiettivamente difficile inventarsi userid e pw che siano tutte diverse ed inattaccabili, e poi ricordarsele.




 Ah bï¿½, se tutto ï¿½ alla mercï¿½ di tutti gli addetti ai server, mi sono fatto preoccupazioni inutili





Forse non le hai lette bene le condizioni d'uso dei prodotti Google 

(Gmail, Drive, ...)



Non c'ï¿½ neanche bisogno di arrivare ai server per avere tutto di te. 

Quando hai fatto click su "Accetto" senza leggere un cazzo delle 

condizioni che stai accettando, in quel momento gli stai dando accesso a 

tutto quello che hai sull'account Google.



Ma questo non ha nulla a che vedere con le password rubate. Questo ï¿½ un 

"contratto" fra te e Google, e nessun altro. Se tu poi la password la 

"regali" a terzi, Google di per sï¿½ non c'entra nulla.



M.


 Magari puï¿½ evitare di usare l'email intera come userid. L'hai spiegato benissimo come hanno associato quelle liste dei blog con gli account Google.



C'ï¿½ un sistema molto piï¿½ semplice: OpenID e OAuth. Facebook, Twitter, 

Google+ lo usano...



Ma ovviamente (purtroppo) un blog smandruppato magari non proprio legale 

non si mette a implemetare OpenID o OAuth per registrare gli utenti. Ce 

lo vedi l'utente che per accedere al blog PorconeSguaiate.ru usa 

Facebook e deve confermare e aggiungere il blog come contatto e app valida?



M.



spero tu non abbia sudato troppo in questa tua attività di acher. pensa 

che diverse password si trovano anche solo cercando l'hash md5 su google...







Qua ti sbagli! :)

è pieno di gente che usa l'account di FB per accedere a siti "sporcaccioni" e 

poi si lamenta che la morosa l'ha beccato! Ti assicuro che accade.

La cosa divertente è che così in questi siti a volte puoi anche vedere gli 

amici di FB che ha la maialona di turno.



ciao

Gabriele




 gli amici di FB che ha la maialona di turno.



Urca. Da qui si vede che non sono proprio Social :-)



Ho creato il mio primo account feisbùc solo poche settimane fa per 

motivi di lavoro (ennesima integrazione Facebook via OAuth e Spring).



M.





è per questo che esistono algoritmi come bcrypt (
http://en.wikipedia.org/


wiki/Bcrypt). divertiti un po' qui 
https://www.dailycred.com/blog/12/


bcrypt-calculator per ogni volta che genererai un hash non ne otterrai mai 

due uguali. 



 il livello di sicurezza è basso,



va beh, la discussione non può andare avanti all'infinito e se queste sono 

le tue comclusioni amen. 

fra l'altro se scrivi da google groups vuol dire che un account ce l'hai, 

magari la posta non la usi ma ciò non vuol dire che non la stia usando 

qualcun altro a tua insaputa :P

poi certamente del tuo provider di posta saprai tutto della sua sicurezza 

immagino molto superiore.



Questa pw2 ï¿½ per forza contenuta*in chiaro*



Ma anche no.



La password non e' chiave primaria per l'account dell'utente!.



Semplicemente quando perdi la password ti danno la possibilita' di 

sovrascrivere la vecchia password domandandoti qualcosa del tipo:



Se sei veramente tu l'utente Marcoxxx scrivi la tua email,

quale era la "domanda segreta" (e la relativa risposta) che hai scelto 

al momento dell'iscrizione (alcuni chiedono il cognome della madre, 

altri l'animale preferito, altri una combinazione di cose simili), ecc. 

E poi usano come chiave non la password, ma l'email (+ eventualmente 

quelle altre cose, tipo il cognome della madre, l'animale preferito, 

ecc) per prendere la nuova password che tu inserisci nel tuo browser sul 

tuo PC e inserirla criptata nel loro dB, senza memorizzare niente in 

chiaro, (probabilmente, se vogliono, neanche l'email ).



Il caso che citava Diego (mi pare) secondo cui lui parte "avendo gia' x" 

(cioe' la password in chiaro), e' un chiaro esempio di debolezza della 

stessa. Se scegli come password pippo e' chiaro che uno te la puo' 

beccare anche al primo tentativo, non c'e' bisogno di 10.000 anni.



Io non so se google mette regole del tipo "numero minimo di caratteri, 

contenere almeno un numero, almeno una maiuscola e una minuscola", ecc.

semplicemente perche' io scelgo *sempre* password che abbiano queste 

caratteristiche, indipendentemente che il sistema me lo imponga o meno.



Ciao,

Marco.


 se la tua vita e' appesa a una password di gmail te lo auguro, di tornare all'agricoltura :)



Sabato scorso mi e' capitato di parlare con una persona che da 4 anni si 

e' effettivamente data all'agricoltura e mi diceva di essere piu' che 

contenta della scelta (per altro mi diceva che ci sono attualmente 

condizioni favorevoli, tipo contributi o cose simili per chi si occupa

di tali attivita').



In precedenza non lavorava con i PC ma ha lavoravato per decenni nella 

segreteria di una scuola e poi aveva aperto un suo negozio di 

abbigliamento. Cioe' faceva Lavori che non hanno nulla da invidiare al

"programmatore quadratico medio", specialmente per quanto riguarda il

rapporto "risultato economico ottenuto/impegno richiesto".



La persona in questione ha qualche anno  piu' di me che ne ho 47 

(diciamo che ne ha dai 3 ai 6 piu' di me, non so con precisione) . E mi 

diceva di aver inziato questa attivita' 4 anni fa e in questi ultimi 2 

anni aver notato anche che molti giovani si affacciano a tale mondo

("molti" e' relativo, nel senso "molti piu' di quanti non fossero i 

giovani che si occupavano di agricoltura fino 4-5 anni fa").



Per cui direi sia da prendere con estrema serieta' il fatto che le 

prospettive future di chi torna all'agricoltura possano essere molto 

piu' rosee di quelle del programmatore informatico medio.





Ciao,

Marco






 beccare anche al primo tentativo, non c'e' bisogno di 10.000 anni.



lui partiva anche dal presupposto di usare md5, ovvero a password uguale 

corrisponde hash uguale. a quel punto scarichi le rainbow tables che trovi 

in rete e in un tempo ragionevole ne scovi una quantità industriale. 



ovviamente i siti internet coscienziosi e coscienti di essere soggetti a 

rischio di attacchi non usano md5. 




 "regali" a terzi, Google di per sï¿½ non c'entra nulla.



Se valgono i discorsi sulla reputazione, fornire un servizio di email più o meno carente non è ininfluente. 




 immagino molto superiore.

In effetti non so quale è la procedura in caso di pw persa. Devo indagare :-)


 chiaro, (probabilmente, se vogliono, neanche l'email ).



E' così, molti siti hanno questa famosa domanda "di riserva", la cui risposta è nè più nè meno di una pw di riserva. Molto più semplice e meno invasiva del numero di cellulare o di un'altra email. 


 così.



Non è vero. Altre volte è capitato ci fossero dei leak (es. recente 

LinkedIn) ma non sono mai uscite password in chiaro. Ipotizzare che le 

abbiano craccate tutte francamente è una stoltaggine che non si può 

sentire in una discussione fra informatici.



Se si guardano i fatti conosciuti invece di inventarsi storie di fantasia 

gli indizi portano proprio altrove:



- il fatto che siano tutti o quasi indirizzi gmail, segno che è stata 

fatta una incetta mirata. Se fosse stato un insider avrebbe avuto accesso 

anche agli account di domini privati provocando un danno esageratamente 

maggiore



- il fatto che buona parte delle password non funzionino. Questo combacia 

bene con l'ipotesi che questa raccolta l'abbiano fatta attraverso dei siti 

cialtroni o compiacenti che registrano le password in chiaro. Hanno preso 

tutti i 
gmail.com
, hanno pubblicato le password associate, chiaramente 

quelle che funzionano sono la percentuale di fessi (che non manca mai) i 

quali usano la stessa password. 


 comunque i dati sono accedibili anche senza.



Faccio veramente fatica a seguire questo discorso e un po' tutta questa 

discussione che mi sembra abbia dei contorni di follia.

Secondo te siccome c'è un amministratore che, in determinate circostanze, 

può accedere ai tuoi dati allora tanto vale dargli le credenziali in 

chiaro così entra quando e dove gli pare e direttamente con la tua 

identità. Un po' come dire siccome il ginecologo di tua moglie quando la 

visita glie la vede tanto vale dargli le chiavi di casa e fargli trovare 

il letto pronto.


 bruto, oppure lo hanno forzato da "dentro" Google. CVD :-)



infatti la tua fortuna è che non la pensano come te e non ritengono 

superflua la crittografia delle password. così con i dovuti accorgimenti 

non rischi il furto delle credenziali.


 non rischi il furto delle credenziali.



La mia fortuna, nel caso specifico, è che non ho mai usato neppure una volta quell'account (che tra l'altro io non ho mai richiesto).



Buon proseguimento.








 identità. 



Ipotesi per ipotesi, ci potrebbe essere un programmatore o sistemista malandrino che ti piazza nel server una specie di sniffer nel software che riceve la coppia userid-pw in chiaro dal client, prima della cifratura, in modo da salvarsela silenziosamente da qualche parte.

Dopodichè, è più facile e meno pericoloso catturare la pw in chiaro con lo sniffer, oppure facendo una serie di select su delle tabelle o simili, dove ovviamente gli accessi saranno loggati? A rovescio, è più facile difendere un gruppo di tabelle o files con ste pw in chiaro, oppure i punti in cui transitano i dati in chiaro dal client? Non lo so.

La sicurezza è costituita da molti aspetti, non è detto che crittare la pw sia irrinunciabile, a fronte di altri vantaggi, ecco tutto.








 volta quell'account (che tra l'altro io non ho mai richiesto).



postare nei newsgroup tramite l'interfaccia web di google groups richiede 

un account di google. quindi se davvero pensi di non averlo mai usato vuol 

dire che l'hai sempre usato a tua insaputa.

poi non dovrei essere io a spiegarti che leggere le mail non è l'unico 

danno che possono fare a seguito del furto dell'account di google. 

comunque, in ordine sparso: potrebbero distribuire materiale illecito col 

tuo google drive, pubblicare video pedopornografici su youtube, creare 

delle app illegali per fregare l'identità di altre persone, fare spam, 

usare google plus, eccetera, eccetera.




 usare google plus, eccetera, eccetera.



Vabbè, come no, ancora buon proseguimento.




 siti.



l'account di google è unico per *tutti* i servizi. hai detto anche che 

secondo te siccome a google avrebbero l'accesso ai contenuti mail tanto 

varrebbe avere le password salvate in chiaro. io ti ho fatto notare che è 

grazie al fatto che non la pensano come te se il tuo account non è a 

rischio furto e che puoi confidare nell'assunto "non uso l'account per 

registrarmi su altri siti quindi dormo fra due cuscini".

fra l'altro il male non è usare l'account di posta per registrarsi su 

altri siti (tutti chiedono l'email), ma farlo usando la stessa password.






Amen.

Ad ogni modo, per restare in tema, quei 5 milioni di account sinceramente credo 

proprio siano frutto di una botnet, non di chissà quali altri sotterfugi.



Gabriele