Newsgroup: it.lavoro.informatica
Titolo: forzare il periodico cambio password non è sicuro

e ora chi lo dice ai provider spid?
 
https://www.bleepingcomputer.com/news/security/aligning-your-password-
 
policy-enforcement-with-nist-guidelines/


Se volevano glielo dicevo io. Anzi, glielo potevo già dire 15 anni fa 
(prima che lo spid esistesse) se non 20, quando lavoravo già a Roma ma 
ero ancora residente in provincia di Firenze.
 
All'epoca c'erano orde di informatici fanatici addetti alla security (o 
meglio rincoglioniti più che fanatici), che non solo continuavano 
imperterriti a ripetere in ogni occasione le immani cazzate senza senso 
(che si capiva perfettamente già allora essere cazzate senza senso, 
senza bisogno di aspettare lo studio dell'Università del Nord Carolina) 
tipo che "la password deve essere cambiata spesso", "la password non può 
essere simile alle precedenti", "ecc."
 
(un tizio che blaterava queste cazzate l'ho sentito anche a Roma nel 
2019 ad una specie di convegno intitolaro code4Future o qualcosa del 
genere),
 
ma ad esempio l'inps molti anni fa implementava il cambio obbligatorio 
del pin di accesso ogni 6 mesi e per cambiarlo bisognava ricordarsi la 
password. Al sito dell'inps accedevo (e qualche volta accedo ancora) 
tipo una volta ogni due o tre anni, e ogni volta era la stessa storia: 
anche quando la password me la ricordavo perfettamente il sistema diceva 
che la password non andava bene e quando provavo a chiedere al sistema 
di poter generare una nuova password mi diceva che gli servivano la mia 
email e il mio numero di telefono, i quali miei riferimenti non sono mai 
cambiati dalla prima volta che ho acceduto al sito inps (che credo fosse 
nel 1998 o 1999) e sono ancora gli stessi, però il sito diceva che non 
conosceva né il mio numero di telefono né la mia email.
 
Almeno un due o tre volte fra il 2003 e il 2012 sono dovuto andare 
appositamente a Firenze alla sede INPS di viale Belfiore (partendo da 
Roma) per farmi sbloccare l'accesso al sito (perché all'epoca l'accesso 
te lo poteva sbloccare solo quella che era la tua sede INPS di riferimento).
 
E, per quanto ora ci sia uno studio che a quanto pare finalmente 
certifica che i danni da "forzamento di cambio della password" siano 
maggiori del "rischio che te la freghino se non la cambi", per quanto ne 
so io, non c'è mai stato  nessuno studio che dimostrasse il contrario,
cioè che c'erano meno danni a cambiare la password e rischiare di 
dimenticarsela piuttosto che rischiare che te la fregassero (tra l'altro 
come se, dopo che l'hai cambiata, fosse impossibile che te la 
fregassero. Anche questo vorrei capire chi è il genio che l'ha pensato).
 
Ma in mancanza di studi che lo dimostrassero , chissà per quale 
stra**a**o di motivo, si doveva comunque assumere che "la best practice" 
  era quella di cambiare la password almeno ogni 6 mesi.
 
E la stessa cosa avveniva in tutto ciò che riguardava l'informatica: un 
giorno un rincoglionito si svegliava e decideva che in quel certo ambito 
informatico si doveva fare in un certo modo e da quel giorno tutti 
dietro al rincoglionito di turno per fare quella che secondo lui era la 
"best practice", senza il benché minimo studio che dimostrasse niente
(e, almeno fino al 2012, in molti ambiti dell'informatica si è 
continuato a fare così [tipo modello di sviluppo a cascata, verso 
modello agile. In quel caso addirittura già nei primi anni 2000 c'erano 
già studi infiniti che dimostravano l'inadeguatezza del metodo 
waterfall, ma si è continuato imperterriti ad usare quello, almeno nelle 
grandi aziende]. Ho il vago sospetto che lo si faccia anche oggi 
[intendo seguire le genialate ideate dal rincoglionito di turno che 
inventa le sue "best practice informatiche", senza alcun studio dietro], 
anche se effettivamente non conosco gli sviluppi degli ultimi anni ).
 
 
-- 
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
https://www.avast.com/antivirus
 
 

 policy-enforcement-with-nist-guidelines/
 
Ma lo hai letto l'articolo?
 
nel test avevano già la vecchia password (scaduta) e indovinavano quella 
nuova grazie alla pigrizia degli utenti che si limitavano ad aggiungere 
un numero o ad incrementare l'ultimo esistente.
 
Grazie al cazzo!
 
Ricapitolando per che non sa l'inglese come te:
 
se ti hanno già fottuto la pwd , serve a poco cambiarla dopo 6 mesi, 
perchè molto probabilmente i malintenzionati indovineranno quella nuova 
in base a quella vecchia.
 
 
ARTICOLO DI ARIA FRITTA QUINDI
 
 


Esattamente tu, che sei esperto di inglese,  le seguenti frasi
come le tradurresti ?
 
Frase 1
--------
Somewhat ironically however, requiring frequent password changes can 
lead to users choosing weaker passwords.
 
 
Frasi 2-3
-----------
The problem is that over time, organizations have required users to use 
increasingly complex passwords. While long and complex passwords are 
difficult for an attacker to crack, they are also difficult for a
legitimate user to remember.
 
 
Frasi 4-5
--------
When users are forced to not only use such passwords, but also to 
frequently change them, users will inevitably resort to doing things 
that makes their password less secure. This might include writing their 
password down or creating new passwords that are simply variations of 
previous passwords.
 
 
Dopodiché riassumi pure con parole tue cosa significano le frasi da 1 a 5.


 chiaro anziché gli hash
+1

 memorizzano le password in chiaro anziché gli hash
 
diamogli una chance... magari come spesso capita al cambio pwd chiede 
anche la vecchia, in quel caso ce l'hanno per fare un confronto.
 

 tradurresti ?
 
ma come cazzo fai a ragionarci con questa mezza sega?


ogni tanto mi ricordo che una volta avevo molta pazienza
(e mi dimentico che ora non ce l'ho più).


 lead to users choosing weaker passwords.
 
mi fermo alla prima perchè già qui ti contraddici : se la prima era 
difficile lo sarà anche la nuova perchè ottenuta aggiungendo ( come dite 
voi) una cifra o incrementando l'ultima.
Quindi la nuova non può essere piu' debole PER IPOTESI .
 
 
 


torna a spargere bufale insieme il tuo compare, che è meglio. lì almeno il 
target di audience è di livello basso tendente al ritardato. 


Esattamente tu, che sei esperto di italiano, se un tizio A ti domanda
di tradurre 4-5 frasi dall'inglese all'italiano (frasi non scritte da 
A), dopo che tu hai riportato solo la prima frase ( in inglese  esenza 
tradurla) e aver commentato tale frase inserendo A nel gruppo di quelli 
che hanno detto qualcosa (aggiungere una cifra alla vecchia pwd ?), 
senza che  A abbia mai detto nulla del genere e facendo delle assunzioni 
strampalate (tipo che la prima pwd sia "difficile") dove la vedi la 
contraddizione di A, che si è limitato a chiederti di tradurre 4-5 frasi 
dall'inglese, senza fare alcuna ipotesi sulla "difficoltà" o debolezza 
di eventuali password ?


 strampalate (tipo che la prima pwd sia "difficile") 
 
LA PRIMA è DIFFICILE PER IPOTESI, CIOE' ti chiedono una lunghezza 
minima, presenza di numeri,maiuscole, caratteri speciali etc..
 
Quindi parti da una pwd STRONG e tale rimane, sempre secondo le vostre 
ipotesi.
 
Dai, è un articolo di aria fritta.
 

 
 
E' un articolo che dice che chiedere di cambiare spesso la password
aumenta il rischio di avere rogne piuttosto che diminuirlo, il che è una 
banalissima verità, facilmente riscontrabile da chiunque  nella vita 
abbia dovuto accedere  a qualche sito che richiede autenticazione.
 
E nonostante sia una banalissima verità (in un certo senso 
effettivamente "aria fritta") c'è gente (o almeno c'era) che continua a 
ritenere queste immani ca**ate delle "best practice"


 Purtroppo qui su NG mi pare di trovarne la conferma.
 
vittorio sta all'informatica come l'autoerotismo sta al trombare.

 chiaro anziché gli hash
 
sto approfondendo l'argomento in questi giorni, quindi aspetto prima di 
informarti che stai dicendo una cazzata ma ho il sospetto che questi 
problemi siano stati risolti grazie all'utilizzo di homomorphic encryption

Il 05/08/22 04:05, rootkit ha scritto:

dovresti spiegare perche e' una bufala
Tira fuori un discorso sensato invece che frasi di non sense tirando in 
ballo un misterioso compare che  in questo caso sembra che non abbia 
niente a che fare
 
 
-- 
|___|

 torna a spargere bufale insieme il tuo compare,
 
tipo questa
 
04 AGOSTO 2022 13:30
Covid, Ema: miocardite possibile effetto collaterale del vaccino Novavax
Il Comitato di vigilanza ha raccomandato di inserire i rischi (anche la 
pericardite) nelle informazioni allegate.


 
Si', effettivamente quello che dice Vittorio rispondendo a me non ha 
nulla a che fare né con quello che ho detto io, né con quello che c'è 
scritto nell'articolo.
Molto sensato non lo è. Effettivamente dovrebbe tirare fuori un discorso 
sensato, perché al momento discorsi sensati non se ne sono visti.


 pericardite) nelle informazioni allegate.
 
 


 
 
Secondo Telese e Bassetti i vaccinati non erano contagiosi
 
https://www.youtube.com/watch?v=3GludGyBGb4&ab_channel=L%27EconomiaSpiegataFacile
 

Il 06/08/22 16:17, Marcoxxx ha scritto:

Non ho seguito il discorso di questo thread per poter prendere una 
posizione
Semplicemente volevo solo affermare che per alcuni personaggi dare 
gratuitamente dei dementi,complottisti e chi piu ne ha piu ne metta e' 
il modo facile per metterla in caciara
Imparare a discutere da persone civili per alcuni non sembra possibile
 
 
 
 
 
-- 
|___|

 Imparare a discutere da persone civili per alcuni non sembra possibile
 
 
succede perchè non sanno perdere (inoltre si vergognano , a volte 
inconsapevolmente, di aver dato subito fiducia e ascolto a chi poi si è 
rivelato fanfarone e incompetente..per una sorta di sindrome di 
Stoccolma però li difendono ancora e ne continuano pure i calcoli errati..)

 succede perchè non sanno perdere 
 
Bravo, hai vinto, mi dichiaro sconfitto.
Adesso che ho soddisfatto le tue brame, la smetti di rompere le balle urbi et orbi?