Newsgroup: it.comp.os.win.windows10
Titolo: [Ot] Lastpass

come vi ponete nei confronti di lastpass?
 
https://youtu.be/IfVwrfDLHzA
 

 
https://youtu.be/IfVwrfDLHzA
 
 
Lo uso da quasi un anno. MI trovo benissimo. Integrazione perfetta
con tutti i dispositivi e browsers, sia con android che con windows.
 
-- 
Mister Palletta
www.misterpalletta.com
 

 
https://youtu.be/IfVwrfDLHzA
 
 
Un pssword manager come estensione del browser e va sul cloud su cui 
mettere tutte le tue password non mi sembra la soluzione migliore.
Se craccano il sito, che fai?
 
Usa piuttosto Keypass Password Safe su pc, gratuito e opensource, 
almeno il file criptato che contiene le tue password risiede sul tuo 
pc.
E il file lo puoi anche travasare sullo smart e aprirlo con la versione 
di keypass adatta.
 
Sarà meno comodo, ma pure molto più sicuro, e devi ricordare solo una 
password.

 come vi ponete nei confronti di lastpass?
 
Preferisco Keepass con il database salvato su cloud drive (Dropbox, Onedrive,
Google Drive...)
 
Enrico

 Usa piuttosto Keypass
 
+1
 
-- 
Ciao, Guglielmo.

 password.
 
Anche con lastpass la password da ricordare è una, la master, che
scegli tu e puoi cambiarla quando vuoi. Oltre a questo, è possibile
usare l'impronta digitale sui dispositivi mobili. Certo, non affiderei
mai a nesun psw manager il pin delle mie carte di credito, dati bancari
o altre informazioni sensibili. Quelle andrebbero custodite in luoghi
ben più sicuri, file criptati in locale o, meglio ancora, nella propria
testa. Ma per le psw di accesso a siti web e apps, un psw manager deve
essere comodo e immediato. IMHO, ovviamente.
 
-- 
Mister Palletta
www.misterpalletta.com
 

 basta zippare un file di testo usando una psw decente).
 
Tralasciando che zip è facilmente craccabile, mai usato keepass, eh? ;)
 
Enrico

 Se craccano il sito, che fai?
 
Esattamente, io gestisco tutto a casa con KeypassX su Linux ed ho una 
copia del db sul telefono Android ed una sul PC Windows dell'ufficio.

Enrico Bianchi ha spiegato il 22/03/2018 :

Beh, non lo so se un file zip criptato con psw da 12 caratteri in poi
è così facilmente craccabile. Ma comunque non è un mio problema.
A dire la verità si, ho provato keepass prima di lastpass.
Ho scelto quest'ultimo, non ricordo perchè... forse qualcosa non
mi piaceva con keepass sui dispositivi mobili... non ricordo.
 
-- 
Mister Palletta
www.misterpalletta.com
 


 
Non vengono salvate le password, ma solo gli hash

Rispondo quì sotto a Skywalker Senior

Meglio così..


questo e' quello che raccontano.
Anche il patron di facebook ne raccontava di balle, sino a ieri.

 Ma comunque non è un mio problema.
 
Lo può diventare nel momento in cui ti può servire, sono quelle cose che è
meglio sapere anche solo per conoscenza generale ;)
 
Enrico

 Anche il patron di facebook ne raccontava di balle, sino a ieri.
 
Il caso Facebook non c'entra un'emerita cippa. Lì si è trattato di un 
caso di mancata analisi da parte di FB di cosa faceva veramente l'app 
incriminata, che usava in modo fraudolento una funzionalità (il 
passaggio dei dati tra "amici") prevista dai termini d'uso che tutti 
sottoscrivono ma che nessuno legge.
 
Tutti i servizi, più o meno seri, che immagazzinano password (non solo 
i password manager) salvano solo gli hash, e non le password in chiaro, 
a meno che non siano programmati da uno scalzacane.
Poi ci sono servizi che usano algoritmi deboli e quindi l'hash viene 
crackato rapidamente tramite brute-force.
 
Poi se si vuol fare il complottista a tutti i costi, segnati pure le 
tue password su un foglietto volante tenuto "segreto" sotto la tastiera 
del pc. Magari tieni anche il codice del bancomat "al sicuro" nel 
portafogli. Ognuno è libero di fare quel che vuole.

 i password manager) salvano solo gli hash, e non le password in chiaro, 
 
Mi sembra strano, un password manager deve permetterti di recuperare la
password in chiaro, se salvi l'hash non la recuperi se non pregando la madonna
 
Enrico

Enrico Bianchi a écrit :

Non funziona così. La password in chiaro la vedi solo tu dopo aver 
effettuato l'autenticazione, questo perché l'hash che viene salvato nel 
loro database è (semplificando molto) la "somma" della password da 
salvare più quella del password manager stesso, il tutto viene criptato 
in modo reversibile e se ne ricava un hash. Quando tu interroghi il 
loro database, il client che hai installato effettua l'operazione 
inversa e ti fa vedere la password in chiaro


Ma fatti questa domanda, una volta per tutte:
chi fornisce servizi "agratis" da dove cazzo gli spuntano
i soldi per fornire il servizio?
Ecco, poi tu e tutti siete liberissimi di lasciare il codice bancomat
su un server.

 su un server.
 
Ribadisco il concetto, evidentemente poco chiaro: Facebook non è 
LastPass (o altro password manager)
 
Facebook è gratis e dichiara apertamente di finanziarsi profilando gli 
utenti (se si leggessero i contratti prima di firmarli...) e vendendo 
tali dati a tarzi (per pubblicità in genere). Idem fa Google.
 
LastPass ha una versione a pagamento, ed è con questa che si finanzia.
KeePass è un progetto opensource e, come tanti altri progetti del 
genere, è fatto da volontari per loro interesse, non per soldi (e se ne 
avessero bisogno, chiederebbero donazioni volontarie, come ogni tanto 
si vede in giro)
 
Ma pensi davvero che tali prodotti esisterebbero ancora in rete se 
facessero l'esatto opposto di ciò che sono chiamati a fare (proteggere 
password)?


Io penso una cosa sola:
lasciare un qualsiasi "oggetto" personale di rilevanza 
economica/giuridica o cumunque che comprometta il pubblico profilo di 
una persona
in balia di terzi ovvero nel "cloud" come e' di moda oggi
sia una cosa da:
 
I D I O T I.
 
Del resto ben si sa che la massa di idioti e' la maggioranza.

Il 23/03/2018, Bruno Tabarro ha detto :

La differenza è data dalla CONSAPEVOLEZZA di cosa si mette su cloud e 
SU QUALE cloud (e Facebook NON è un servizio a cui affiderei niente di 
più importante della ricetta della torta di mele).
Poi, se si vuol continuare a vivere nel XIX secolo, prego. Sappi, però, 
che volente o nolente, i tuoi dati sono comunque in rete da qualche 
parte.
 
Aneddoto: ho un cliente che ha una fobia per tutto ciò che è "internet" 
in generale, quindi niente social, niente cloud, niente smartphone, 
ecc...
Giocoforza, per lavoro, ha un conto corrente con accesso dal web. Bene, 
è l'unico caso che mi sia mai capitato di persona, in cui sono riusciti 
a sottrarre dei soldi dal conto, presumibilmente per mezzo di un 
attacco MitM, proprio perché il tizio, non avvezzo all'uso di tali 
servizi, si è fatto abbindolare da una mail di phishing.
L'idiozia non sta nell'usare o meno certi servizi, ma nell'usarli bene 
o alla CdC

On 22/03/2018 13:31:47... Enrico Bianchi (
enrico....@ymail.com
) 
wrote :

+1 ;)
 
-- 
   .:. Please, avoid TOP quoting & DFTT .:.
ByE bYe By Taf® - wPP Team Member
Ita: 
http://www.winpenpack.com/main/index.php
 Eng: 
http://www.winpenpack.com/en/index.php
 
CIT: Non discutere con un idiota; ti porta al suo livello e poi ti 
batte con l'esperienza!

Rispondo quì sotto a Skywalker Senior
 
 

Quoto tutto.
 
per quello che riguarda me, che orgogliosamente non uso nessun social 
network, sono tentato di iscrivermi a faccialibro solo per conoscerlo 
meglio e per poterlo ignorare con maggiore consapevolezza delle sue 
procedure....
Specialmente vorrei conoscere meglio le procedure di cancellazione 
dell'account, dato che ho alcuni amici che vorrebbero farlo, e lo 
chiedono a me che non ne so nulla.
 
Ma non so se lo farò.

 CdC
 
Straquoto alla grande!
 
-- 
Mister Palletta
www.misterpalletta.com
 

Dopo dura riflessione, Enrico Bianchi ha scritto :

Io uso entrambi. LP per le password dei siti (ovviamente non quelli 
sensibili come banche, ecc...), KP su chiavetta per cose un po' più 
delicate


Questo non fa che confermare quello che penso sia giusto.


Non vi è nulla di "male" nell'iscriversi a FB e né è segno di stupidità
e/o di cieco conformismo. I grandi numeri sono SEMPRE una cosa seria
anche quando collidono con le nostre personali presunzioni. La
"ragione" non attiene all' etica ma alla quantità.
 
 
-- 
--
si sta come si sta / è solo s-tare

 -- 
 
e STOCAZZO!
ma va a cagare la "ragione" l'etica e la quantita'.

 Questo non fa che confermare quello che penso sia giusto.
 
Ti rendi conto, vero, che anche se non ci sono foto di gattini, un 
newsgroup è DI FATTO un social network e tu stai sputazzando bile come 
una ragazzina adolescente davanti alla foto della fighissima 
neo-fidanzata del suo idolo?


e tu ti rendi conto che dandomi seguito ti comporti come un
adolescente invidioso del pene altrui?


Mondo difficile, quale fu mai l'offesa?
Che sia colpa del capitalismo?
 
-- 
--
si sta come si sta / è solo stare

Dopo dura riflessione, Bruno Tabarro ha scritto :

AHAHAHAHAHAHAH!!!!!!! PLONK

 "segreto" sotto la tastiera del pc.
 
 
Oppure su un foglietto in mezzo a uno dei circa novanta
raccoglitori che ho in ufficio :-)
Buona ricerca!
A proposito, ovviamente non invito nessuno di voi a visitare
il mio ufficio. :-(

 password.
 
 
Concordo in Pieno.
 
Io poi avendo 2 NAS (uno in ufficio e uno a casa) sto usando un Cloud 
Interno, su cui salvo anche il file di keepass e me lo ritrovo sempre 
aggiornato fra i vari PC.
 
 
 
 
-- 
Daniele Pinna  (leva oops. per rispondere)
Utente Skype: dapinna
Sito Web: 
http://www.dapinna.com
 
Il Docfa in Pillole:  
http://www.ildocfainpillole.it
 
DAPINNA.COM
 su Facebook: 
https://www.facebook.com/dapinnadotcom
 
Blog - Storie di un Laboratorio di Informatica: 
http://storielaboratorioinformatica.wordpress.com
 
-----
*** Powered by Linux KUbuntu 16.04.1 LTS (Xenial Xerus) ***


Un attimo questa cosa non mi torna.
Premetto che non ho mai usato Lastpass... ma se dice che usa degli Hash, 
non capisco come possa funzionare.
 
Es.
 
Sul PC di casa memorizzo una password per collegarmi ad un sito... e 
questa viene memorizzata come Hash su Lastpass.
Poi vado sul PC in ufficio... e mi voglio collegare di nuovo a quello 
stesso sito; Se Lastpass fornsisce l'Hash della password al il sito non 
potrò dare l'accesso... il sito vuole la password.
 
 
Semmai il sito al suo interno userà memorizzerà  nel DB l'Hash della 
password e al successivo accesso dopo aver chiesto la password la 
trasforma in Hash e lo verifica con l'Hash memorizzato nel DB... se sono 
uguali concede l'accesso.



Forse in questo caso il termine Hash è improprio.
 
Perché l'Hash dovrebbe essere irreversibile o meglio ad una sola via.
 
In altre parole, se è reversibile non è un Hash ma semplice cifratura.
 
 
https://it.wikipedia.org/wiki/Hash
 
 
"Nel linguaggio matematico e informatico, l'hash è una funzione non 
invertibile che mappa una stringa di lunghezza arbitraria in una stringa 
di lunghezza minore. [...]"


 loro database
 
Quindi Lastpass non ti permette di vedere che password hai impostato sul
sito tal dei tali?
 
Enrico

 Non vengono salvate le password, ma solo gli hash
 
Da quelle che scriva Daniele nell'altro ramo del thread, allora  
lastpass fa solamente una criptazione delle password.
 
A maggior ragione penso con favore a KeyPass, che le password le 
contiene cifrate per bene se usi una master password lunga.

 Enrico
 
Certo, ma prima devi aprire la tua cassaforte con la tua password,
come per ogni altro password manager!
 
-- 
Mister Palletta
www.misterpalletta.com
 

 cifrate per bene se usi una master password lunga.
 
Penso che sia lo stesso per lastpass (27 caratteri basteranno??? :-D ).
 
-- 
Mister Palletta
www.misterpalletta.com
 

 lunghezza minore. [...]"
 
Precisazione: Crittografia AES 256 bit con PBKDF2 SHA256 e hash salted

Dopo dura riflessione, ArchiPit ha scritto :

Il principio è lo stesso, l'unica differenza è che uno mantiene il DB 
offline mentre l'altro è online. In caso di violazione di quest'ultimo 
(è già successo), il mariuolo digitale si trova comunque in mano solo 
una lista di password criptate (AES a 256 bit con PBKDF2 SHA-256 e hash 
salted) non proprio semplici da decrittare.

 come per ogni altro password manager!
 
Quindi, di fatto, Lastpass non salva gli hash (che sono ad una via), ma le
password recuperabili
 
Enrico

 Io penso una cosa sola:
 
Banalmente, ti fai la dichiarazione dei redditi da solo o vai da un
commercialista/caf?
 
Enrico

 l'accesso... il sito vuole la password.
 
Infatti, dunque sembrerebbe che LastPass memorizzi le password vere.
 
Oppure che lastpass trasmetta da un dispositivo all'altro, 
apparentemente senza memorizzarle, le password.
 
Solo che così facendo le password transitano "in chiaro" per i suoi 
server e lui dice "ah, si, tu sei la password per il sito taldeitali 
che coincide all'hash che ho".
E dunque continua ad essere testimone o depositario di una password "in 
chiaro".

Enrico Bianchi hat am 27.03.2018 um 23:23 geschrieben:

La faccio da solo, però, come dice il mittente, sono
emigrato e qua è molto più semplice farla che in Italia. :-)

Enrico Bianchi ha usato la sua tastiera per scrivere :

A quanto pare! Perchè con altri psw manager non si può?
 
-- 
Mister Palletta
www.misterpalletta.com
 

 chiaro".
 
Vi state facendo dei film mentali niente male.
La cosa è molto più semplice: le password vengono criptate e decriptate 
solo alla fonte (dal client installato sul pc dell'utilizzatore o dal 
plug-in del browser) e memorizzate SOLO in forma criptata. Non 
transitano MAI in chiaro sulla rete o tra un dispositivo e l'altro


Da solo, e quindi?

 A quanto pare! Perchè con altri psw manager non si può?
 
Certo che si può, ma come era tato fatto intuire dal post iniziale, sembrava
che Lastpass salvasse l'hash delle password e non le password
 
Enrico

 sulla rete o tra un dispositivo e l'altro
 
D'accordo, ma qualcosa non torna o  mi sfugge: se posso accedere allo 
stesso sito da dispositivi diversi (tramite cloud) dopo che ho cambiato 
da un dispositivo la password, come avviene che la comunicazione in 
modo?
 
Oppure stiamo dicendo la stessa cosa: che cioè le password sono 
memorizzate solo in locale, ma transitano criptate (quell' "in chiaro" 
che avevo messo tra virgolette) tra i miei dispositivi e un cloud 
gestito da non si sa chi e non si sa dove.
 
E allora, dato che le ho già in locale, preferisco keypass.
 
Ovviamente, io ho pochi siti per accedere ai quali necessito di 
password e non uso social network, per cui la mia necessità di accedere 
frequentemente che ne so a facebook è nulla.
Capisco invece che chi vi acceda più volte al giorno necessiti di 
lastpass.

Scuisate, il post mi è partito accidentalmente...
 
Riassumo e concludo:
 
dato che l'hash non è reversibile e sono memorizzate in cloud, le 
password criptate (quell' "in chiaro" tra virgolette che avevo usato) 
devono comunque passare dal cloud per necessità di sincronizzazione, e 
nulla vieta il pensare che possano restarci (criptate; e avendocele, la 
voglia di crackarle l'avrei anche io...). Il sito cloud avrebbe allora 
sia l'hash che la password.
 
Ragiono solo sulle possibilità, non per voler pensare male.

 contiene cifrate per bene se usi una master password lunga.
 
Non è la lunghezza della password a farla sicura, ma il come la scegli. Per
intenderci, 
https://xkcd.com/936/
 
 
Enrico
P.S. anche la combinazione password più file chiave in Keepass fa la differenza

 Solo che così facendo le password transitano "in chiaro" per i suoi 
 
Come si è capito in questo thread non ho mai usato Lastpass, ma penso che i
requisiti minimi di sicurezza li rispettino, ovvero che i dati transitano via
HTTPS
 
Enrico