Newsgroup: it.diritto.internet
Titolo: password in chiaro nel database

Ciao, ho saputo che un sito che frequento tiene in chiaro le password degli 
utenti nel proprio database.
Siccome ogni tanto dò loro qualche consiglio, mi è venuta la curiosità:
apparte il buon senso di cifrarle in qualche modo per aumentare la sicurezza 
(immaginate se qualcuno riesce a prendere a blocco le password di tutti gli 
utenti), volevo sapere se c'è qualche riferimento legislativo che obbliga a 
fare in un determinato senso( conservarle cifrate ad esempio), oppure che 
faccia capire cosa può rischiare l'amministratore in caso di furto delle 
password stesse!
grazie! 

Salvo ha scritto:

Se non ricordo male alcuni protocolli (chap?) hanno l'obbligo di tenerle in 
chiaro perché la chiave di cifratura è dinamica
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Sturgeon's Law:
	90% of everything is crud.



Visto che ci sei, metti in CC (copia carta carbone) anche quelli di 
trenitalia.it
se le cose non sono cambiate da settembre, anche loro memorizzano la 
password in chiaro e non il suo hash
(per controllare far finta di essersi scordati la password)

 in chiaro perché la chiave di cifratura è dinamica
non mi sono spiegato, il senso della mia domanda era un altro, provo a 
esporre tecnicamente e poi richiedo:
quando un utente si registra, per es sceglie la password PIPPO.
questa password, è memorizzata così com'è nella parte di database 
riguardande l'utente in questione, se apri il database leggi proprio PIPPO 
nel campo password.
un'idea molto usata è conservare i risultati della funzione MD5 applicata 
alla password. MD5 è una funzione IRREVERSIBILE( attualmente non puoi 
risalire in alcun modo al testo di partenza o comunque è molto difficile, si 
potrebbe in alcuni casi ma non è questo l'oggetto del discorso perchè mi 
serve solo per esempio): e quindi nel database alla voce password ci sarà 
memorizzato "71725ec2824f2aa02f37575cc49c9928" invece che PIPPO.
se un utente fa il login, la password che scrive sarà passata alla funzione 
MD5, e verranno confrontati il risultato col valore nel database.
questo è utile alla sicurezza perchè se malauguratamente un malintenzionato 
si appropria del database, leggendo gli md5 non se ne fa nulla.
premesso tutto questo, la mia domanda era: c'è qualche legge che ti obbliga 
ad applicare queste misure di sicurezza? se non le applichi e qualcuno 
riesce ad appropriarsi delle password, cosa può rischiare l'amministratore? 

Salvo ha scritto:

E io ti ririspondo: questo lo puoi fare nei sistemi che te lo permettono.
Se invece usi altre autenticazioni (es chap) che usano un sistema dinamico 
di cifratura allora non puoi farlo.
Tra l'altro il chap è più sicuro proprio per la variabilità della chiave
http://it.wikipedia.org/wiki/CHAP
L'hash può essere anche un md5, non la password
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"There was a boy called Eustace Clarence Scrubb, and he almost deserved
it."
		-- C. S. Lewis, The Chronicles of Narnia

ho travisato se interpreto che non ci sono obblighi di legge visto che non 
sempre si può fare?
perchè se mi stai facendo un discorso puramente tecnico siamo OT :D 

 
in effetti.. è anche vero che se la parte tecnica è quella la legge può dire 
cosa vuole: i protocolli son protocolli.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Bureaucrats cut red tape -- lengthwise.

Salvo ha scritto:

Non capisco dove sia il problema nel momento in cui per accedere al db 
devo, ad esempio, bucare due firewall, la sicurezza sistemistica di un 
server e quella applicativa del db stesso... Mi pare che la sicurezza 
delle password dipenda più dall'infrastruttura che dal modo in cui 
decidi di salvarle.

 decidi di salvarle.
Beh... immaginati questo scenario:
applicazione web affetta da SQL Injection
se riesci a prelevare le password, un conto è avere come risultato gli 
hash, un altro è averle in chiaro
se poi mettiamo in conto che molte persone utilizzano le stesse password 
anche in altri siti dove magari ci sono informazioni ben più importanti 
le cose potrebbero cambiare.
Io credo che non ci sia nessuna legge che vieti il salvataggio delle 
password in chiaro, ma se non c'è un reale motivo di farlo, mi sembra 
abbastanza incosciente il *non uso* dell'hash, anche nel rispetto dei 
propri utenti.
Quando mi capita di richiedere password da un sito perché "me le sono 
dimenticate" e mi vedo recapitare in email la mia password originale, 
cerco di stare il più lontano possibile da quel sito... ma questo è una 
mia "limitazione"

 password stesse!
Trovi tutto nel codice della praivasi (misure minime di sicurezza, pene
ecc.)
-- 
 Candido

 ma questo č una mia "limitazione"
il fatto di avere un sistema di recupero password non vuol dire affatto 
che queste siano su un db in chiaro. Se non usi l'hash puoi cmq avere 
un algoritmo proprietario che possa considerarsi sufficientemente 
sicuro se non si tratta di un accesso a dati particolarmente rilevante.
Un esempio č l'acceso ad un server news, un blog etc etc. Devi sempre 
mediare tra benefici e controindicazioni
-- 
Ciao, Dmitry
I've a dream... bring usenet to every family