Newsgroup: it.diritto.internet
Titolo: Password in chiaro in email rinnovo servizi

Ciao,
 
ï¿œ ancora vivo il NG o conviene scrivere altrove?
 
Ho una domanda. Premesso che non sono paranoico circa la riservatezza, 
ma mi capita una cosa che mi sembra alquanto strana di questi tempi.
 
Ricevo email da un fornitore di hosting che mi ricorda i vari servizi in 
scadenza. Il punto ï¿œ che nel corpo delle email sono presenti le 
istruzioni per effettuare il rinnovo tra cui anche l'accesso all'account 
personale con tanto di nome utente e password in chiaro.
 
Domanda: ï¿œ normale una cosa del genere?
 
Marco

 Domanda: ï¿œ normale una cosa del genere?
 
Potrebbe succedere , tenere solo l'hash delle password ha dei vantaggi e 
degli svantaggi, ognuno si regola diversamente.
 
 
Giulia
 
 


Giusto per curiosita`, quale sarebbe lo svantaggio?
 
bye,
 
-- 
 
piergiorgio

> Giusto per curiosita`, quale sarebbe lo svantaggio?
 
La fase di recupero password richiede forzatamente la generazione di nuove password ad es...
 
Giulia
 
 
 


Uhm, si certo, ma mi pare un prezzo basso da
pagare in confronto al vantaggio dell'hashing.
 
bye,
 
-- 
 
piergiorgio

 nuove password ad es...
 
Quindi nessuno svantaggio dal momento che questa ï¿œ la procedura da
applicare anche per essere conformi alla legge (essendo che la password
ï¿œ PERSONALE e non va divulgata per nessun motivo).
 
-- 
Flavio Visentin
There are only 10 types of people in this world:
those who understand binary, and those who don't.
http://al.howardknight.net/msgid.cgi?ID=131971124500
 

Domanda: è normale una cosa del genere?
 
Non è buona norma mettere password in chiaro nelle email.  Basta uno
sniffatore lungo la strada e la può leggere
 
Se il tuo fornitore di hosting è anche fornitore di connettività ha
l'attenuante che comunque la mail passa solo attraverso la sua rete,
almeno fino al tuo router.

 ï¿œ PERSONALE e non va divulgata per nessun motivo).
 
Aggiungerei che, sul piano strettamente tecnico, conservare le password
hashed ti impedisce di usare meccanismi di autenticazione C/R.
 
Anche questo non ï¿œ un grosso svantaggio: mi son sempre stati sulle b***
comunque...

 pagare in confronto al vantaggio dell'hashing.
 
No se la password ad esempio e' configurata per varie ragioni su dei dispositivi (ad esempio client email o simili) e quindi il 
cambio ha un costo.
 
Giulia
 

 ï¿œ PERSONALE e non va divulgata per nessun motivo).
 
Escludendo questo caso (allegato B) visto che stiamo facendo un discorso generico:
-Cifratura dei dati personali idonei a rivelare lo stato di salute e la vita sessuale.
 
Potresti indicare l'articolo o la circolare CNIPA dove si menziona il metodo di immagazzinamento delle credenziali di autenticazione 
nel caso di dati personali e non SENSIBILI?
 
 
Giulia
 
 
 
 

 degli svantaggi, ognuno si regola diversamente.
 
 
Scusami, mi sono forse espresso male.
Non mi riferivo a come l'operatore gestisce *internamente* le password.
Parlavo del fatto che invia email (che potrebbero anche essere lette da 
altri, lui non puï¿œ saperlo) contenenti le password.
 
E' come se la banca ti scrivesse via email i dati di accesso o il codice 
del bancomat!
 
Basta scrivere "accedi al tuo account" senza riportarmi username e password.
 
E' su questo che chiedo un parere.
 
Ciao e grazie
Marco
 
 

 almeno fino al tuo router.
 
 
Eh no, offre solo servizi hosting, niente a che vedere con la connettività.
 
Ho intenzione di scrivergli per fargli notare la cosa. A parte il mio 
parere personale (che può benissimo essere sbagliato) c'è qualche norma 
o legge che la pensa come me?
 
Grazie
Marco
 
 

 E' su questo che chiedo un parere.
 
Di solito si invita a cambiare la password dopo queste comunicazioni, o e' buona norma farlo,
il tuo caso e molto specifico (gia conosci l'account e devi solo rinnovarlo), magari reputano che per
motivi commerciali vale la pena lavorare cosi' invece di rischiare che l'utente debba magari effettuare un recupero password e poi 
il rinnovo.
Come dico a tutto ci sono dei pro e dei contro.
 
Giulia
 
 
 
 

 altri, lui non puï¿œ saperlo) contenenti le password.
 
Le cose, credo, sono legate.
 
Se internamente ha solo hash, non puo` spedirti
la password per email.
 
Viceversa, per poter spedire un email con password
in chiaro, significa che, internamente, da qualche
parte, la password e` memorizzata come tale e non
solo come hash.
 
bye,
 
-- 
 
piergiorgio

 solo come hash.
 
 
Questo ï¿œ pacifico.
Ma il punto ï¿œ *perchï¿œ* deve mandare via email *ad ogni comunicazione* la 
password!
Penso che abbia ragione Giulia quando dice che lo ritengono 
commercialmente vantaggioso.
 
Volevo solo capire se si tratta appunto di opinioni o c'ï¿œ della 
giurisprudenza in merito.
 
Buona domenica!
Marco
 
 

 di dati personali e non SENSIBILI?
 
Ma certo... art. 34 della solita 196/03 dove testualmente ï¿œ recitato:
 
ï¿œ1. Il trattamento di dati personali effettuato con strumenti
elettronici ï¿œ consentito solo se sono adottate, nei modi previsti dal
disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:
	a) autenticazione informatica;
	b) adozione di procedure di gestione delle credenziali di
	   autenticazione;
	[...]
ï¿œ
 
Che guarda caso rimanda all'allegato B di cui sopra che tu per tua
comoditï¿œ vorresti escludere dal discorso e che recita:
 
ï¿œ2. Le credenziali di autenticazione consistono in un codice per
l'identificazione dell'incaricato associato a una parola chiave
riservata conosciuta solamente dal medesimo [...]
[...]
4. Con le istruzioni impartite agli incaricati ï¿œ prescritto di adottare
le necessarie cautele per assicurare la segretezza della componente
riservata della credenziale [...] ï¿œ
 
Che guarda caso asserisce proprio che ove si trattano dati *personali*
(quindi non esclusivamente dati sensibili) le credenziali *devono*
rimanere segrete (con l'eccezione del punto 10 che trova rarissima
applicazione reale).
 
Va da sï¿œ che queste sono le prescritte misure *minime* di sicurezza,
quelle che magari ti tolgono dall'impaccio del penale, ma non ï¿œ detto
siano sufficienti a salvare il Qlo da risarcimenti.
 
Finchï¿œ va tutto bene non ci sono problemi, il giorno in cui quella
credenziale salvata in chiaro viene rubata e magari riutilizzata in modo
fraudolento sono cazzi. E allora dubito che ti farai trovare a dire che
va tutto bene.


[cut]
 
Ok, mi avrebbe stupito che  la legge  desse indicazioni tecniche (che di solito sono date dal CNIPA nelle varie deliberazioni), ma 
come e' ovvio da solo indicazioni di massima, il resto sono considerazioni personali o fortemente dipendenti dal singolo caso 
ipotizzato.
 
 
Giulia
 
 
 
 

 fortemente dipendenti dal singolo caso ipotizzato.
 
Sono tutte considerazioni personali fino a che non le si va a discutere
in un tribunale...


 Giusto per curiosita`, quale sarebbe lo svantaggio?
 
Non le puoi usare per autenticazioni CHAP e per alcuni meccanismi SASL.
 
Ciao,
 
-- 
  Daniele "Vihai" Orlandi
  Bieco Illuminista #184213

 personale con tanto di nome utente e password in chiaro.
 
Hmm... anche Aruba la fa.
Se richiedi copia dei dati di autenticazione ti rispedisce user e pass
in chiaro...
m.
 
 
-- 
"La legge, in Italia, è come l'onore delle puttane"
(Curzio Malaparte)