Olimpo Informatico

[Zeus News]

Commenti all'articolo Furto di identità per migliaia di utenti
Alcuni server in Finlandia sono stati attaccati e i dati degli utenti resi disponibli a chiunque; a rischio soprattutto chi usa la stessa password per più servizi.


Foto di Nikolaus Wogen

[brgdni]

quale server è stato attaccato?
che tipo di rischio si corre concretamente?
perchè ci sono server in Finlandia che tengono i nostri dati?
Sono server per il backup a distanza?
Non dovrebbero essere super protetti questi server??
Non c'è la Polizia per i crimini informatici e Forense per "prendere" i furbi??
aspetto .......

saluti.

[brgdni]

scusate non avevo letto l'artico intero apparso su Zeus News,
pardon.


ora mi è più chiaro.

[Zorro]

Si è verò non sono molti quelli che ... io per esempio uso sempre la stessa anche perchè sul luogo di lavoro accedo a decine di applicazioni, tutte che mi chiedono la password ... se avessi l'abitudine di farle diverse dovrei poi girare con l'agendina cartacea delle password ...

che mi consigliate?

[SverX]

[anyfile]

Beh questo di come gestire le password è un argomento veramente interessante.

Tralasciando l'eventualità di utilizzare sistemi più complessi (che eliminano l'uso delle password) visto che non sono solitamente utilizzate, tralascio anche sistemi che si offrono di gestire loro le password (perche' se uno cambia computer come fa?) e mi limito pertanto a discutere del vecchio sistema in cui si inventa una password e cerca di ricolrdarsela.

Mi vengono in mente varie possibilità e mi sembra interessante avere il vostro parere su queste (ed altre) possibilità (tra parentesi metto anche la mia opinione -già che ci sono)

1) Una password robusta, difficile da crackare, e ricordarsele a memoria tutte.
(beh sembra la situazione ottimale, ma e' realmente fattibile, chi di noi riesce a ricordarsi a memoria una trenitna o frose piu' password robuste, generate causalmente? Bisognerebbe essere Pico della Mirandola)

2) Usare tante password (robuste, ecc) e segnarsele su un'agendina o sopra la tastiera
(a seconda dei casi e a seconda di quanta cura si mette nel assicurarsi che l'agendina rimanga al sicuro, la sicurezza di questo sistema puo' variare, ma temo che sia abbastanza facile che questo metodo possa essere implementato in un modo che risulta meno sicuro del terzo)

3) Una password sola (robusta, ecc) e ricordarsela a memoria

4) Utilizzare password leggermente diverse costruite con una parte comune (robusta, ecc) e da una seconda parte che varia a seconda del sito. Ricordarsi la parte difficile da ricordarsi è difficle quanto quella al punto 3 però a questo punto si può scegliere la seconda parte in modo che dato il sito sia facile ricordassi la seconda (ovviamnete il sistema è complicabile a piacere, ad esempio in alcuni casi la seconda parte puo' essere messa in fondo, in altri in cima, in altri in mezzo o altre complicazioni varie). Questo metodo seppure non altrettanto sicuro quanto il primo evita che l'hash delle password siano uguali, che i dati trasmessi via rete siano uguali e che se una persona si impossessa di una delle password non conosca immediatamente anche la altre (almeno fintanto che non individua il meccanismo di creazione)

Questi sopra sono soltanto alcuni casi. Ad esempio uno può utilizzare 3 password al posto di una, ma in questo caso ognuno dei tre sottoinsiemi vale come un insieme in cui se ne usa una sola.

Aggiungo inoltre che in molti casi succede che alcuni programmi hanno la "brutta" abitudine di spedire la password in messaggi d posta in chiaro. Oltre ad ovvi commenti e consigli da dare in queste situazioni aggiungerei anche che oviamente non bisogna utilizzare in questi casi password uguali o simili a quelle usate altrove (tranne al limite se usate ed eseposte in modo simile).

Altro discorso merita quello relativo al tempo ogni quanto cambiare le password. Temo che ad avere molte password diverse uno poi sia tentato a procrastinare il cambio delle password, altrimenti dovrebbe inventarsene e ricordarsene tante di nuove. Pertanto la domanda è meglio avere una password in comune ma cambiarla spesso oppure avere tante password ma cambiarle raramente?

[Blacks84]

che gran casino

[SverX]

[Orange]

[Zorro]

E che ne dite del sistema per la banca on line adottato da Unicredit?

la pwd è una stringa solo numerica poco lunga ma che dura pochi secondi?

Tra l'altro, l'algoritmo di produzione della stringa deve essere lo stesso sia sulla chiavetta locale che sul sistema centrale. Non si può crackare l'algoritmo sulla chiavetta locale?

Cos'è che lo protegge?

[SverX]

Non solo Unicredit, e non solo le banche...

il vantaggio è che la password è valida per poco tempo ed è generata da un algoritmo che non è reversibile (ovvero non mi basta segnarmi da qualche parte un certo numero di password generate in sequenza per poter predire le prossime...)

di solito si usa comunque insieme ai sistemi 'tradizionali' (user e password) così che anche se altri venissero in possesso del generatore dovrebbero comunque conoscere anche la user e la pass del proprietario...