Olimpo Informatico

[Zeus News]

Leggi l'articolo Furti di dati, il database di Have I Been Pwned si arricchisce di un miliardo di nuove password
È un buon momento per verificare se le vostre credenziali sono ancora al sicuro.


 
Foto di Zulfugar Karimov.
 

Segnala un refuso

[{luca}]

Quindi riescono ad accedere ai nostri dati "attraverso il furto diretto dei dati memorizzati nei browser o nei gestori di password".
Che i browser fossero inaffidabili già lo sapevo, ma i gestori di password, a parte LastPass (che dovrebbero ribattezzare LostPass), il colabrodo che la gente insiste ad usare, mi sembra che siano molto robusti.
Qualcuno sa quali sono quelli violati, grazie?

[milux]

ho verificato che la password "2cassodeverzesofegae" non è mai stata utilizzata e quindi può essere considerata sicura.

[milux]

[Homer S.]

Non è il pubblicare queste liste sterminate di passwords a costituire una minaccia, perché se ne ho cento miliardi poi devo provarle tutte nel caso pessimo per bucare un servizio. Casomai, la questione è se il servizio mi impedisce di provarne a raffica (ad es. imponendo il TFA) ed al contempo previene il rischio che un aggressore blocchi il mio account con deliberati e reiterati tentativi sbagliati.

[{UtenteAnonimo}]

@Homer prova a Google "password spraying" e poi dimmi se questi elenchi (leak massivi di password) non sono problematici.
Aggiungici che gli utenti riutilizano le password..

Comunque se esperti di sicurezza di tutto rispetto, che hanno alle spalle una solida carira lo reputano un problema, forse forse qualche domanda me la farei prima di (come hai fatto) sancire il contrario.

Io non conosco la tua professionalità (magari sei anche tu del settore cyber security ed hai delle validissime argomentazioni), però se me lo chiedi (personalmente) credo che con questo sparata tu abbia perso un altra occasione.

[SverX]

@UtenteAnonimo: una password di per sé è praticamente inutile se non associata a uno specifico accesso, peggio ancora quando è in una lista di miliardi

invece una coppia di credenziali è molto più pericolosa - vuoi perché è comune il riuso delle password, vuoi perché delle credenziali che *erano* valide potrebbero a volte bastare per ottenere l'accesso a sistemi non bene controllati...

[{UtenteAnonimo}]

@SverX sono d'accordo che un coppia utente password ha più utilità che uno sterminato elenco di password.
Ma come scrivevo i DB di password sono utili e sono realmente utilizzate dai criminali.

Password spraying e calcolo rainbow table, sono i primi due utilizzi nefasti che mi vengono in mente.

Ciò detto non mi risulta che il sito HIBP pubblichi queste informazioni, era solo per fare notare che quanto sostenuto da @Homer mi sembrava inesatto.

[Homer S.]

[{UtenteAnonimo}]

@Homer prendo atto che la tua opinione è diametralmente opposta a quanto sostengono gli esperti di sicurezza informatica.
Evidentemente loro (gli esperti) non hanno capito nulla.
Non prenderlo per un insulto, perché non lo è, semplicemente sono basito e credo che tu abbia perso un altra buona occasione.

I database di password sono usati dai criminali (e quindi ovviamente anche da chi si occupa di sicurezza in modo etico e legale) perché hanno un utilità (contrariamente da quel che credi).
Non sono strumenti inutili come sostieni, perché scollegati da account e servizio.
Un paio d' esempi d'uso mi pare di averteli fatti, se non sei d'accordo mi piacerebbe sentire una contro argomentazione.
Ad esempio in che modo un DB di sole password sarebbe inutile nel preparare un attacco di tipo password spraying?
Io credo sarebbe molto utile, di conseguenza è una "minaccia".

Comunque io dubito che sei ricercatori etici pubblichino un simile DB grezzo, caso mai pubblicheranno liste di hash di quelle password, così che si possano escludere senza condividerle/conoscere.

[{UtenteAnonimo}]

@Homer perdona il doppio post ma ho letto dopo la questione relativa all'ortografia.

Trovo sia indicativo della qualità delle argomentazioni il fatto che tu debba criticare la forma, come errori di battitura, piuttosto comuni quando si scrive con lo swipe da uno smartphone (+ correttore); invece che la sostanza del mio ragionamento.

Per l'errore di ortografico poi, mi spiace mi è capitato e mi capiterà ancora di scrivere messaggi non perfetti, purtroppo ogni mezzo di comunicazione ha i suoi limiti.
Confido che il mio interlocutore non abbia dei limiti così importanti, da non poter superare qualche inesattezza nella forma e focalizzarsi sui contenuti ;)

[SverX]

[zero]

Saro' diffidente, ma non mi sembra una buona indea "testare" email e password in un servizio web, come questo (o simile).
Lo scopo reale potrebbe essere proprio quello di rubare credenziali.


.

[Homer S.]

[Homer S.]

[{UtenteAnonimo}]

@SverX come scrivevo per attacchi offline, che usino rainbow table, avere un simile dizionario sterminato è utile.
Non sei d'accordo?

@zero Concordo in pieno sulla diffidenza. Però se uno ha il sospetto che gli abbiano cuccato la password, può sempre cambiarla prima e testarla poi (per togliersi il dubbio e sapere se fosse mai stato vittima di compromissione).

@Homer:
https://haveibeenpwned.com/Passwords

Letteralmente il primo risultato di Google..

[SverX]

@UtenteAnonimo sono d'accordo solo nel caso in cui uno conosca il valore del 'salt' a priori, altrimenti onestamente non penso servano a niente (oltre a richiedere chissà quando spazio e quanto tempo per essere generate...)

[Homer S.]

[{Sergio}]

Fino a quando il mondo non adottera un provvedimento universale contro certi crimini informatici utilizzando, in certi casi, anche la pena capiatle, non si avrà mai una soluzione praticabile e un minimo di sicurezza informatica.

[{UtenteAnonimo}]

@Homer ok buona giornata allora.
Prendo atto del fatto che scrivi bene, ma le argomentazioni scarseggiano.

Sarà forse perché non ci sono e sai di aver preso un granchio?

@ServX Dal punto di vista della sicurezza informatica il Salt è considerato pubblico per quanto ne so (la security sta nel fatto che ve ne sia uno non che sia segreto).
E la sua sola presenza rende inutili le rainbow table, perché andrebbero ricalcolate per ogni utenza (la loro utilità sta proprio nel calcolarle una volta ed utilizzarle molte volte).
Il punto è che non tutti i servizi sono "sicuri".
La sicurezza informatica al 100 per cento non esiste ed i servizi dovrebbero avere un approccio multifattoriale.

Pubblicare un dato che potrebbe compromette alcuni di questi fattori, non è inutile perché tanto ci sono strategie di mitigazione.
Al contrario aumenta il rischio perché elimina alcuni elementi della security dall'equazione.

Quindi il sito che era sicuro perché salva gli hash (e non lasciava le password in chiaro) torna ad essere suscettibile ad attacchi offline, come quelli che possono essere condotti con una rainbow table.

Spero di aver chiarito il mio pensiero