Inserito da: Ripley - 03 Mar 2016, 17:44:45
Era da un po' di tempo che ci stavo pensando.
Ormai penso tutti noi (io si) abbiamo troppe utenze e password da ricordare: millemila siti che visitiamo molto spesso (se non tutti i giorni) tra forum, shopping online, home banking, utenze domestiche, app sul cellulare...ogni tanto ci impicciamo, o peggio ce ne scordiamo una e andiamo a sbirciare quel foglietto nel portafogli (versione preistorica), o quell'elenco Excel (versione moderna ma superata) che nel tempo abbiamo compilato.
Tra parentesi gli anni avanzano inclementi, la memoria è quella che è, e viviamo in anni di confusione digitale, di bulimìa delle informazioni, di tempo libero mal gestito...
Magari per fare prima abbiamo anche messo online nella cosiddetta Cloud il file Excel (o qualsiasi altro file corrispondente) per averlo sempre disponibile ovunque, e usiamo la stessa password su più siti (io per primo) e così, in caso di hackeraggio di uno di questi database, facciamo felici gli hacker e mettiamo a rischio le nostre informazioni.
Il mio file XL è arrivato a contenere circa 200 voci. È protetto da una password, ma sappiamo bene che anche un bimbominkia può crackare i file di Office in un nanosecondo o due.
La scintilla finale probabilmente me l'ha data pochi giorni fa la notizia dell'avvenuto hackeraggio (http://blog.linuxmint.com/?p=3001), il 20 febbraio scorso, del sito di Linux Mint, distribuzione che ho da un po' installato accanto al mio venerando XP (*).
Naturalmente ho un account sul loro forum sulla cui pagina campeggia da giorni l'inquietante avviso che "All forums users should change their passwords", e così ho fatto, o meglio, appena cominciato a fare.
Il processo può intimidire un po' all'inizio, e ho l'impressione che non sarà nè semplicissimo nè veloce, ma ormai ho deciso e non si torna indietro.
(*) Avere un sistema operativo vecchio come XP non aiuta per niente dal lato sicurezza! :spiteful:
Una cosa importante per costruire una password forte è allargare al massimo il range di caratteri che la comprendono, lo "spazio di ricerca", come definito da GRC a questa pagina (https://www.grc.com/haystack.htm). Più è largo questo spazio, più è lungo il tempo che un eventuale algoritmo brute force deve lavorare per trovare la nostra password.
Per esempio, se usiamo una password composta da soli caratteri numerici, ogni volta che aggiungiamo un numero in più alla nostra password, rendiamo la vita 10 volte più difficile al cracker, perchè i caratteri numerici sono 10 (da "0" a "9").
Se usiamo una password composta da soli caratteri minuscoli, ogni volta che aggiungiamo un carattere in più alla nostra password, rendiamo la vita 26 volte più difficile al cracker, perchè quello è il numero dei caratteri ASCII minuscoli (da "a" a "z").
Per questo motivo, e se il sito su cui stiamo cambiando password ce lo permette, dovremmo usare a nostro vantaggio tutto lo "spazio" disponibile, cioè usare sia caratteri minuscoli, che maiuscoli, che numeri, che simboli.
All'inizio di questo mio personale ragionamento sulla sicurezza delle password, che avrò iniziato a fare qualche mese fa, pensavo di scrivere un post partendo dal sito ss64.com (che visito spesso per trovare dritte sul linguaggio batch), su cui ho trovato un paio di pagine molto semplici dedicate proprio alle password. Magari queste pagine possono già bastare a molti utenti.
L'indirizzo della prima pagina è:
http://ss64.com/pass/pass.html
e funziona sulla base di una "master password", che rimarrebbe l'unica password da ricordare veramente. Vedremo che il concetto di "master password" viene usato un po' su tutti i siti/programmi dedicati alla soluzione di questo problema.
Come si vede a quell'indirizzo, ci sono già una serie di siti popolari preimpostati (ma possiamo aggiungerne altri nel campo "Custom"). Digitando una "master password" e cliccando su "Generate" verranno create le password univoche per ogni sito, create a partire dalla master password e "personalizzate" con la stringa che definisce il singolo sito.
Il funzionamento è molto semplice: digitando "pippo" come master password e "tuttovola" come sito Custom, la password creata per Tuttovola.org è "oA4FFa2Q1a".
ATTENZIONE che se invece nel campo del sito Custom digitiamo "Tuttovola" con l'iniziale maiuscola (a parità di master password), la password generata sarà del tutto diversa (in questo caso lejnH/IU1a)!
Quindi per non confonderci, adottiamo un criterio standard, e decidiamo preventivamente se scrivere tutto in maiuscolo, o in maiuscolo, o solo l'iniziale maiuscola, o in qualsiasi altro modo preferiamo.
Naturalmente "pippo" come master password fà cagare, e dovremo inventarcene una, come si dice in gergo, un po' più forte, cioè più lunga e complessa, che comprenda magari minuscole/maiuscole/numeri/simboli/segni di interpunzione, ecc...
Lo stesso sito propone un'altra pagina che, con lo stesso identico funzionamento, genera password più robuste. L'indirizzo è:
http://ss64.com/pass/
Può capitare che la pagina di login del sito di cui stiamo generando la password non accetti password di questa lunghezza, quindi di volta in volta bisognerà prestare un minimo di attenzione.
La figata è che queste pagine sono (naturalmente) raggiungibili anche da un cellulare (c'è anche la versione "mobile" (http://ss64.com/pass/mobile/) della pagina), o da un eventuale altro nostro pc, quindi se ci scordiamo la password di un certo sito, o dobbiamo reinserirla perchè siamo stati disconnessi, non avremo problemi a rigenerarla...ci basterà ricordare la nostra master password! :good:
Perdendomi nel sito ss64.com, precisamente sulla pagina che parla dell'entropìa di una password (http://ss64.com/docs/security.html) (cioè la sua resistenza ad essere crackata), sono arrivato al programma KeePass Password Safe (http://keepass.info/) che già conoscevo di nome da anni, ma non avevo mai usato.
Esiste in versioni 32/64, per Windows/Linux, Portable, ecc...
Ora questo non vuole certo essere un tutorial su KeePass (non lo conosco ancora quasi per niente, e mi pare anche un tantino complesso) ma piuttosto un mio semplice coming out sulla questione "sicurezza password". Ebbene sì, ho un problema e sto iniziando ad usare KeePass!
KeePass è un semplice programmino che genera un DB di password forti che noi andremo ad associare ai nostri siti preferiti, memorizzando nome utente, url e tutti gli altri dati che vorremo inserire.
Questo DB viene criptato (con algoritmo AES 256 (https://it.wikipedia.org/wiki/Advanced_Encryption_Standard)) sulla base della nostra "master password" che digiteremo all'apertura del file.
Oltre a questa password, ho anche abbinato un file su una chiavetta USB come extra livello di protezione (può essere un file creato da KeePass, o un nostro file già esistente).
All'apertura del DB la chiavetta deve essere inserita sennò, anche se digito la password, questo non si apre. Se mi perdo la chiavetta, son dolori... :spiteful:
KeePass ha un sacco di plugin che ne estendono le funzionalità (backup, integrazione col browser, sincronizzazione), ma che ancora non ho visto.
Ha anche una funzione per l'autocompletamento dei dati di login nelle rispettive maschere, ma non ho ancora visto nemmeno questa. Insomma, il programma è potente e pieno di funzioni, va solo capito.
La prima impressione, dovuta in maggior parte alla mia scarsa conoscenza di KeePass, è che come programma sia macchinoso e ci si debba stare un po' attenti, ma forse è uno dei più sicuri.
Il DB principale ce l'ho su E:\ ed il file di controllo sta sulla chiavetta. Per ovvie questioni di sicurezza è meglio che questi due file NON siano sullo stesso supporto, e tanto meno su Cloud (Dropbox, Google Drive, ecc.)...Ora che ci penso forse il solo file di controllo su Cloud ci potrebbe anche stare...mi informerò.
Comunque basta stare un po' attenti e farsi una copia del DB principale quando si fa anda/rianda tra casa e ufficio.
Ho già iniziato da ieri a migrare le mie stupide e ripetitive password a questo nuovo sistema. Per ogni sito faccio il logout e mi riloggo con la nuova password univoca (un po' mi tremano le mani, non conoscendo bene il programma), e se avrò difficoltà o problemi ne scriverò di sicuro qua.
Avendo un pc a casa, uno in ufficio ed il cellulare, il logout/login lo devo fare su tutti e tre questi dispositivi (e digitare password decisamente assurde sul cellulare può essere un bel PITA (http://www.urbandictionary.com/define.php?term=pita), come dicono gli inglesi). Ma vabbè, ormai sono in ballo.
Un problema - appena incontrato stamattina, ma per fortuna semplice - è che la mia chiavetta USB sul pc di casa è vista come I: mentre il pc dell'ufficio la vede come G: quindi ho dovuto cambiare lettera al drive dalla gestione disco. KeePass memorizza questi percorsi in un suo file XML e si aspetta di trovare i file al loro posto.
Il problema della lunghezza del campo password sulla maschera di login di ogni sito va valutato di volta in volta, anche con KeePass (e con ogni altro sito/programma dello stesso tipo).
LastPass (https://lastpass.com/it) è uno dei programmi che va per la maggiore, almeno sui siti di recensioni, sta sempre ai primi posti (googlare "Password Manager").
In pratica il suo nome è il suo stesso slogan: il logo infatti recita "The last password you'll ever need", cioè "l'ultima password di cui avrai mai bisogno", la famosa Master Password.
Sto provando anche questo. Esiste sia in versione programma standalone da installare, che plugin per browser, ma le stesse cose le possiamo anche fare semplicemente loggandoci sul suo sito.
È sicuramente più bello di KeePass come interfaccia e si integra perfettamente da subito col browser, tramite il suo componente aggiuntivo "LastPass".
L'autocompletamento dei dati di login è stato facilissimo da capire, contrariamente a KeePass.
Richiede la creazione di un account - da proteggere con master password - quindi sembra proprio che il nostro "Vault" (la cassaforte che contiene le nostre password) sia da qualche parte online, e questo non è il massimo per la sicurezza, anche se garantiscono che sia supercriptata tramite crittografia AES a 256 bit, hash sicuri e PBKDF2 SHA-256.
Infatti, come dice questo articolo, se si usa il plugin per il browser si devono tenere gli occhi ben aperti (anche con LastPass), in quanto la finestra che si apre è facilmente emulabile da un hacker:
http://www.smartworld.it/informatica/lastpass-phishing.html (http://www.smartworld.it/informatica/lastpass-phishing.html)
Se invece ci si logga sul sito, i rischi dovrebbero essere azzerati.
Ha molte opzioni di configurazione, addirittura la disabilitazione di login da reti TOR, l'esclusione di login in base al Paese, l'autenticazione multifattore tramite Google Authenticator (e altri servizi simili) che genera una chiave one-time sul nostro cellulare...insomma, sembra bello potente e anche più moderno di KeePass.
QUALCHE ALTRA RISORSA
Cercando siti simili a SS64 in italiano, non ne ho trovati di altrettanto validi.
Ce ne sono molti che generano password casuali, ma così come sono mi sembrano un po' inutili, perchè non partono da una master password.
Per esempio: https://www.grc.com/passwords.htm (https://www.grc.com/passwords.htm)
Qua invece c'è qualcosa in italiano che mi pare valido:
http://www.navigaweb.net/2012/05/generare-una-password-forte-per-tutti-i.html (http://www.navigaweb.net/2012/05/generare-una-password-forte-per-tutti-i.html)
http://www.ottimizzazione-pc.it/scegliere-il-password-manager-adatto/ (http://www.ottimizzazione-pc.it/scegliere-il-password-manager-adatto/)
Dal blog di Kaspersky:
Sicurezza IT e false percezioni (https://blog.kaspersky.it/sicurezza-it-e-false-percezioni/5333/)
Sicurezza IT e false percezioni: password (https://blog.kaspersky.it/sicurezza-it-e-false-percezioni-password/5416/)
Metti alla prova la lunghezza della tua password (https://password.kaspersky.com/it/) (Kaspersky)
E per finire una lettura interessante, ricordandoci che tutto può comunque essere crackato (in italiano purtroppo la pagina non esiste ancora):
https://en.wikipedia.org/wiki/Password_strength (https://en.wikipedia.org/wiki/Password_strength)
Inserito da: Ripley - 03 Mar 2016, 22:45:18
...se avrò difficoltà o problemi ne scriverò di sicuro qua...Per esempio, stavo adesso inserendo le nuove password sul cellulare e come previsto il PITA (http://it.urbandictionary.com/define.php?term=pita) è mooolto grande (e non parlo del famoso pane mediterraneo), basta sbagliare a digitare un carattere e tocca ricominciare da capo :swoon:
- aprire il DB KeePass sul pc e copiare la password necessaria
- con l'estensione del browser generare l'immagine QR dal testo incollato
- scannerizzare l'immagine dal cellulare
- copiaincollare la password nel browser del cellulare
Contorto? Forse si, ma per ora funziona.
Ora mi studio come integrare KeePass su Android...
Inserito da: Ripley - 04 Mar 2016, 12:19:43
...Ora mi studio come integrare KeePass su Android...Questa "Keepass2Android Password Safe" sembra essere l'app giusta:
https://play.google.com/store/apps/details?id=keepass2android.keepass2android (https://play.google.com/store/apps/details?id=keepass2android.keepass2android)
Ha pure la funzione Autofill, quindi addio QR code!!
Metto qua un po' di link random:
http://www.yourlifeupdated.net/programmi-android/keepass2android-ecco-il-miglior-password-manager-per-android-migliori-programmi-android/ (http://www.yourlifeupdated.net/programmi-android/keepass2android-ecco-il-miglior-password-manager-per-android-migliori-programmi-android/)
https://www.maketecheasier.com/auto-fill-password-in-android/ (https://www.maketecheasier.com/auto-fill-password-in-android/)
http://www.pcworld.com/article/2098428/use-keepass-in-both-windows-and-android.html (http://www.pcworld.com/article/2098428/use-keepass-in-both-windows-and-android.html)
https://www.bestvpn.com/blog/9780/keepass2android-review/ (https://www.bestvpn.com/blog/9780/keepass2android-review/)
https://4sysops.com/archives/sync-keepass-to-android-with-keepass2android/ (https://4sysops.com/archives/sync-keepass-to-android-with-keepass2android/)
Inserito da: LG965 - 04 Mar 2016, 18:49:55
Citazione da: http://www.navigaweb.net/2012/05/generare-una-password-forte-per-tutti-i.html
si può generare una password per ogni sito, pensando ad una frase familiare come, ad esempio, "Che la forza sia con te", abbreviandola in clfsct.
A questa parola, aggiungere due caratteri speciali sia a destra che a sinistra per renderla più forte: (ad esempio diventa $clfsct!).
Questa diventa la password principale che può essere cambiata, per ogni sito, aggiungendo le tre lettere iniziali dell'account a cui si è registrati, come suffisso o prefisso.
Ad esempio, la password dell'esempio potrebbe diventare $clfsct!FAC per Facebook $clfsct!GOO per Google $clfsct!YAH per Yahoo e cosi via.
Così, la password di base rimane sempre la stessa e, in ogni sito, cambia solo il prefisso o il suffisso, a seconda del nome del dominio.
La password diventa facile da ricordare per tutti i siti e, soprattutto, è praticamente impossibile da rubare
Personalizzato secondo una mia "distorsione mentale" :dirol:
Lo ritengo un metodo sicuro e soprattutto immune da qualsiasi tipo di influenza esterna.
Inserito da: capitankarl - 05 Mar 2016, 16:51:43
La mia è lunga 23 caratteri fra maiuscole minuscole numeri e caratteri speciali.
Mi basta ricordare questa password per aprire l'HD nascosto dove posso mettere file di qualunque tipo contenenti tutte le mie password ma anche qualunque altro tipo di file dato che si tratta di un HD.
L'HD invisibile e criptato può essere predisposto in varie misure a seconda delle proprie esigenze.
Il tutto può anche essere installato su una chiavetta. Vi chiederete come faccio a ricordare la password di entrata ?
Beh questo è un mio segreto se lo svelassi sarebbe come scrivere la combinazione della propria cassaforte sullo sportello della stessa !
ciao