Risultati della ricerca per: “password”

Le password sono un grattacapo, come alcuni fatti recenti hanno dimostrato.

L’idea mia e di un collega è che ci dovrebbe essere una norma ISO secondo la quale tutte le password dovrebbero essere pippo. Ci sarebbero meno grattacapi, ma anche più problemi di sicurezza.

Le password devono essere sufficientemente lunghe, non devono essere le stesse per siti diversi, non ce le possiamo scrivere, non devono riferirsi ad eventi della nostra vita, non devono essere facilmente indovinabili se si conosce una parte di esse, devono contenere caratteri assortiti, non devono essere presenti in un dizionario… Tutte regole che conosciamo e non applichiamo perché i computer sono loro, non siamo noi!

John Graham-Cumming ha auto un’idea interessante: utilizzare una variante della tabula recta per registrare le password.

(altro…)

Mi capita spesso di vedere utenti che utilizzano password troppo facili per gli accessi ai computer o alle mail dell’organizzazione a cui appartengono.

Spesso la considerazione di fondo è «Tanto è solo la mail di lavoro, non c’è nulla di importante…» Da far venire i brividi.

È un fatto che gli utenti vadano opportunamente istruiti (bastano due paginette sulla Intranet, eh!) in merito al valore dei dati che stanno trattando e alle conseguenze in caso di crack della password.

In quanti tra gli utenti sanno che una password debole sulla mail non consente solamente di leggere i messaggi, ma anche di inviarne con il loro nome con due conseguenze principali: (1) furto di identità e (2) utilizzo dell’account per inviare spam, con conseguente blacklisting del mail server dell’organizzazione?

Alcune realtà italiane e internazionali prevedono sanzioni (fino alla lettera di richiamo formale) se gli utenti utilizzano per più volte password facili da indovinare. In un’organizzazione che parte da zero su questo fronte la lettera di richiamo sarebbe fuori luogo, ma bisognerebbe iniziare a rendere consapevoli gli utenti (a partire, spesso, dalla cima della catena alimentare) di quanto siano sicure le loro password.

Il sistema più semplice ed efficace croniste nell’utilizzo dei tool di crack delle password di cui ogni tanto diamo conto anche su queste pagine. SANS ha un articolo interessante in merito, che vale la pena di essere letto. Magari negli obbiettivi IT del prossimo anno si può introdurre qualcosa di simile…

Il rilascio di Firesheep ha evidenziato un problema noto delle connessioni WiFi senza password: i dati non vengono trasmessi in modo criptato.

Chester Wisniewski, senior security advisor di Sophos, propone una soluzione elementare, che consiste nell’utilizzare il protocollo WPA2 con una password nota e unica per tutti: free.

Un piccolo aggiornamento nel software dei client WiFi potrebbe fare in modo che il client provi quella password prima ancora di chiederla all’utente.

In questo caso la password non serve ad impedire la connessione a chi non ha titolo per farlo, ma forza il protocollo a negoziare una chiave di cifratura univoca con ciascun terminale collegato, rendendo di fatto inutile un tool come Firesheep.

Aggiornamento 17/2/2011 – Un aggiornamento della pagina di Naked Security linkata sopra rivela che questa soluzione non è percorribile e non deve essere utilizzata. Grazie a Paolo Attivissimo per avermi segnalato l’aggiornamento.