Ci sono 24 articoli con tag password (questa è la pagina 1 di 3).
Come già scrivevo a proposito delle password già nel 2017, la lunghezza minima delle password da ritenersi sicure sono lunghe almeno sedici caratteri.
Vale sempre il consiglio di dotarsi un password manager, oggi alternative valide ce ne sono e si trovano in tutte le fasce di prezzo, per cui non hai scuse per non usarne uno. Se fossi curioso, io sono un utilizzatore di 1Password e KeePassXC su cui ricade il mio consiglio.
Brutte notizie in questi giorni per Twitter.
La prima.
Pare che se i furbacchiotti dei clienti di Cambridge Analytica abbiano sfruttato le API di Facebook per ottenere dati personali e sentiment degli utenti, con Twitter abbiano solamente richiesto tali dati, pagando una fee: Twitter sold data access to researcher in Cambridge Analytica scandal →
La seconda.
Pare che si debba urgentemente cambiare la propria password di Twitter, tenendo conto che viene spesso usata come credenziale di accesso a tutta una serie di servizi web ‘terzi’, la cosa è abbastanza urgente: You should change your Twitter password right now →
Ovvero, se preferisci un post in italiano: È meglio se cambiate la password di Twitter →
Le password sono tra le gioie ed i dolori dell’informatica moderna. Ogni sito, servizio on-line, dispositivo hardware in questo mondo iperconnesso va protetto… e la combinazione nome-utente e password è il minimo che si può fare per tenere una parvenza di sicurezza dei propri affari.
Una buona norma è quella di avere una password diversa per ognuno dei servizi che usiamo.
Un’altra sarebbe(*) quella di utilizzare il meno possibile le funzioni di autenticazione mediante ‘token’ erogati da servizi di terze parti. Per fare un esempio immaginiamo di utilizzare le nostre credenziali di accesso a Facebook per registrarci su Pinterest o in un qualunque altro social network. Evidenziando il fatto che Facebook ed i gestori di questo tipo di autenticazione possono legalmente cancellare il nostro account a loro insindacabile giudizio o scomparire … in caso di compromissione dell’account ‘principale’ avremo poi a cascata la compromissione degli accessi a tutti i servizi abbinati a queste credenziali.
Insomma l’uso di un password manager (come il mai troppo lodato – e da me adorato – 1password o il giovane Enpass o l’open source KeePass) è più che consigliato. Queste applicazioni ci permettono la memorizzazione di un altissimo numero di elementi e offrono funzionalità di generazione di password secondo diversi algoritmi.
Mi rendo però conto che per alcune persone o situazioni la spesa economica e di tempo per la configurazione del tutto possa non valere l’impresa… Magari abbiamo pochi servizi da proteggere, o non ci fidiamo di un software sviluppato da ignoti (nel mio caso non ho consigliato LastPass proprio per questa ragione). In queste situazioni possiamo utilizzare un piccolo ma validissimo espediente mnemonico per la generazione di password efficaci.
La vignetta riportata, dell’ottimo XKCD, spiega in maniera visiva e super-efficace il meccanismo (l’algoritmo) alla base di questo metodo.
Date le potenze di calcolo oggi disponibili, la nostra password diventa progressivamente più sicura man mano che i caratteri che la compongono crescono. Secondo le mie ultime letture oggi 12/13 caratteri costituiscono il minimo sindacale per una password ‘sicura’… Quindi è meglio cominciare ad utilizzare password con 16 o più caratteri.
Ma come fare per ricordare sequenze di oltre 16 caratteri ? Semplice, dovremo ricordare delle frasi… Ma non citazioni di libri, film o poesie,… opere note e sicuramente nei dizionari dei malintenzionati. Dovremo usare frasi generate in maniera casuale ed estremamente personale.
Sulla tecnica ci sono diversi ottimi articoli ed approfondimenti on-line… ad esempio su il Post si parla di generatori di poesie, o possiamo arrivare a meravigliarci dell’idea di Mira Modi teenager statunitense che ha stupito il mondo con il suo Diceware che ha reso una valida fonte di reddito.
Senza arrivare a questo livello di sofisticazione ti sintetizzo in parole povere il tutto: per generare una password efficace andremo a generare la nostra ‘frase’ – o meglio una sequenza di parole – partendo da un ricordo o un’esperienza strettamente personali…
cozze-sandalo_Pescara!
Ecco una password di 22 caratteri facile da ricordare!
Il trigger mnemonico è la vacanza a Pescara dove abbiamo mangiato un buon piatto di spaghetti alle cozze e comprato quel sandalo estivo che adoriamo indossare. La punteggiatura (lo spazio è un carattere che evito perché non so mai se il sistema che memorizzerà la password sarà in grado di gestirlo correttamente) è lasciata alla tua immaginazione o preferenza.
Come vedi non è una scienza oscura, ma un banale esercizio di memoria la cui imprevedibilità sfugge alle risorse di calcolo attualmente disponibili (e immaginabili).
Spero che quest’articolo ti sia stato utile! Buon lavoro…
—
(*) dico sarebbe perché pur essendo studiati per la massima sicurezza nello scambio di dati questi meccanismi hanno un singolo anello debole messo in bella evidenza, la credenziale di accesso centrale – come la password di Facebook nell’esempio da me fatto – che rimane sempre troppo esposto agli attacchi e costituisce un bottino altamente desiderato e remunerativo per i criminali.
Viviamo oggi in un mondo sempre connesso, e questo equivale a vivere in una casa affacciata sulla strada, esposti al bello ma anche al brutto del mondo. I rischi per la nostra sicurezza sono maggiori che vivendo al 70° piano di un condominio di un mega-grattacielo.
La ‘porta di casa’ della nostra vita on-line è il modem-router … quell’oggetto misterioso che il nostro fornitore di telefonia/internet ci fitta a 2€ al mese (a meno che non ti sei fatto due conti e hai preferito comprartelo da solo) e che ci permette di accedere “ad Internet” rimanendo sempre acceso, e mai più configurato né controllato dopo la prima connessione del nostro pc.
Purtroppo questo è un lusso che non possiamo più concederci: l’uso massivo di credenziali di accesso standard (‘admin’ e ‘password’ se non ‘12345’), l’uso in grande serie di chip provenienti dallo stesso produttore, tool di amministrazione semplificata [Genie di Netgear, per fare un esempio] e poi insicurezze varie a livello del software di sistema (il famigerato firmware), sono tutti atteggiamenti analoghi a lasciare la porta di casa aperta, o a dare una copia delle chiavi a chiunque.
È questo che fai per casa tua ?
Io credo di no! Per questo consiglio sempre a familiari, amici o clienti di aggiungere al proprio flusso informativo qualcosa che li avverta dei cambiamenti a cui i propri dispositivi vengono sottoposti dal produttore, e ad applicare tutti gli aggiornamenti di sicurezza non appena se ne ha notizia.
Negli scorsi giorni ho appreso, ad esempio, che centinaia di migliaia di modem/router NETGEAR sono vulnerabili e permettono la scoperta della password impostata sul dispositivo sia se connessi alla rete LAN casalinga.
Negli scorsi giorni ho appreso, ad esempio, che centinaia di migliaia di modem/router Netgear sono vulnerabili e permettono la scoperta della password impostata sul dispositivo sia se connessi alla rete LAN casalinga (pensiamo ad un figlio che vuole bypassare le limitazioni sui contenuti o ad un collega/dipendente che vuol fare lo stesso), sia ad un attaccante esterno… Un vero e proprio Password Bypass.
Dopo varie segnalazioni Netgear pare essersi decisa a correre ai ripari, e ha dedicato una pagina del suo supporto tecnico alla pubblicazione di un aggiornamento del firmware per alcuni dei modelli interessati e ad una spiegazione e di come mitigare il problema un restante gruppo di dispositivi.
La pagina in oggetto è la seguente: Web GUI Password Recovery and Exposure Security Vulnerability, mentre i modelli coinvolti – al momento in cui scrivo – sono i seguenti:
Se possiedi uno di questi dispositivi, il mio consiglio è quello di aggiornare al più presto!
