Vai al contenuto

password

Perché tanti siti hanno elenchi pubblici di parolacce?

Perché tanti siti hanno elenchi pubblici di parolacce?

Ultimo aggiornamento: 2020/03/06 23:00. 

Moltissimi siti hanno regole complicate per la generazione delle password: bisogna che siano lunghe, che contengano almeno una cifra, almeno un carattere non alfabetico e non numerico, eccetera eccetera. Ma ci sono anche parole che non possono essere usate come password: le espressioni di turpiloquio.

Per evitare che gli utenti usino parolacce come password, è quindi necessario stilare un elenco di queste parolacce. In molti casi quest’elenco è pubblicamente accessibile, e sfogliarlo rivela molti pregiudizi culturali interessanti.

Per esempio, potete consultare l’elenco di parole proibite della Virgin (un tempo disponibile qui ma salvato per i posteri qui dalla riga 204 in poi): sono tutte in inglese. Quello di Paypal è salvato qui.

Le parole proibite sono tutte in inglese, come se nel mondo non si parlasse altro. Il risultato è che sono vietate password che contengano parole che in altre lingue sono innocue ma che in inglese sono ritenute volgari. FART, per esempio, in Svizzera è l’acronimo delle Ferrovie Autolinee Regionali Ticinesi; kunt è un cognome diffuso in Turchia. Anche l’equivalente inglese di “crema per il viso” è tabù (ci vuole un attimo di riflessione per capire perché); “gay” è vietato, ma “eterosessuale” no. Alcune divinità sono accettate; altre no.

Fin qui la cosa può essere moderatamente divertente per chi ride alle parolacce o vuole esplorare i pregiudizi linguistici inconsci, ma l’esperto di sicurezza Troy Hunt fa notare un problema di sicurezza informatica tutt’altro che banale: perché esistono questi elenchi di parole proibite?


Se esistono, vuol dire che servono a proteggere gli animi sensibili di chi legge le password degli utenti. Ma in un sistema informatico robusto, nessuno ha bisogno di conoscere le password degli utenti. Non ci deve essere un operatore dall’animo sensibile che le può vedere.


Le password, infatti, non vanno memorizzate in chiaro: si deve usare una tecnica chiamata hashing, per cui il sito non custodisce la password vera e propria ma ne conserva solo una rappresentazione matematica non reversibile (un hash), dalla quale non è possibile risalire alla password ma è possibile verificare che la password immessa sia valida. Quindi questi elenchi di parole proibite sono una foglia di fico che non c’entra nulla con la sicurezza informatica ma ha molto a che fare con i pregiudizi umani.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Davvero la ministra italiana Pisano ha detto che dovremmo avere una sola password, e pure di Stato?

Davvero la ministra italiana Pisano ha detto che dovremmo avere una sola password, e pure di Stato?

Per evitare ulteriori confusioni, l’articolo è stato riscritto alla luce delle nuove dichiarazioni della ministra e del Ministero per l’Innovazione italiani. La versione originale è in fondo. Ultimo aggiornamento: 2020/01/11 14:10.

Nei primi minuti della puntata di Eta Beta di Radio Rai di stamattina (riascoltabile qui), la ministra italiana per l’Innovazione Paola Pisano ha fatto una dichiarazione che ha creato un certo sconcerto in Rete, ripreso per esempio da Repubblica. La dichiarazione testuale è questa (quella di ANSA è sbagliata):

Con l’identità digitale noi avremo un’unica e sola user e password per accedere a tutti i servizi digitali, ma questa user e password potrebbe anche essere utilizzata per accedere non solo ai servizi digitali della pubblica amministrazione ma ai servizi digitali anche del privato. Per esempio il nostro conto in banca, per esempio prenotare un’auto in sharing, andare al cinema, per esempio comprare su Amazon. Ogni volta che noi abbiamo una user e una password, questa user e password dovrebbe essere data dallo Stato, perché è lo Stato l’unico soggetto che ha davvero certezza che quello è quel cittadino. E lei lo sa quante truffe ci sono sull’identità su Internet.

La ministra ha successivamente chiarito che si riferiva a SPID, il sistema pubblico di identità digitale, non a “user e password”. Però ha parlato di “user e password”, non di SPID. Che sono due cose drasticamente differenti: è come dire “volevo parlare di burro, ma mi è uscito di bocca ‘locomotiva’”.

Da qui è nata la polemica, successivamente chiarita in parte da una rettifica della ministra e del Ministero.

  • La ministra Pisano ha infatti postato questo tweet di precisazione: “Vediamo di sgombrare il campo da ogni equivoco: l’identità digitale sarà rilasciata dallo Stato e servirà a identificare il cittadino in modo univoco verso lo Stato stesso. In futuro, per aziende e cittadini che lo vorranno, POTREBBE essere ulteriore sistema di autenticazione”.
  • Il Ministero per l’Innovazione ha poi pubblicato un tweet di ulteriore chiarimento: “Nessuna nuova proposta, né nuova password di Stato. @PaolaPisano_Min a @EtaBetaRadio1 si riferiva a #SPID già usata da 5 mln di italiani. L’intenzione da discutere con tutti gli interlocutori istituzionali competenti è solo quella di affidarne la gestione direttamente allo Stato”.

Quindi no, la ministra non voleva dire che dovremmo avere una sola password, e pure di Stato, ma si è espressa in modo talmente confuso da aver dato quest’impressione.

La dichiarazione della ministra, nonostante le successive correzioni, è comunque molto problematica: usare l’identità digitale fornita dallo Stato (SPID) anche per gli acquisti e i servizi nel settore privato significa collegare le attività private (che in una democrazia non devono interessare a uno Stato) a quelle che riguardano lo Stato (tasse, certificati, atti pubblici), e questa è sempre una pessima idea. Vostra figlia ha il diritto di acquistare un sextoy o leggere Mein Kampf o una guida all’Islam o un sito sull’aborto o la contraccezione senza che lo Stato ci possa mettere il becco o schedarla per le sue abitudini.

Per chi obietta che con SPID lo Stato non sa cosa ha comprato o letto vostra figlia perché non vede cosa fa nel sito nel quale si è loggata usando SPID, va detto che a volte basta che lo Stato (o l’Identity Provider privato che offre il servizio SPID per conto dello Stato) sappia il nome del sito per capire cosa ha comprato, letto o guardato la visitatrice.

È il solito problema dei metadati. Se vostra figlia si logga su Sextoys-per-ragazze punto com, Meinkampf-aveva-ragione punto com, Gravidanza-inattesa punto com, Rovesciare-il-governo punto it o Islam-per-tutti punto info, non ci vuole un grande studio per dedurre i suoi interessi, orientamenti e problemi.

E per “lo Stato” non intendo solo lo Stato attuale, ma tutti gli Stati possibili futuri: ammesso che vi fidiate dello Stato che esiste ora, non potete sapere se salirà al potere un governo che prenderà di mira qualche condizione o pratica che prima era legittima (consumo di droghe, aborto, vasectomia, omosessualità, orientamento religioso o politico, tanto per fare qualche esempio). Anche dichiararsi ebrei nel censimento meccanizzato dall’IBM non sembrava un problema in Germania o in Francia, fino a che è salito al potere il nazismo e ha usato quei dati per uno sterminio di massa.

Per quelli che pensano “ma da noi queste cose non potrebbero mai succedere”, vorrei ricordare che nel 1938 l’Italia introdusse le leggi razziali. E c’è ancora oggi gente che rimpiange quelle leggi e le vorrebbe ripresentare.

—

C’è però un’altra parte della dichiarazione della ministra Pisano che è ancora più problematica: sostenere che “Ogni volta che noi abbiamo una user e una password, questa user e password dovrebbe essere data dallo Stato“ significa accentrare nello Stato l’erogazione della sicurezza informatica.

È l’equivalente digitale di dare allo Stato il monopolio sulle serrature delle porte di casa. Cosa succede se salta fuori che il modello di serratura imposto dallo Stato è arcaico e scassinabile? Diventano scassinabili tutte le serrature di tutte le case.

C’è poi il problema dell’accentramento delle credenziali: se un malintenzionato riesce a fare phishing del mio SPID, si sostituisce a me in tutto e per tutto non solo nei miei rapporti con lo Stato, ma anche in tutti gli altri miei rapporti online, perché ho messo tutte le mie uova nello stesso paniere. È l’equivalente di avere una chiave universale per tutte le serrature di casa e farsela rubare.

Aggiungo un altro problema: se si usa lo SPID per accedere ad altri siti non statali (per esempio per fare acquisti o per comunicare tramite i social network), cosa succede se i server SPID vanno in crash o sovraccarico? Non solo non ci si può collegare ai servizi digitali dello Stato, ma non ci si può più collegare neanche ai social network, alla mail, ad Amazon, alla banca, eccetera eccetera. È come avere quell’unica chiave universale e scoprire che si è rotta. 

La ministra, di fronte alle obiezioni che le sono subito arrivate, ha corretto quel “dovrebbe” in “potrebbe”.

Infine, giustificarsi dicendo “perché è lo Stato l’unico soggetto che ha davvero certezza che quello è quel cittadino” è una sciocchezza, perché per comprare un maglione o un biglietto al cinema non c’è bisogno di sapere chi lo compra: è sufficiente sapere che chiunque lo compri abbia soldi per pagarlo. Anzi, se voglio comperare un test di gravidanza, dire il mio nome e cognome potrebbe essere l’ultima cosa che sento il bisogno di fare.

—

Prevengo le inevitabili considerazioni del tipo “beh, però se tutti fossero identificati online dallo Stato, non ci sarebbero le minacce e gli insulti nei social network”. È un mito fasullo, già sviscerato tempo addietro qui. Non funziona così.

La versione originale di questo articolo (2020/01/04)

Per correttezza e traccia cronologica, riporto qui sotto la versione originale del mio articolo, scritta quando la ministra non aveva ancora chiarito che con “user e password” intendeva in realtà SPID. Le considerazioni che seguono valgono per la dichiarazione iniziale della ministra (“un’unica e sola user e password”) e non si applicano necessariamente a SPID.

Nei primi minuti della puntata di Eta Beta di Radio Rai di stamattina (riascoltabile qui), la ministra italiana per l’Innovazione Paola Pisano ha fatto una dichiarazione che ha creato un certo sconcerto in Rete:

Con l’identità digitale noi avremo un’unica e sola user e password per accedere a tutti i servizi digitali, ma questa user e password potrebbe anche essere utilizzata per accedere non solo ai servizi digitali della pubblica amministrazione ma ai servizi digitali anche del privato. Per esempio il nostro conto in banca, per esempio prenotare un’auto in sharing, andare al cinema, per esempio comprare su Amazon. Ogni volta che noi abbiamo una user e una password, questa user e password dovrebbe essere data dallo Stato, perché è lo Stato l’unico soggetto che ha davvero certezza che quello è quel cittadino. E lei lo sa quante truffe ci sono sull’identità su Internet.

La dichiarazione della ministra è molto problematica: pensare che si debba usare un’unica coppia username/password dappertutto (non solo verso lo Stato, ma anche verso i privati) significa andare contro uno dei principi di base della sicurezza informatica, ossia mai usare la stessa password e lo stesso username dappertutto. La ragione è semplice: se uso la stessa password ovunque, per esempio, e avviene un furto di password presso uno qualsiasi dei siti che ho usato, il ladro ha accesso a tutti i miei servizi.

Non solo: se gli utenti usano nei siti generici le stesse credenziali che hanno per i rapporti con lo Stato o con la sanità, questo vuol dire che il livello di protezione di quelle credenziali statali diventa quello del più scalcinato dei siti generici che le usano. Per saccheggiare gli account di Stato non c’è bisogno di attaccare i server della pubblica amministrazione: basta attaccare quelli del negozietto online gestito dal cugino del proprietario che è bravo con i videogame e quindi sa tutto di informatica.

Ma c’è anche un problema molto serio di privacy: usare l’identità digitale fornita dallo Stato anche per gli acquisti e i servizi nel settore privato significa collegare le attività private (che non devono interessare a uno Stato) a quelle che riguardano lo Stato (tasse, certificati, atti pubblici), e questa è sempre una pessima idea. Vostra figlia ha il diritto di acquistare un sextoy o Mein Kampf o una guida all’Islam senza che lo Stato ci possa mettere il becco o schedarla per le sue abitudini.

E per “lo Stato” non intendo solo lo Stato attuale, ma tutti gli Stati possibili futuri: ammesso che vi fidiate dello Stato che esiste ora, non potete sapere se salirà al potere una dittatura o semplicemente un governo che prenderà di mira qualche comportamento o condizione che prima era legittima (consumo di droghe, aborto, vasectomia, omosessualità, orientamento religioso o politico, tanto per fare qualche esempio). Anche dichiararsi ebrei nel censimento meccanizzato dall’IBM non sembrava un problema in Germania, fino a che è salito al potere il nazismo e ha usato quei dati per uno sterminio di massa.

La terza parte della dichiarazione è però ancora più problematica: sostenere che “Ogni volta che noi abbiamo una user e una password, questa user e password dovrebbe essere data dallo Stato“ significa accentrare nello Stato l’erogazione della sicurezza informatica. È l’equivalente digitale di dare allo Stato il monopolio sulle serrature delle porte di casa. Cosa succede se salta fuori che il modello di serratura imposto dallo Stato è arcaico e scassinabile? Diventano scassinabili tutte le serrature di tutte le case.

Infine, giustificarsi dicendo “perché è lo Stato l’unico soggetto che ha davvero certezza che quello è quel cittadino” è una sciocchezza, perché per comprare un maglione o un biglietto al cinema non c’è bisogno di sapere chi lo compra: è sufficiente sapere che chiunque lo compri abbia soldi per pagarlo.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Quando cambiate password, CAMBIATELA

Quando cambiate password, CAMBIATELA

Metà delle persone, quando cambia una propria password, la sostituisce con un’altra quasi uguale, rendendo molto più facile il lavoro dei cacciatori di password e ladri di account.

Secondo un sondaggio su un campione di 200 persone, svolto dalla società di sicurezza HYPR, il 49% dei lavoratori, quando viene obbligato ad aggiornare una password, si limita a riutilizzare quella esistente con una piccolissima modifica. Da mario a mario1, per intenderci.

I ladri di password ne sono entusiasti, perché così riducono enormemente il numero di varianti che devono tentare per scoprire una password e prendere il possesso di un account. Essendo professionisti, questi tentativi sono automatizzati e svolti in massa, per cui ne possono fare molti con poca fatica, pescando rapidamente gli utenti che usano password banali o uguali dappertutto.

Lo stesso sondaggio indica che il 72% degli interpellati ammette di usare le password di lavoro anche nella vita privata. Molti di loro, inoltre, usano la propria memoria per gestire le password (42% in ufficio e 35% in privato).

Cosa peggiore, il 78% delle persone coinvolte nel sondaggio dice di aver dovuto ripristinare almeno una password privata negli ultimi 90 giorni perché se l’era dimenticata; la percentuale scende al 57% sul posto di lavoro.

La conclusione sembra inequivocabile: la memoria non basta, forzare il cambio di password periodico serve a poco e la pigrizia impera. L’unica soluzione praticabile, a questo punto, è un password manager che ricordi per noi password lunghe, differenti e complesse.

Fonte: Graham Cluley.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Come rubare password con Alexa o Google Home

Come rubare password con Alexa o Google Home

Caso mai servissero altri promemoria che installarsi in casa o in ufficio un microfono aperto e connesso a Internet non è una buona idea in termini di sicurezza e privacy, gli esperti di Security Research Labs hanno creato una dimostrazione di come gli assistenti vocali Alexa di Amazon o Google Home possono essere manipolati per rubare password o altri dati personali ai loro utenti oppure per ascoltare le loro conversazioni.

Su questi dispositivi è possibile installare delle specie di app, chiamate skill per Alexa e Action per Google Home, che ne estendono le capacità.

In due video dimostrativi, gli esperti mostrano come è possibile ingannare gli utenti:

La vittima invoca, con un comando vocale, un’app di oroscopi (creata dai ricercatori). L’app risponde dicendo che il servizio non è disponibile nel paese dell’utente, e così l’utente pensa che l’app sia terminata. Ma in realtà l’app è ancora attiva, e nelle sue istruzioni c’è un silenzio di un minuto, inserito grazie a un difetto di programmazione: la sequenza di caratteri U+D801 – punto – spazio, che non è pronunciabile, viene “pronunciata” come silenzio.

Dopo il minuto di silenzio, che fa pensare all’utente ancora più chiaramente che l’app (skill/action) precedente sia finita, l’assistente vocale annuncia che è disponibile un aggiornamento del dispositivo e chiede di pronunciare la password dell’account per autorizzarne l’installazione.

Né Google né Alexa chiederebbero mai la password in questo modo, ma inevitabilmente ci sono tanti utenti che non lo sanno e quindi pensano che la richiesta sia assolutamente legittima.

Se l’utente cade nella trappola e dice la propria password, questa viene registrata dall’app ostile. I gestori dell’app possono a questo punto usare questa password per prendere il controllo dell’account Amazon o Google, con tutte le conseguenze del caso.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Disinformatico radio di stamattina, pronto il podcast

Potete scaricare qui il podcast della puntata di stamattina del Disinformatico radiofonico che ho condotto per la ReteTre della Radiotelevisione Svizzera. Questi i temi e i rispettivi articoli di supporto:

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Tracciatori GPS troppo pettegoli e promiscui. 600.000 hanno password "123456"

Tracciatori GPS troppo pettegoli e promiscui. 600.000 hanno password “123456”

 Ars Technica riferisce che circa seicentomila dispositivi di tracciamento GPS, utilizzati per il monitoraggio della localizzazione di bambini, anziani e animali domestici sono su Internet con una password assolutamente banale: 123456. Che è quella predefinita in fabbrica.

Si tratta di dispositivi a basso costo (da 2 a 50 dollari), molto compatti, in vendita nei grandi negozi online sotto vari nomi, come T8 Mini GPS Tracker Locator, e tutti fabbricati dalla Shenzhen i365 Tech.

I dispositivi trasmettono tutti i dati senza alcuna cifratura, e così i ricercatori di Avast Threat Labs hanno scoperto che chiunque si trovi sulla stessa rete usata dallo smartphone e dall’app Web utilizzati per gestire questi tracciatori può intercettarne il traffico di informazioni e anche modificarlo, per esempio mandando un messaggio ingannevole allo smartphone oppure cambiando le coordinate geografiche segnalate dal dispositivo.

I ricercatori hanno scoperto che grazie alla progettazione poco attenta è anche possibile fare in modo che il tracciatore chiami un numero di telefono scelto dall’aggressore e gli trasmetta qualunque audio sia a portata del microfono incorporato nel dispositivo. Ed è solo l’inizio, perché poi si possono effettuare attacchi man in the middle e altre cose simpatiche di questo genere.

In altre parole, un dispositivo che si compra per proteggere qualcuno in realtà lo rende più vulnerabile.

L’azienda è stata allertata, ma finora non ha risposto, per cui i ricercatori hanno deciso di pubblicare la scoperta facendo il nome del prodotto in modo da dare a chi lo usa la possibilità di informarsi. L’unico rimedio, purtroppo, è smettere di usarlo.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Come spegnere i motori di migliaia di auto connesse a Internet

Come spegnere i motori di migliaia di auto connesse a Internet

Credit: Motherboard.

Se la password predefinita di un’app è 123456 è male. Se l’app in questione gestisce delle automobili e permette non solo di tracciarne la posizione ma anche di spegnerne il motore, è un tantinello peggio.

Secondo quanto riferisce Lorenzo Franceschi-Bicchierai su Motherboard, un esperto informatico è riuscito a entrare negli account degli utenti di varie app di tracciamento GPS per auto, potendo così monitorare le posizioni di decine di migliaia di automobili in tempo reale.

Le app in questione sono Protrack e iTrack, usate dalle aziende per monitorare le flotte dei propri veicoli. L’informatico lo ha scoperto consultando il codice sorgente delle app e tentando milioni di possibili nomi utente insieme alla password predefinita: una forma di attacco classica.

A furia di tentare, contando sul fatto che molti utenti non avrebbero cambiato la password, è riuscito a collezionare identificativi IMEI, nomi, numeri di telefono, indirizzi di mail e indirizzi domestici o aziendali degli utenti, e poi ha avvisato i gestori delle app.

Come se non bastasse, l’informatico ha detto di essere in grado di spegnere a distanza i motori di centinaia di migliaia di veicoli sparsi per il mondo che usano queste app. Motherboard ha confermato le dichiarazioni dell’informatico consultando il produttore degli apparati di tracciamento usati da queste app: lo spegnimento sarebbe stato possibile durante la marcia a bassa velocità dei veicoli nei quali l’opzione di controllo del motore era attiva.

La casa produttrice di Protrack ha negato che siano avvenute violazioni ma sta ora avvisando gli utenti di cambiare password.

Ancora una volta, con sentimento: le password predefinite sono il male. Non usatele. Mai.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Facebook: ops, quelle decine di migliaia di password Instagram conservate in chiaro sono in realtà milioni

Facebook: ops, quelle decine di migliaia di password Instagram conservate in chiaro sono in realtà milioni

Le figuracce di Facebook sembrano non voler finire mai. Il social network ha dichiarato di aver raccolto involontariamente le rubriche degli indirizzi di mail di circa un milione e mezzo di utenti senza il loro permesso.

Questa raccolta è la conseguenza inattesa di un’altra scelta infelice di Facebook: quella di chiedere le password della mail ad alcuni suoi utenti (come ho raccontato qui il 5 aprile scorso). Però ha detto che ha smesso e non lo farà più.

Non è finita: Facebook ha aggiornato un proprio comunicato stampa di marzo scorso, intitolato ironicamente “Keeping Passwords Secure” (“Tenere al sicuro le password”), perché è emerso che le password di Instagram che stava conservando internamente in chiaro, senza alcuna protezione crittografica, non erano alcune decine di migliaia come annunciato inizialmente ma sono molte di più.

“Abbiamo scoperto altri log di password di Instagram che venivano conservati in un formato leggibile… stimiamo ora che questa questione abbia interessato milioni di utenti Instagram”.

È vero che le password non risultano essere state trafugate. Ma è anche vero che la scoperta di altri log di password prima ignoti non rassicura granché sull’affidabilità delle dichiarazioni dell’azienda di Zuckerberg, che sembra non avere alcun controllo sulle proprie iniziative interne e sui propri metodi di operare.

Come sempre quando c’è di mezzo una raccolta insicura di password, è consigliabile cambiare password di Instagram e cogliere l’occasione per sceglierne una complessa, non ovvia e differente da quella usata altrove, e per attivare l’autenticazione a due fattori. In altre parole, cambiate la vostra password di Instagram prima che lo faccia qualcun altro per voi.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Perché Facebook chiede la password della mail?

Perché Facebook chiede la password della mail?

No, non è una truffa da parte di criminali informatici: Facebook sta davvero chiedendo ad alcuni utenti di dargli la password del loro account di posta.

Il fenomeno è stato segnalato per la prima volta il primo d’aprile scorso; passato il dubbio che si trattasse di un bizzarro scherzo di stagione, Facebook ha chiarito che la richiesta compare ad alcuni utenti che adoperano fornitori di caselle di mail che non supportano lo standard di autenticazione OAuth, che è invece supportato da quasi tutti i fornitori più diffusi. Il social network ha inoltre dichiarato che non conservava le password richieste e che comunque smetterà di chiederle.

Comunque sia, questa è stata una scelta molto infelice e pericolosa da parte di Facebook. Non solo ha contribuito a farlo sembrare ancora più ficcanaso di quanto già sia, ma rischia di creare negli utenti la pessima abitudine di dare la propria password di mail a terzi.

Fra tutte le password che abbiamo, infatti, quella che protegge la casella di mail è una delle più preziose e potenti, perché quasi tutti gli account di altri servizi, dai social network ai giochi online ai sistemi di pagamento online, si basano su una casella di mail. Se un aggressore prende il controllo della nostra casella di mail, può chiedere ai nostri account nei social network di mandare un codice di reset, che arriva via mail e quindi può essere letto e usato dall’aggressore.

Prendere il controllo di una casella di mail, in sintesi, consente di prendere poi il controllo di tutte le attività online della vittima. Per questo la password di mail non va data mai, mai, mai a nessuno (ed è importante proteggere l’account con l’autenticazione a due fattori). Che Facebook abbia deciso di ignorare questa regola la dice lunga sul suo approccio alla protezione degli utenti.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Si può sbloccare un Samsung S10 con un dito stampato in 3D

Si può sbloccare un Samsung S10 con un dito stampato in 3D

Ormai il sensore d’impronta è presente su molti smartphone ed è considerato un sistema di protezione piuttosto efficace, anche se rimane valido il principio che un’impronta digitale, che ti porti in giro sempre, lasci in giro continuamente e non puoi cambiare più di dieci volte nella vita non è una password.

La corsa ai telefonini “tutto schermo”, tuttavia, rischia di compromettere l’efficacia di questo sistema. Infatti negli smartphone più recenti il sensore d’impronta viene collocato sotto lo schermo, in modo da non occupare spazio frontale e permettere allo schermo di occupare tutta la superficie del dispositivo.

Ma collocare il sensore dietro lo schermo significa rinunciare al funzionamento capacitivo, che è quello standard e ben collaudato di questi sensori, e adottare un sistema ultrasonico, come ha fatto per esempio Samsung con la gamma Galaxy S10 (a parte l’S10 Essential, che ha un sensore capacitivo sul bordo).

Il risultato di questa rinuncia è che il sensore può essere beffato usando semplicemente una copia dell’impronta generata con una stampante 3D.

Perlomeno questo è quello che dichiara un informatico che si fa chiamare Darkshark e che ha postato un video nel quale sblocca uno di questi telefonini usando una lamina di plastica sulla quale ha creato un’impronta del proprio dito, presa da un bicchiere scattandone una foto con un normale smartphone e poi usando Photoshop per aumentare il contrasto e il software 3DS Max 3D per generarne i rilievi tridimensionali. Una stampante 3D Anycubic Photon a resina, che costa circa 500 dollari, ha poi stampato la lamina con la finta impronta. Tempo necessario: meno di quindici minuti.

Questa tecnica funziona solo con i sensori ultrasonici, perché quelli capacitivi tradizionali si accorgerebbero della falsa impronta per via della sua resistenza elettrica differente rispetto a quella della pelle.

Dato che molte app che maneggiano soldi (da PayPal alle app delle banche alle app di micropagamento) oggi si basano sul sensore d’impronta, è importante conoscere queste limitazioni dei nuovi sensori ultrasonici ed eventualmente adottare una seconda forma di protezione (per esempio un PIN). O comperare un telefonino che invece di pensare all’estetica a qualunque costo offre una soluzione più semplice: mettere un sensore tradizionale sul retro.

Fonti: Naked Security, Graham Cluley.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.