Password, l'obbligo di cambiarle è spesso controproducente

[Emin001]

Originariamente inviato da demon77

Viene amole viene!
Faciamo masagio lomantico con amica, quattlo mani tuto belo, viene! Eppiendin!

Plima pagale 15 dolla!

A parte gli scherzi, bisogna vedere in che mani consegniamo le nostre password. Noi ci sforziamo di farla complicata, lunga, diversa, ecc. e poi l'amministratore, con le nostre password, prepara un selfservice aperto 24/24H per il cracker affamato di account. Quindi a mio avviso, vanno bene le password lunghe ma DIVERSE per ogni sito.



N.B. la scena di full metal jacket https://www.youtube.com/watch?v=mH4nCQeXvQo

[fraussantin]

Cambiare la pw ogni mese non serve a niente. Te la devi appuntare perche te la scordi e aumenta il rischio.

Tanto se la trovano la usano dopo 1 minuto non dopo dopo 2 mesi.

Casomai ha senso usarne una usa e getta via mail o via sms

Chi lavora in postazioni sensibili (banche comuni , poste, )dovrebbe accedere così ai propri pc.


E non se ne sortano fuori con la storia dei programmi che provano ad inserire pw a caso...

[Eress]

Originariamente inviato da pingalep

ebay mi rifuta la password complessa(15 caratteri, lettere e numeri, punteggiatura caratt. speciali maiuscole). che so essere esatta. faccio la procedura per cambiarla. metto la stessa. ebay mi dice: la nuova password non può essere identica alla vecchia.

FUUUUUUUUUUUUUUUUUU...

è la terza volta che mi capita

Appunto, alla fine con questi sistemi insulsi finiscono per incartarsi da soli

[leddlazarus]

senza contare che per un gestore IT aziendale come me, per ogni cambio password obbligatorio equivale ad un suicidio.
ennemila telefonate da utonti nemmeno capaci di cambiare la password.

[Cfranco]

Originariamente inviato da pingalep

ebay mi rifuta la password complessa(15 caratteri, lettere e numeri, punteggiatura caratt. speciali maiuscole). che so essere esatta. faccio la procedura per cambiarla. metto la stessa. ebay mi dice: la nuova password non può essere identica alla vecchia.

FUUUUUUUUUUUUUUUUUU...

è la terza volta che mi capita

Caso 1 ( grande banca italiana )
"La tua password è scaduta cambiala"
- cambio la password -
"La nuova password non soddisfa i requisiti di sicurezza"
Quali requisiti non è dato sapere ...
- cambio la password -
"La nuova password non soddisfa i requisiti di sicurezza"
- metti password di 18 caratteri con maiuscole minuscole numeri caratteri speciali e codici ascii non stampabili -
"ok password cambiata"
- dopo 5 minuti chiedi il cambio password perchè non me la ricordo più -

Caso 2 ( altra banca )
- inserisco la password -
"password errata"
- reinserisco la password -
"password errata"
( ripetere a piacere )
dopo 30 minuti di tentativi telefono al call center e scopro che a causa di un aggiornamento della piattaforma tutte le password contenenti caratteri speciali erano fottute, ho dovuto chiedere il reset e la rispedizione via raccomandata della nuova password

Originariamente inviato da leddlazarus

senza contare che per un gestore IT aziendale come me, per ogni cambio password obbligatorio equivale ad un suicidio.
ennemila telefonate da utonti nemmeno capaci di cambiare la password.

"ma io volevo continuare a usare la password di prima"
"Non mi ricordo che password stavo usando, l' ho memorizzata sul browser"
"mi dice che la mia password è espirata, cosa vuol dire ?"

Originariamente inviato da demon77

E' vero ma ti tiri scemo dopo un po'..
Io ho impostato una pseudo regola personale:

siti del caxxo tipo store on line: password pacco sempre quella
siti tipo amazon o ebay o paypal: password a parte, usata solo per quello
banca: password di lettere e numeri totalmente casuali tipo "hkwjmw34348"
perchè tanto devi cambiarla ogni tot, deve essere ben sicura e comunque sia non me la ricorderò mai. La tengo slavata sul file delle password criptato sul pc.

Se leggi questo :
http://arstechnica.com/security/2013...our-passwords/
Ti rendi conto che una password sicura è impossibile da trovare
il 90% delle password craccate in 12 ore, tra queste roba tipo :
qeadzcwrsfxv1331
momof3g8kids
Apr!l221973
Philippians4:6-7
Qbesancon321
Pure le password create concatenando quattro parole sono deboli
E' un macello

[maxnaldo]

ecco le password utilizzate in tutte le aziende in cui gli amministratori di sistema hanno deciso di obbligare gli utenti ad un cambio password periodico:

Gennaio2016
Febbraio2016
Marzo2016
Aprile2016
...2016
...2017
...2018

e così via.

concordo in tutto e per tutto, l'obbligo di cambio password periodico costringe gli utenti ad usare password facili da ricordare e quindi facili da scovare.

[maxnaldo]

Originariamente inviato da Cfranco

Caso 1 ( grande banca italiana )
"La tua password è scaduta cambiala"
- cambio la password -
"La nuova password non soddisfa i requisiti di sicurezza"
Quali requisiti non è dato sapere ...
- cambio la password -
"La nuova password non soddisfa i requisiti di sicurezza"
- metti password di 18 caratteri con maiuscole minuscole numeri caratteri speciali e codici ascii non stampabili -
"ok password cambiata"
- dopo 5 minuti chiedi il cambio password perchè non me la ricordo più -

Caso 2 ( altra banca )
- inserisco la password -
"password errata"
- reinserisco la password -
"password errata"
( ripetere a piacere )
dopo 30 minuti di tentativi telefono al call center e scopro che a causa di un aggiornamento della piattaforma tutte le password contenenti caratteri speciali erano fottute, ho dovuto chiedere il reset e la rispedizione via raccomandata della nuova password



"ma io volevo continuare a usare la password di prima"
"Non mi ricordo che password stavo usando, l' ho memorizzata sul browser"
"mi dice che la mia password è espirata, cosa vuol dire ?"


Se leggi questo :
http://arstechnica.com/security/2013...our-passwords/
Ti rendi conto che una password sicura è impossibile da trovare
il 90% delle password craccate in 12 ore, tra queste roba tipo :
qeadzcwrsfxv1331
momof3g8kids
Apr!l221973
Philippians4:6-7
Qbesancon321
Pure le password create concatenando quattro parole sono deboli
E' un macello

quello è un dictionary attack, e le passwords scovate non sono niente di randomico o difficile, se le guardi bene noterai che sono passwords conosciute o conoscibili in quanto derivate da metodi mnemonici.

se vuoi una password inattaccabile creane una totalmente random di 16 caratteri tipo: X4-s@B}zv@8JGf0-

e usi un password manager come storage dei tuoi accounts user+pwd

[Emin001]

@Cfranco qeadzcwrsfxv1331 questa è veramente semplice, anche se ha 16 caratteri è monnezza.

[peronedj]

Dove lavoro io non è così semplice, il cambio password è obbligatorio ogni 3 mesi ma la nuova password oltre a dover rispettare i soliti canoni (lettere minuscole + maiuscole + numeri + caratteri speciali) deve anche essere abbastanza diversa dalla precedente (tipo non più di 3 caratteri uguali e nella stessa posizione della password precedente) e non contenere più di 3 caratteri uguali consecutivi...

[gerko]

Originariamente inviato da LMCH

No, vanno bene anche passoword tutte con minuscole, basta che non siano troppo ovvie e siano sufficientemente lunghe.
PERMETTERE l'uso di caratteri numerici, punteggiatura e speciali è una buona cosa
OBBLIGARE all'uso di quei caratteri e per forza di maiuscole e minuscole invece è pessimo perche incentiva a scriversi la password in un posto facilmente accessibile e/o ad usare password molto brevi "perchè tanto sono complicate".

Semmai tornerebbe utile un check su un dizionario di "password facili" in modo da evitare quelle più ovvie usate negli attacchi a forza bruta ( morte a "1234" ).

Io uso password diverse per ogni sito e login associando frasi idiote, sgrammaticate e con uso di numeri e caratteri speciali ecc. con notazione a cammello (maiuscole come separatori di parole), l'importante è che siano così stupide e personali da essere facili da ricordare anche se lunghe.

Ho letto una spiegazione interessante sulle password una volta che mi ha convinto.

Dipende sempre da chi devi difenderti con la password.
Se devi difenderti da altre persone umane, 5/6 caratteri sparati a caso e sei a posto a meno che te le leggono. Tipo: 4Eù*Hj. 6 caratteri.
Se devi difenderti da un brute force conta praticamente solo la lunghezza, per lui vedere una U o una S è identico, quindi mettere ABCDEF (una delle password che spesso viene usata..) o SEMPRE o GL1%a! è uguale.
Se invece scrivi sempresempresempresempresempre cioè 30 caratteri invece che 6, per farsi tutte le combinazioni, gli vuole più tempo(gli vuole solo più tempo, non è infallibile).

Il cambio pass è una rottura di scatole(ci sono anche banche che non chiedono mai di cambiarla), basta sceglierne una lunga e unica per quel servizio, oppure come diceva qualcuno per servizi tipo chat e forum anche usare la stessa, direi che non è niente di grave.

[demon77]

Originariamente inviato da Cfranco

Se leggi questo :
http://arstechnica.com/security/2013...our-passwords/
Ti rendi conto che una password sicura è impossibile da trovare
il 90% delle password craccate in 12 ore, tra queste roba tipo :
qeadzcwrsfxv1331
momof3g8kids
Apr!l221973
Philippians4:6-7
Qbesancon321
Pure le password create concatenando quattro parole sono deboli
E' un macello

eeeeeh vabbeh sticazzi.... mi chiudo le palle nella portiera dela macchina e chiudo la giornata!

[Cfranco]

Originariamente inviato da Emin001

@Cfranco qeadzcwrsfxv1331 questa è veramente semplice, anche se ha 16 caratteri è monnezza.

Ni
E' una password che qualcuno potrebbe ritenere molto sicura
Il fatto è che come dimostra il test, qualsiasi password che sia facile da ricordare è debole in quanto gli attacchi mimano il pensiero umano
Ad esempio qualsiasi password <maiuscole><minuscole><numero> è per definizione debolissima, si cracca in meno di un' ora
Quindi quando rubano il file degli hash delle password e ti dicono che non c' è alcun pericolo perchè sono crittografate non credetegli perchè un hacker in mezza giornata le recupera quasi tutte

[Goofy Goober]

Originariamente inviato da Cfranco

Ni
E' una password che qualcuno potrebbe ritenere molto sicura
Il fatto è che come dimostra il test, qualsiasi password che sia facile da ricordare è debole in quanto gli attacchi mimano il pensiero umano
Ad esempio qualsiasi password <maiuscole><minuscole><numero> è per definizione debolissima, si cracca in meno di un' ora
Quindi quando rubano il file degli hash delle password e ti dicono che non c' è alcun pericolo perchè sono crittografate non credetegli perchè un hacker in mezza giornata le recupera quasi tutte

mi sfugge come capiscano le parole (se ce ne sono) o i caratteri di cui è composta la password e di quanti caratteri è una password.
così dal nulla intendo, non quando in mano qualcosa come i file degli hash.

perchè per dire una password come ciVIC1977TURbo, dovrebbe esser facile da craccare?

[Cfranco]

Originariamente inviato da Goofy Goober

perchè per dire una password come ciVIC1977TURbo, dovrebbe esser facile da craccare?

Perchè in un file di dizionario di un milione di termini le parole civic 1977 e turbo ci sono, non solo troveranno facilmente ciVIC1977TURbo ma anche c1V1C1977TURb0

[fraussantin]

Originariamente inviato da Cfranco

Perchè in un file di dizionario di un milione di termini le parole civic 1977 e turbo ci sono, non solo troveranno facilmente ciVIC1977TURbo ma anche c1V1C1977TURb0

E se io ti metto Hcmille9cento77T?

[Bestio]

Originariamente inviato da Cfranco

Perchè in un file di dizionario di un milione di termini le parole civic 1977 e turbo ci sono, non solo troveranno facilmente ciVIC1977TURbo ma anche c1V1C1977TURb0

Non so quanto siano affidabili questi siti, ma qua dice che ci vorrebbero 10 milioni di anni per crackarla...

https://howsecureismypassword.net/

Ma nessuna PW è veramente sicura, se non lo è il PC stesso, basta un keylogger o uno sniffer ber intercettare qualunque cosa tu scrivi.

[Goofy Goober]

Originariamente inviato da Bestio

Non so quanto siano affidabili questi siti, ma qua dice che ci vorrebbero 10 milioni di anni per crackarla...

https://howsecureismypassword.net/

boh quella che uso ultimamente mi dice 609 milioni di anni... forse perchè è lunga...

Originariamente inviato da Cfranco

Perchè in un file di dizionario di un milione di termini le parole civic 1977 e turbo ci sono, non solo troveranno facilmente ciVIC1977TURbo ma anche c1V1C1977TURb0

qeadzcwrsfxv1331 questa però nei dizionari non ci sono...

cioè la differenza di "sicurezza" di una password allora da cosa dovrebbe esser data, se tanto sia che si tratti di parole compiute o non compiute ci vogliono poche ore a bucarla a quanto mi dici?

[Emin001]

Originariamente inviato da Cfranco

Ni
E' una password che qualcuno potrebbe ritenere molto sicura
Il fatto è che come dimostra il test, qualsiasi password che sia facile da ricordare è debole in quanto gli attacchi mimano il pensiero umano
Ad esempio qualsiasi password <maiuscole><minuscole><numero> è per definizione debolissima, si cracca in meno di un' ora
Quindi quando rubano il file degli hash delle password e ti dicono che non c' è alcun pericolo perchè sono crittografate non credetegli perchè un hacker in mezza giornata le recupera quasi tutte

Appunto, quella password mi ricorda tanto una banale sequenza alfanumerica nei dei test di logica.

Originariamente inviato da Goofy Goober

boh quella che uso ultimamente mi dice 609 milioni di anni... forse perchè è lunga...

cioè la differenza di "sicurezza" di una password allora da cosa dovrebbe esser data, se tanto sia che si tratti di parole compiute o non compiute ci vogliono poche ore a bucarla a quanto mi dici?

Non farei tanto affidamento a quel tempo e comunque allargare il set di caratteri aiuta molto. Leggi qui https://www.grc.com/haystack.htm

Questa dovrebbe essere un esempio di password semplice e sicura(per modo di dire) ++75^"murder"^]AGAINST[^"floor"^89++

[Cfranco]

Originariamente inviato da Goofy Goober

boh quella che uso ultimamente mi dice 609 milioni di anni... forse perchè è lunga...

Perchè fa il conto di un attacco brute force
Certo per N(2AwW.rWuj;A2sPq"8V:&_+xy il conto va anche bene
ma se sono parole di dizionario, anche se magari c' è qualche variazione allora si trova in un lampo

Originariamente inviato da Goofy Goober

qeadzcwrsfxv1331 questa però nei dizionari non ci sono...

Ci sta, ci sta ...
i pattern di tastiera a partire da qwertyuiop ci sono tutti

Originariamente inviato da Goofy Goober

cioè la differenza di "sicurezza" di una password allora da cosa dovrebbe esser data, se tanto sia che si tratti di parole compiute o non compiute ci vogliono poche ore a bucarla a quanto mi dici?

Se usi 6Y<AG8"B7ay(gDBc;c,`r2_pd\w!}*UsXx5=9G6zvtBtRAy.k&p!xj-<@9n"@E sei sicuro che nessuno la indovina ( l' ho presa da qua : http://passwordsgenerator.net/ )

[homero]

Gli attacchi brute force in genere sono inutili
Si tende ad usare i cosiddetti social engineering ossia le password socialmente più utilizzate ad esempio Facebook ha un patrimonio di password enorme che può vendere al miglior offerente così uno può inventarsi la password più strana ma alla fine non serve è come mettere una serratura ad una porta di cartone