Password complesse? Meglio le frasi, secondo l'FBI

[zappy]

Originariamente inviato da Svelgen

E invece è un consiglio valido. E mi stupisco anche che la gente si metta lì a pensare a password complesse quando una semplice frase simile a questa: "Prediligo mangiare 75Grammi di Pasta al Sugo", secondo Karpersky password check, è praticamente rock solid.

sempre che il sistema l'accetti, spesso scassano le balle con "max 8 caratteri con almeno 1 maiuscola, un numero, un carattere sumero, un geroglifo egizio"... Da cambiare 1 volta al mese...
Normale che poi uno usi "Abcdefg1"

[Unax]

pierino aveva previsto tutto, esempio di password facile da ricordare basato su una frase

+melo-+vengo--melo--vengo-

secondo il test di kasperky tale password è sicura e verrà craccata in più di 10000 secoli

[cronos1990]

La password migliore? Semplice: per ogni servizio, quando la devo creare apro il mio database di keepass e nel campo "Password" sbatto 4-5 volte il palmo della mano sulla tastiera

Originariamente inviato da zappy

Normale che poi uno usi "Abcdefg1"

Manca il carattere sumero e il geroglifico egizio

[zappy]

Originariamente inviato da cronos1990

...Manca il carattere sumero e il geroglifico egizio

Non ho sottomano la tastiera col sumero antico...
Ti accontenti dell'egizio?

[AlPaBo]

Originariamente inviato da danylo

Pero', mentre una password composta da parole DEVE essere composta da poche parole, 3-5 parole, altrimenti sfori la lunghezza ammessa, la password casuale invece ha molti caratteri.
Esempio: se il campo password consente una lunghezza di 20 puoi:

- usare 20 caratteri casuali (minuscole, maiuscole, numeri), ovvero 62^20. Le combinazioni possibili sono un numero di 35 cifre.

- usare 5 parole casuali: ovvero 10000^5. Le combinazioni sono un numero di 20 cifre

Quindi e' piu' robusta la prima

Se un sito limita la password a 20 caratteri diventa subito sospetto: vuol dire che probabilmente non usa un algoritmo di hash ma mantiene la password originale magari in chiaro (e in un database dove non usa varchar()). Se proprio devi usarlo, va fatto con estrema attenzione.
Lo so anch'io che esistono siti del genere, ma sbagliano loro: a quel punto mi faccio generare una password da KeePass o analogo e uso il copia e incolla.
Salvo un sito dove non accetta l'incollaggio della password.

Originariamente inviato da zappy

sempre che il sistema l'accetti, spesso scassano le balle con "max 8 caratteri con almeno 1 maiuscola, un numero, un carattere sumero, un geroglifo egizio"... Da cambiare 1 volta al mese...
Normale che poi uno usi "Abcdefg1"

Appunto. Siti con queste caratteristiche sono pericolosi.

[Darkon]

Originariamente inviato da cronos1990

Le password generate "casualmente"... non sono casuali.
Qualunque password, ma in generale qualunque sequenza di caratteri, generate da un "computer" (che sia quello tuo di casa, i server google, il cellulare, la PS4 o il Commodore-64 di tuo nonno che ancora funziona) si basano su un algoritmo, o programma che dir si voglia.
E qualunque algoritmo è basato su delle funzioni, tendenzialmente di natura matematica, che per loro natura generano quei caratteri su quelle funzioni matematiche, quindi riconducibili ad un preciso schema logico. Di conseguenza non c'è nulla di casuale. Programmi adeguatamente studiati possono anzichè andare solo di forza bruta, estrapolare lo schema logico dietro il quale si cela quella generazione casuale, e a quel punto sarebbe come avere la chiave di decriptazione di un codice.

Quindi è sempre meglio premere tasti a caso sulla tastiera che affidarsi a tali sistemi. Tanto per dire (chiaramente è solo la mia esperienza, non fa statistica) quando sono passato a TIM per la fibra di casa mi hanno inviato il modem e per scelta ho deciso di usarlo anche se avrei voluto prenderne uno per conto mio... ma in quel momento non volevo spenderci soldi. Ho lasciato per pigrizia la password del Wi-Fi di default, che conteneva 26 caratteri (ben oltre i 15 consigliati) che se li leggi erano apparentemente casuali.
Beh, pur tenendo nascosto l'SSID, non dando la password a nessuno, non consentendo a nessuno di connettermi alla mia rete e imponendo un accesso tramite riconoscimento dell'indirizzo MAC, dopo qualche mese ho avuto un'intrusione.


Detto ciò: io utilizzo keepass da tempo immemore ormai, devo ricordarmi una sola password (di 18 caratteri) e le altre centinaia di password in mio possesso stanno comode li. Quando serve accedo al database dall'analoga applicazione su smartphone o dal PC di casa.

PS: Se proprio devo memorizzare le mie password da qualche parte, Google è l'ultimo dei posti nel quale andrei a farlo

Tutto giusto per l'amor del cielo ma se ragioniamo in tal senso dovremmo tenere conto anche dell'opportunità:

Ha senso per un cracker qualsiasi mettersi a cercare un modo per analizzare un algoritmo complesso, sperare di riuscire a indovinarlo o capirlo che dir si voglia e poi tentare la scommessa che io abbia usato proprio quello e non altro per... entrare in una casella dove pressappoco si legge lo spam e poco più?

Secondo me ormai un cracker che cerca quante più caselle possibili non perde tempo in procedure così complesse ma punta ai grandi numeri e quindi a password relativamente semplici e vulnerabili che tanto ne trova a dozzine. Altro discorso è semmai su mail aziendali dove magari vieni preso di mira proprio te e quindi c'è un interesse particolare che può valere la pena l'investimento di tempo e risorse.

In ogni caso di account di gente comune violati per un attacco diretto in presenza di una password anche solo vagamente decente se ne sentono veramente pochi... il problema è che il più delle volte la gente usa password ridicole.

[zappy]

Originariamente inviato da Darkon

Tutto giusto per l'amor del cielo ma se ragioniamo in tal senso dovremmo tenere conto anche dell'opportunità:

Ha senso per un cracker qualsiasi ...

un cracker punta direttamente al server ed ad accedere direttamente all’archiviazione delle mail, fregandosene di passare dall'autenticazione del servizio pop/imap...
1 pass, migliaia di caselle, milioni di mail. In una botta sola.

[cronos1990]

Cribbio, non puoi quotare un messaggio che ho scritto un anno fa, non mi ricordo neanche io che ho scritto


Comunque, il problema della gente comune è che agisce a caso e con leggerezza.
E basterebbe poco: un minimo di attenzione quando arrivano delle email, custodire con un minimo di criterio le proprie password, evitare certi siti, fare attenzione quando si viene contattati tramite uno dei tanti sistemi di comunicazione.

Poi è chiaro le le password semplici sono un deterrente a sfavore dell'utente. E lo è perchè basta poco per risolvere il problema.

Come ho scritto, io per me uso un programma come keepass, dove al suo interno ci sono tutte le registrazioni con relative password. Un database per solo mio uso personale, dal quale accedo dal PC o sullo Smartphone e che mi consente di dovermi tenere a mente una sola password.

Le password non le memorizzo su nessun tipo di servizio (escluse quelle di alcuni forum, tipo HU), e se devo consultarne una da Keepass non faccio operazioni tipo copia/incolla ma riscrivo "a mano" la password. Poi c'è da dire che col sistema della doppia autentificazione per diversi servizi il problema è ancora più remoto di un hackeraggio (e avrebbe forse impedito che mi hackerassero qualche tempo fa il mio vecchio account paypal).
Poi per maggior sicurezza uso tre mail distinte: una per account minori o store online che visito una volta ogni due anni, quella di base che fornisco ai miei contatti e una terza che non do a nessuno ed uso esclusivamente per servizi più importanti (lo SPID e i servizi della Pubblica Amministrazione, bollette della TIM e dei servizi di casa, il mio servizio di host con relativo sito, le carte di credito, paypal, le buste paga).


Poi la certezza assoluta della sicurezza non ce l'hai in ogni caso.

[ase]

Originariamente inviato da Darkon

Scusate ma perché usare software e casini vari quando google ha il servizio che non solo genera password complesse e in numero infinito, sempre diverse e se le ricorda per te?!

Più semplice di così...

così quando ti entrano nell'account google ti fregano anche le password di tutti gli altri.
Più semplice di così...

[aqua84]

Originariamente inviato da biffuz

Conosco davvero uno che usa come password 123456 e non vuole cambiarla.

digli magari che arrivi almeno fino a 12 (123456789101112) così è tranquillo per un po'