[NEWS] Zimbra fa pasticci con le password

[c.m.g]

lunedì 29 settembre 2008

Roma - Con il sempre maggiore impiego di connessioni wireless, si fa ancora più pressante l'esigenza di tutelare alcuni dati personali, tra i quali anche quelli di accesso ai propri account di posta. Cosa che parrebbe essere sfuggita ai progettisti di Zimbra - l'applicazione che svolge per Yahoo! anche il servizio di posta elettronica - che, a quanto sembra, invia la password al server in chiaro.

Pur trattandosi di un'applicazione i cui scopi vanno ben oltre quello di semplice client di posta, Zimbra ha esibito questa "debolezza" praticamente per caso: nel corso del Hacku Day, alcuni hacker hanno analizzato il flusso di dati scambiati tra la workstation e il server IMAP di Yahoo!, utilizzando lo sniffer Wireshark.

Dall'analisi del log sono emerse utili indicazioni, prima tra tutte il metodo per far sì che il server IMAP di Yahoo! rispondesse alle richieste anche se l'applicativo impiegato fosse diverso da Zimbra. Ma nella circostanza è anche emerso che la password di connessione veniva inviata senza alcuna codifica.


Immediato il richiamo di alcuni osservatori su circostanze simili, quando la privacy dei nomi degli utenti di Google sembrava compromessa: nel caso della posta di Yahoo!, quindi, meglio cambiare immediatamente la password e, nell'attesa di chiarimenti ufficiali sulla vicenda, tornare alla più classica - e sicura - interfaccia Web.

Marco Valerio Principato



Fonte: Punto Informatico