Password in chiaro in email rinnovo servizi

[Marco Trapanese]

Ciao,

è ancora vivo il NG o conviene scrivere altrove?

Ho una domanda. Premesso che non sono paranoico circa la riservatezza,
ma mi capita una cosa che mi sembra alquanto strana di questi tempi.

Ricevo email da un fornitore di hosting che mi ricorda i vari servizi in
scadenza. Il punto è che nel corpo delle email sono presenti le
istruzioni per effettuare il rinnovo tra cui anche l'accesso all'account
personale con tanto di nome utente e password in chiaro.

Domanda: è normale una cosa del genere?

Marco

[giulia]

Post by Marco Trapanese
Domanda: è normale una cosa del genere?

Potrebbe succedere , tenere solo l'hash delle password ha dei vantaggi e
degli svantaggi, ognuno si regola diversamente.


Giulia

[Piergiorgio Sartor]

Post by giulia

Post by Marco Trapanese
Domanda: è normale una cosa del genere?

Potrebbe succedere , tenere solo l'hash delle password ha dei vantaggi e
degli svantaggi, ognuno si regola diversamente.

Giusto per curiosita`, quale sarebbe lo svantaggio?

bye,

[Giulia]

Post by Piergiorgio Sartor
Giusto per curiosita`, quale sarebbe lo svantaggio?

La fase di recupero password richiede forzatamente la generazione di nuove password ad es...

Giulia

[Piergiorgio Sartor]

Post by Giulia

Post by Piergiorgio Sartor
Giusto per curiosita`, quale sarebbe lo svantaggio?

La fase di recupero password richiede forzatamente la generazione di
nuove password ad es...

Uhm, si certo, ma mi pare un prezzo basso da
pagare in confronto al vantaggio dell'hashing.

bye,

[Giulia]

Post by Piergiorgio Sartor
Uhm, si certo, ma mi pare un prezzo basso da
pagare in confronto al vantaggio dell'hashing.

No se la password ad esempio e' configurata per varie ragioni su dei dispositivi (ad esempio client email o simili) e quindi il
cambio ha un costo.

Giulia

[THe_ZiPMaN]

Post by Giulia
La fase di recupero password richiede forzatamente la generazione di
nuove password ad es...

Quindi nessuno svantaggio dal momento che questa è la procedura da
applicare anche per essere conformi alla legge (essendo che la password
è PERSONALE e non va divulgata per nessun motivo).

[Skull]

Post by THe_ZiPMaN

Post by Giulia
La fase di recupero password richiede forzatamente la generazione di
nuove password ad es...

Quindi nessuno svantaggio dal momento che questa è la procedura da
applicare anche per essere conformi alla legge (essendo che la password
è PERSONALE e non va divulgata per nessun motivo).

Aggiungerei che, sul piano strettamente tecnico, conservare le password
hashed ti impedisce di usare meccanismi di autenticazione C/R.

Anche questo non è un grosso svantaggio: mi son sempre stati sulle b***
comunque...

[Giulia]

Post by THe_ZiPMaN
applicare anche per essere conformi alla legge (essendo che la password
è PERSONALE e non va divulgata per nessun motivo).

Escludendo questo caso (allegato B) visto che stiamo facendo un discorso generico:
-Cifratura dei dati personali idonei a rivelare lo stato di salute e la vita sessuale.

Potresti indicare l'articolo o la circolare CNIPA dove si menziona il metodo di immagazzinamento delle credenziali di autenticazione
nel caso di dati personali e non SENSIBILI?


Giulia

[THe_ZiPMaN]

Post by Giulia

Post by THe_ZiPMaN
applicare anche per essere conformi alla legge (essendo che la password
è PERSONALE e non va divulgata per nessun motivo).

E perché si dovrebbe escludere l'allegato B da un discorso generico?
Perché ti fa comodo?

Post by Giulia
-Cifratura dei dati personali idonei a rivelare lo stato di salute e la vita sessuale.

E questo cosa cavolo c'entra?

Post by Giulia
Potresti indicare l'articolo o la circolare CNIPA dove si menziona il
metodo di immagazzinamento delle credenziali di autenticazione nel caso
di dati personali e non SENSIBILI?

Ma certo... art. 34 della solita 196/03 dove testualmente è recitato:

«1. Il trattamento di dati personali effettuato con strumenti
elettronici è consentito solo se sono adottate, nei modi previsti dal
disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di
autenticazione;
[...]
»

Che guarda caso rimanda all'allegato B di cui sopra che tu per tua
comodità vorresti escludere dal discorso e che recita:

«2. Le credenziali di autenticazione consistono in un codice per
l'identificazione dell'incaricato associato a una parola chiave
riservata conosciuta solamente dal medesimo [...]
[...]
4. Con le istruzioni impartite agli incaricati è prescritto di adottare
le necessarie cautele per assicurare la segretezza della componente
riservata della credenziale [...] »

Che guarda caso asserisce proprio che ove si trattano dati *personali*
(quindi non esclusivamente dati sensibili) le credenziali *devono*
rimanere segrete (con l'eccezione del punto 10 che trova rarissima
applicazione reale).

Va da sè che queste sono le prescritte misure *minime* di sicurezza,
quelle che magari ti tolgono dall'impaccio del penale, ma non è detto
siano sufficienti a salvare il Qlo da risarcimenti.

Finché va tutto bene non ci sono problemi, il giorno in cui quella
credenziale salvata in chiaro viene rubata e magari riutilizzata in modo
fraudolento sono cazzi. E allora dubito che ti farai trovare a dire che
va tutto bene.

[Giulia]

[cut]

Ok, mi avrebbe stupito che la legge desse indicazioni tecniche (che di solito sono date dal CNIPA nelle varie deliberazioni), ma
come e' ovvio da solo indicazioni di massima, il resto sono considerazioni personali o fortemente dipendenti dal singolo caso
ipotizzato.


Giulia

[THe_ZiPMaN]

Post by Giulia
Ok, mi avrebbe stupito che la legge desse indicazioni tecniche (che di
solito sono date dal CNIPA nelle varie deliberazioni),

Il CNIPA (che tra l'altro da tempo è diventato DigitPA) si occupa
dell'informatica nella PA, non è un organo legislativo. Al più viene
consultato per l'emanazione di norme tecniche dal legislatore, ma non
può nulla di sua iniziativa all'infuori dell'ambito della PA. Quindi
direi che il CNIPA non c'entra nulla con il discorso che è generale e
non relativo alla pubblica amministrazione.

Post by Giulia
ma come e' ovvio da solo indicazioni di massima,

Se per te l'allegato B sono disposizioni di massima non so cosa
dovrebbero prevedere le indicazioni "di dettaglio"... Cosa dovrebbero
scrivere per spiegare meglio il concetto "la password deve rimanere
segreta" rispetto a quanto già presente nella legge e nei suoi allegati?

Post by Giulia
il resto sono considerazioni personali o
fortemente dipendenti dal singolo caso ipotizzato.

Sono tutte considerazioni personali fino a che non le si va a discutere
in un tribunale...

[Daniele Orlandi]

Post by Piergiorgio Sartor
Giusto per curiosita`, quale sarebbe lo svantaggio?

Non le puoi usare per autenticazioni CHAP e per alcuni meccanismi SASL.

Ciao,

[Marco Trapanese]

Post by giulia
Potrebbe succedere , tenere solo l'hash delle password ha dei vantaggi e
degli svantaggi, ognuno si regola diversamente.

Scusami, mi sono forse espresso male.
Non mi riferivo a come l'operatore gestisce *internamente* le password.
Parlavo del fatto che invia email (che potrebbero anche essere lette da
altri, lui non può saperlo) contenenti le password.

E' come se la banca ti scrivesse via email i dati di accesso o il codice
del bancomat!

Basta scrivere "accedi al tuo account" senza riportarmi username e password.

E' su questo che chiedo un parere.

Ciao e grazie
Marco

[Giulia]

Parlavo del fatto che invia email (che potrebbero anche essere lette da altri, lui non può saperlo) contenenti le password.

Sostanzialmente lo fanno tutti (anche ngi e aruba per dirti), d'altronde anche i recuperi password ti inviano per mail
la password generata.

E' come se la banca ti scrivesse via email i dati di accesso o il codice del bancomat!

La banca manda un po' per mail un po per posta fisica , in base a quello che reputa piu' sicuro.

Basta scrivere "accedi al tuo account" senza riportarmi username e password.
E' su questo che chiedo un parere.

Di solito si invita a cambiare la password dopo queste comunicazioni, o e' buona norma farlo,
il tuo caso e molto specifico (gia conosci l'account e devi solo rinnovarlo), magari reputano che per
motivi commerciali vale la pena lavorare cosi' invece di rischiare che l'utente debba magari effettuare un recupero password e poi
il rinnovo.
Come dico a tutto ci sono dei pro e dei contro.

Giulia

[Piergiorgio Sartor]

On 08/05/2012 11:20 AM, Marco Trapanese wrote:
[...]

Post by Marco Trapanese
Non mi riferivo a come l'operatore gestisce *internamente* le password.
Parlavo del fatto che invia email (che potrebbero anche essere lette da
altri, lui non può saperlo) contenenti le password.

Le cose, credo, sono legate.

Se internamente ha solo hash, non puo` spedirti
la password per email.

Viceversa, per poter spedire un email con password
in chiaro, significa che, internamente, da qualche
parte, la password e` memorizzata come tale e non
solo come hash.

bye,

[Marco Trapanese]

Post by Piergiorgio Sartor
Viceversa, per poter spedire un email con password
in chiaro, significa che, internamente, da qualche
parte, la password e` memorizzata come tale e non
solo come hash.

Questo è pacifico.
Ma il punto è *perché* deve mandare via email *ad ogni comunicazione* la
password!
Penso che abbia ragione Giulia quando dice che lo ritengono
commercialmente vantaggioso.

Volevo solo capire se si tratta appunto di opinioni o c'è della
giurisprudenza in merito.

Buona domenica!
Marco

[Francesco Potortì]

Post by Marco Trapanese
Ricevo email da un fornitore di hosting che mi ricorda i vari servizi in
scadenza. Il punto è che nel corpo delle email sono presenti le
istruzioni per effettuare il rinnovo tra cui anche l'accesso all'account
personale con tanto di nome utente e password in chiaro.
Domanda: è normale una cosa del genere?

Non è buona norma mettere password in chiaro nelle email. Basta uno
sniffatore lungo la strada e la può leggere

Se il tuo fornitore di hosting è anche fornitore di connettività ha
l'attenuante che comunque la mail passa solo attraverso la sua rete,
almeno fino al tuo router.

[Marco Trapanese]

Post by Francesco Potortì
Non è buona norma mettere password in chiaro nelle email. Basta uno
sniffatore lungo la strada e la può leggere

Esatto, quello che intendevo. O anche direttamente sul pc del destinatario.

Post by Francesco Potortì
Se il tuo fornitore di hosting è anche fornitore di connettività ha
l'attenuante che comunque la mail passa solo attraverso la sua rete,
almeno fino al tuo router.

Eh no, offre solo servizi hosting, niente a che vedere con la connettività.

Ho intenzione di scrivergli per fargli notare la cosa. A parte il mio
parere personale (che può benissimo essere sbagliato) c'è qualche norma
o legge che la pensa come me?

Grazie
Marco

[Ministry]

Post by Marco Trapanese
Ciao,
è ancora vivo il NG o conviene scrivere altrove?
Ho una domanda. Premesso che non sono paranoico circa la riservatezza,
ma mi capita una cosa che mi sembra alquanto strana di questi tempi.
Ricevo email da un fornitore di hosting che mi ricorda i vari servizi in
scadenza. Il punto è che nel corpo delle email sono presenti le
istruzioni per effettuare il rinnovo tra cui anche l'accesso all'account
personale con tanto di nome utente e password in chiaro.

Hmm... anche Aruba la fa.
Se richiedi copia dei dati di autenticazione ti rispedisce user e pass
in chiaro...
m.