|
Dimensione: 12907
Commento:
|
Dimensione: 974
Commento:
|
| Le cancellazioni sono segnalate in questo modo. | Le aggiunte sono segnalate in questo modo. |
| Linea 6: | Linea 6: |
| = Introduzione = Una password dovrebbe essere semplice da ricordare, difficile da indovinare per le altre persone e complessa abbastanza da impedire che i computer la violino con facilità. Soddisfare ciascuna di queste richieste è semplice, più complicato è scegliere una password che le soddisfi tutte e tre in contemporanea. È molto più semplice ricordare una sola password che 20 password, perciò provare a sceglierne una che possa essere usata su diversi computer e su vari siti web. Ciò spesso significa scegliere una password di almeno 8 lettere/numeri (e talvolta non più di 8). Dovrebbe inoltre essere anche complicata, poiché diversi siti web effettuano un controllo di complessità. |
= Prova abstract = |
| Linea 9: | Linea 8: |
| ||<tablestyle="text-align: justify; width:63%; " style="border:none;" 5%><<Immagine(Icone/Piccole/note.png,,center)>> ||<style="padding:0.5em; border:none;">''Usare la stessa password su diversi sistemi e/o siti web significa anche che tutti i sistemi e/o siti web diventano vulnerabili una volta che la password è stata crackata in uno di questi.'' || | Con l'inizio del 2019 arriva un'importante novità riguardante la Documentazione Wiki. Il Gruppo Doc ha deciso di lasciare maggiore iniziativa agli utenti del wiki in materia di creazione di nuove guide e aggiornamento delle pagine esistenti. La nostra attività di supporto e supervisione andrà avanti, è stato però deciso di aggiornare l'iter in modo tale che anche in nostra assenza un utente possa agire di sua iniziativa. Questo per evitare appunto che una guida rimanga a lungo bloccata prima di essere pubblicata.In sostanza si è cercato di mantenere le buone pratiche attuate in questi anni e di aggiungere un pizzico di responsabilità in più da parte degli utenti. |
| Linea 11: | Linea 10: |
| È consigliabile non usare mai il nome del proprio animale domestico, la propria data di nascita, la parola "segreto" o qualsiasi altra parola che possa essere indovinata con facilità. In una buona password sono sempre presenti insieme lettere minuscole, lettere maiuscole e numeri (sarebbe opportuno usare anche dei simboli, come * o #, ma diversi siti web non lo consentono). Riepilogando, è buona norma far si che una password sia: * di lunghezza non inferiore agli '''8''' caratteri; * non contenente il proprio nome utente, vero nome o il nome dell'organizzazione; * non contenente una parola intera presente in dizionario; * molto diversa dalla password scelta in precedenza; * possibilmente contenente '''3''' (tre) dei seguenti tipi di carattere: * lettere minuscole (a, b, c, ecc); * lettere maiuscole (A, B, C, ecc); * numeri (0, 1, 2, ecc...); * caratteri speciali (@, %, !, ecc). Generalmente una buona password dovrebbe essere composta da almeno otto caratteri alfanumerici e non dovrebbe contenere parole facilmente individuabili, come per esempio la data di nascita. Per creare password robuste con '''Ubuntu''' è possibile utilizzare l'applicazione '''APG''' (Automated Password Generator) oppure si può ricorrere ad un dispositivo del kernel chiamato '''/dev/random''' o '''/dev/urandom''' in grado di generare numeri casuali. = APG - Automated Password Generator = == Installazione == [[AmministrazioneSistema/InstallareProgrammi|Installare]] il pacchetto [[apt://apg | apg]]. Successivamente verrà richiesta una password, che può essere la password dell'utente o la stessa password che si utilizza quando si eseguono i comandi con il comando ''sudo''. Dopo l'autenticazione, il pacchetto '''APG''' verrà scaricato e installato. Finita l'installazione il programma è pronto per essere utilizzato e configurato ulteriormente a proprio piacimento. == Utilizzo == Per utilizzare '''APG''', digitare il seguente comando in una finestra di terminale : {{{ apg }}} Verrà richiesto di digitare dei caratteri a caso e alla pressione del tasto '''Invio''', l'output che verrà mostrato è simile a questo: {{{ queafWodEis5 (queaf-Wod-Eis-FIVE) WoudElIc6 (Woud-El-Ic-SIX) GorIacNewt8 (Gor-Iac-Newt-EIGHT) ShratUplEov7 (Shrat-Upl-E-ov-SEVEN) hexLyafByff1 (hex-Lyaf-Byff-ONE) Irkyorn9 (Irk-yorn-NINE) }}} Il comportamento predefinito di '''APG''' è quello di chiedere l'immissione di caratteri a caso dalla tastiera e alla pressione del tasto '''Invio''' visualizza '''6''' password robuste "pronunciabili". Vengono definite "pronunciabili" in quanto possono essere lette come normali parole, infatti '''APG''' include la pronuncia tra parentesi di fianco a ogni password. Sono ritenute robuste perché contengono un misto di caratteri minuscoli, maiuscoli e numeri. Per generare password di caratteri casuali al posto di password "pronunciabili", occorre utilizzare l'opzione «'''-a 1'''», dove «'''-a'''» è l'algoritmo usato da '''APG''' e «'''1'''» seleziona la modalità casuale. Il seguente comando crea '''6''' password di caratteri senza la richiesta di input: {{{ apg -a 1 }}} l'output che verrà mostrato sarà simile a questo:{{{ S: w [AoE < ! _IlD # _G / ~ ) lL`avASe6 SgzlI:? Lu h ~ Wc (0b "{ '4fU25w%} }}} Se si vuole in ogni caso inserire dei dati, per creare una password il più sicura possibile, è possibile usare l'opzione «'''-s'''». Un altro esempio è la generazione di '''4''' ''Wi``Fi Protected Access Pre Shared Keys'' (WPA PSK) della lunghezza massima di 63 caratteri casuali, da poter utilizzare nei sistemi Wi``Fi come i ''Wireless Access Point'' (WAP). Per generare una simile sequenza di caratteri utilizzando dati casuali dallo standard input, in un terminale digitare: {{{ apg -s -a 1 -m 63 -n 4 }}} Dopo aver fornito i dati casuali da tastiera e premuto il tasto '''Invio''' verrà presentato un elenco di potenti PSK-WPA, simile a questi:{{{ + Diaz * <DmO6VAFR / cQ> B ^ '[mtB;!! J1ABi * n "B <= | _My" 5bZv # * iRJH 0oCcf, @ Z ? Os # 3;} SC2 / A> LG ^ e * 9% 9} pd ^ & A \ 'eLkdC, lk # jB, bcg70I | q @ U: ^ VZP "}> 3z G? rj ?? <_ Ej% -: 2LW; 4q_ 53 $ ab $ U_ ~ 1I (({ `^ LN1Hd && GKJ + Dw; EQR <\ qH_VQ {` s?! "X3up}; b ~ / jU6Vo, t"> Dott ~ f_U`NSNr30JmOD @ c'Y:? P2wvc "0s $ MTT <S5Qr \ Azi}}} Per ulteriori dettagli fare riferimento alla pagina man del programma: {{{ man apg }}} = /dev/random e /dev/urandom = I file speciali a caratteri '''/dev/random''' e '''/dev/urandom''' (presenti a partire da Linux 1.3.30) forniscono un'interfaccia al generatore del kernel di numeri casuali. Il file /dev/random ha numero primario 1 e numero secondario 8 mentre il file /dev/urandom ha numero primario 1 e numero secondario 9. Il generatore di numeri casuali raccoglie il rumore di fondo dai dispositivi dei driver e da altre sorgenti nella fonte di entropia e mantiene anche una stima del numero di bit di rumore nella fonte di entropia. Da questa fonte di entropia vengono creati i numeri casuali. Inoltre /dev/random è adatto ad usi che richiedono un alto grado di casualità, come la cifratura "one-time pad" e la generazione di chiavi. == Utilizzo == Se non si è sicuri di quale programma usare,/dev/random o /dev/urandom, probabilmente la scelta migliore è l'ultimo. Come regola generale, si dovrebbe usare per tutto '''/dev/urandom''', fatta eccezione per chiavi GPG/SSL/SSH esistenti da molto tempo. E' possibile generare password di varie lunghezze tramite il valore «'''head -n'''» seguito dal numero di caratteri che si desidera utilizzare. Ad esempio, per generare una password composta da 10 caratteri alfanumerici, digitare il seguente comando in una finestra di terminale: {{{ strings /dev/urandom | grep -o '[[:alnum:]]' | head -n 10 | tr -d '\n'; echo }}} Il risultato sarà simile al seguente: {{{ f2AJpELBKX }}} Questo strumento ci permette inoltre di utilizzare caratteri speciali per generare password. Per fare ciò sostituire il parametro «'''alnum'''» con «'''graph'''». Ad esempio, per generare una password composta da 10 caratteri, alfanumerici e speciali, digitare il seguente comando in una finestra di terminale: {{{ strings /dev/urandom | grep -o '[[:graph:]]' | head -n 10 | tr -d '\n'; echo }}} Il risultato sarà simile al seguente: {{{ E>/*K:NnCt }}} = Generare manualmente password complesse = Molte persone scoprono di ricordare meglio le proprie password quando queste sono generate con l'utilizzo di piccoli trucchi. Questa sezione infatti fornisce un esempio pratico di come generare manualmente una password complessa, facendo attenzione che poichè questi esempi sono visualizzabili da chiunque, i risultati esatti dovrebbero essere evitati. La procedura da seguire è: * Il primo passo è scegliere una frase che si può ricordare facilmente, ma che sia lunga ''almeno'' 8 parole. Questa naturalmente può essere: * una citazione preferita; * una frase della tua canzone preferita; * qualcosa che hai sentito casualmente per strada; * un riferimento oscuro a un film che ti piace; e così via. Per questo esempio, scegliamo la frase:{{{ Io sono ciò che sono per merito di ciò che siamo tutti}}} * Il secondo passo è convertire la frase appena scelta in una singola parola. ''Esattamente come lo fai non è importante, purchè ti ricordi come l'hai fatto!''. Prenderemo in considerazione la prima lettera di ogni parola, e ottorremo:{{{ isccspmdccst}}} A questo punto abbiamo una classe di caratteri composti da lettere minuscole. Successivamente consideriamo ogni terza lettera della parola e la trasformiamo in una lettera maiuscola, avendo:{{{ isCcsPmdCcsT}}} * Adesso utilizziamo i numeri per rendere più complessa la password. Con un pò di immaginazione, si nota che: * la lettera "T" assomiglia al numero "7" → "isCcsPmdCcs7"; * la lettera "i" la sostituiamo con il numero "1" → 1sCcsPmdCcsT; * la lettera "s" assomiglia a un 2 ruotato → "12Cc2PmdCc2T"; Per aumentare la difficoltà della password è possibile sostituire il numero "1" con il punto esclamativo "!", ottenendo come soluzione finale:{{{ !2Cc2PmdCc2T}}} Occorre tenere presente che alcuni caratteri speciali (come: ^, ', ~, ...) sono difficili da individuare o da inserire su una tastiera straniera aumentando così il livello di difficoltà per chi vuole rubare le nostre credenziali. = Archiviazione password = È chiaramente una cattiva idea conservare le proprie password in un luogo visibile o accessibile al pubblico, mentre è buona norma mantenere le password scritte in un luogo sicuro dove terze persone non possono accedervi. Solitamente sono necessarie settimane se non mesi per ricordare con esattezza una password complessa, ma di questi tempi si è soliti ad avere più di una password e soprattutto differenti tra i vari sistemi in cui si è registrati. Però può succedere di dimenticare alcune lettere nella password più vecchie e un modo per aggirare questo problema è quello di generare una password di base che viene utilizzata come parte di tutte le password e annotare le parti aggiuntive per ciascun sito. {{{ esempio: password ricordate: * password di base: UbuntuR0cks annotate le password: * banca A: #29G%7 * banca B: $FF09@ * forum 1: &*LJK2 * forum 2: FGBe*13 Quindi i due elementi sarebbero combinati: * bank A: !UbuntuR0cks#29G%7 * banca B: !UbuntuR0cks$FF09@ * forum 1: !UbuntuR0ckse*LJK2 * forum 2: UbuntuR0cksFGBe*13}}} = Non utilizzare generatori di password online = Gli strumenti da riga di comando sopra descritti sono molto sicuri rispetto ai generatori di password online che si basano su: 1. '''Algoritmo implementato dal servizio online''' - Il titolare del servizio online è un ricercatore esperto di sicurezza che utilizza un algoritmo ben studiato? Occorre sapere che per fare algoritmi sicuri è notoriamente difficile e molto spesso gli stessi ricercatori esperti non sono sorpresi quando i loro algoritmi si "rompono" e di conseguenza sono vulnerabili; 2. '''Qualsiasi materiale utilizzato dal servizio non viene mai compromesso''' - Cosa succede se il sito venisse violato dopo aver generato la tua password? Un utente malintenzionato potrebbe esaminare l'algoritmo e risalire alle chiavi generate dal servizio online in un secondo momento; 3. '''Integrità del servizio online''' - Ti fidi del titolare del servizio? Cosa succede se sono stati arrestati? Avresti fiducia in loro e nel loro servizio? Se a tutto ciò non sai dare una risposta, non fidarti! Utilizza i precedenti comandi sopra descritti che si basano sui primitivi crittografici forniti dal kernel Linux. Questi primitivi sono temprati dalle battaglie, sono studiati e progettati per non far trapelare la tua password dalla tua macchina. = Ulteriori risorse = ##Impossibile raggiungere la pagina * [[http://www.adel.nursat.kz/apg/|Sito ufficiale del progetto APG]] * [[http://searchsecurity.techtarget.com/tip/1,289483,sid14_gci916934,00.html?track=sap805|Bad Password Policies]] * [[http://manpages.ubuntu.com/manpages/artful/it/man4/urandom.4.html | Man random e urandom]] * [[http://www.sans.org/resources/policies/Password_Policy.pdf|SANS Password Policy Guideline (PDF)]] * [[http://www.sans.org/rr/whitepapers/authentication/1636.php|Simple Formula For Strong Passwords (PDF)]] * [[http://www.smat.us/sanity/pwdilemma.html#anchor12895273|Strong Password Policies]] * [[http://world.std.com/~reinhold/diceware.html|The Diceware Passphrase Home Page]] * [[http://sourceforge.net/projects/pypass/| PyPass]] |
https://www.ubuntu-it.org/news/2019/01/25/documentazione-wiki-pi%C3%B9-potere-agli-utenti |
Indice
Problemi in questa pagina? Segnalali in questa discussione
Prova abstract
Con l'inizio del 2019 arriva un'importante novità riguardante la Documentazione Wiki. Il Gruppo Doc ha deciso di lasciare maggiore iniziativa agli utenti del wiki in materia di creazione di nuove guide e aggiornamento delle pagine esistenti. La nostra attività di supporto e supervisione andrà avanti, è stato però deciso di aggiornare l'iter in modo tale che anche in nostra assenza un utente possa agire di sua iniziativa. Questo per evitare appunto che una guida rimanga a lungo bloccata prima di essere pubblicata.In sostanza si è cercato di mantenere le buone pratiche attuate in questi anni e di aggiungere un pizzico di responsabilità in più da parte degli utenti.
https://www.ubuntu-it.org/news/2019/01/25/documentazione-wiki-pi%C3%B9-potere-agli-utenti
