Database Password

Database Password postato il 15/08/2016 09:01:21 nel forum programmazione, gdrcd, open source, hosting

Ciao a tutti,

premetto che sono completamente (o quasi) nuovo del mondo dei pbc e da qualche settimana ho voluto cimentarmi in questo mondo. Ma ho incontrato non pochi problemi e divieti che magari per me nuovo di questo ambiente ( ma non nuovo nei role play game, sopratutto quelli cartaceii e live ) sembrano strani ma non lo sono; come il dievieto di backchat, oppure il divieto di usare Tor o VPN anche se è palese che sono "nuovo" e non un doppio o un disturbatore.
Ma non voglio chiedere di questo qui, piuttosto volevo una risposta riguarda ad una questione a mio parere grave e di sicurezza:

E' legale per questi siti, i pbc appunto, avere il db delle password degli utenti non crittografato? Mi spiego: ok che il gestore può leggere la mia mail, ok che può vedere il mio ultimo ip ( e anche qui potrei fare polemica sul fatto che è un metodo di controllo il mio ultimo ip, salvarlo poi in un db di tutti gli ip usati dal mio "utente" è cosa ben più invasiva ). Ma vedere la mia password? Quello il gestore NON dovrebbe essere in grado, cioè ormai anche le peggio piattaforme forum tipo *nomeforum*.forumfree.net hanno il db delle pw crittografato; Certo nelle stringe del db c'è anche la chiave di decodifica ma quella a sua volta è ben nascosta e solo chi è capace e ha la vera neccessità di conoscere il dato la va a prendere e inizia il procedimento, comunque lungo, di de-crypt.

tl;dr;

E' legale avere il db delle password degli utenti in bella vista?
Che bisogno c'è?
Non è più sicuro averlo crittografato?



A.

quota

15/08/2016 09:19:54 e modificato da twcotstaff il 15/08/2016 09:20:43

Io la prima cosa che ho inserito è un sistema di crittografia delle password.
È impensabile, errato, scorretto, ma soprattutto PERICOLOSO e lo sottolineo, avere le password in chiaro in un database, considerando quanti rischi sulla sicurezza ci sono anche facendo il massimo controllo possibile.

Non so che land hai visto, ma mi sento di dire che il 90% delle land usa una crittografia.

:-)

---

quota

15/08/2016 09:32:18

Ora sono sincero, io ne ho visitate una decina, poco meno; ma in ben due casi ( in questo caso, proverò, ad avvisare i gestori tramite e-mail ) ho notato che non è cosi;

Il caso più palese è quando mi hanno bannato, in meno di 12 ore dall'iscrizione e come motivazione hanno usato:
- password non congrua, non puoi mettere "bestemmie" nella password.
la mia password ( solo per quel pbc ) era "GodDamnIt_01"
Probabilmente, la gestione nel controllare il mio "status" oltre a vedere la mail, l'ip ha avuto modo di vedere "istant" anche la password. In 12 ore anche volendo il de-crypt non fai in tempo a farlo.

Quindi ecco 90% mi sembra a questo punto una stima, elevata; Data la mia esperienza personale in 3 settimane con un pool di nove land, almeno 2 hanno il db in chiaro; siamo quindi a meno del 80%
Davvero un peccato.


A.

quota

15/08/2016 11:03:45

Criptare la password dovrebbe essere "obbligatorio", per avere la fiducia di un utente, è una delle basi per me :)

Assieme a non usare gli indirizzi email per posta indesiderata

---

quota

15/08/2016 11:43:24

Che sia legale o meno non ne sono certo. Non credo che ci sia una norma esplicita riguardo la crittografia delle password.

è sicuramente una pratica fortemente deprecata, non esistono buone ragioni per non crittografare le password sul database.

Se l'algoritmo scelto è adatto a criptare password non dovrebbe esistere nessuna chiave di decodifica, perchè si tratta di algoritmi di hash, che non sono invertibili.

---

quota

15/08/2016 13:32:57

Non direttamente, no, ma non escluderei che possa portare a conseguenze legali.

Il dl 196/2003 prevede che il titolare del sistema debba disporre di tutti i mezzi di protezione adatti, basati su un adeguata valutazione di rischio, al fine di proteggere eventuali dati personali/sensibili. Se i sistemi risultano inadeguati potrebbe anche essere chiamato legalmente a risponderne con risarcimenti e altro.

Nel campo dei play by chat è difficile, perché sono molto scarse le informazioni raccolte, ciò non toglie che possa sempre verificarsi la casistica in presenza di una precisa serie di fattori.

In ogni caso Gemini è sicuramente più preparato se saltella da queste parti per sbaglio :p


Di non criptare le password? Nessun bisogno o esigenza, è semplicemente da irresponsabili.


Si, lo è.
Dipende dal tipo di crittografia impiegata.

Generalmente per le password se ne usa uno da cui non è possibile risalire al valore originario del dato.
In fase di login si effettua solitamente la criptazione della password fornita dall'utente nel form e si paragona il risultato a quello memorizzato nel database per quell'utente, quindi il bisogno di averla in chiaro non interviene mai lungo il processo.

Comunque anche in questo settore, esistono algoritmi deboli che si possono facilmente "rompere" fino a scoprire la password originaria ed algoritmi più robusti che invece richiedono molto più tempo per essere "bucati".

Generalmente oltre ad un buon algoritmo di criptazione bisognerebbe consigliare all'utente di cambiare spesso la password, come fa gdrcd da un po di tempo a questa parte.

Perché la sicurezza della password dipende anche dall'utente in larga parte. Se uno inserisce come password il valore 123456prova, a dirtene uno, nessun sistema di crittazione per quanto elaborato potrà mai tenerla al sicuro.

---

quota

15/08/2016 15:41:42

Effettivamente non ci avevo mai pensato a questa aggiunta in land.

Vedrò di provvedere a invitare gli utenti di cambiare password di tanto in tanto :-P

---

quota

15/08/2016 17:01:43

questa soluzione la adottammo tempo fa su una land e dopo la prima volta in cui venne chiesto di cambiare la password, ci fu la rivolta popolare: la gente non vuole ricordarsi le cose, spesso lascia l'autofill del browser e doversi ricordare quale sia la password, l'ultima, la penultima, dove magari non puoi immetterne una già usata... e via dicendo.

molto meglio mettere una criptazione più sicura dato che è molto più semplice fregare il contatto skype o l'email, piuttosto di un account su PBC dove non c'è il sistema di recupero password se non l'invio alla mail..

---

quota

15/08/2016 17:24:02

Dipende dall'implementazione. Se ti limiti ad avvisare l'utente in un modo che possono anche decidere di ignorare, non la vedo così grave da giustificare una rivolta popolare. Se vuoi costringere l'utente a cambiare forzatamente password, impedendogli l'accesso altrimenti, capisco il casino che possa essere venuto a crearsi.



Qui mi sento di smentire vivamente ma non l'affermazione in se, quanto le implicazioni: utilizzare l'algoritmo più sicuro di cui si dispone è un ottimo consiglio, ma è solo questione di tempo prima che un malintenzionato possa trovare la sequenza di caratteri giusta che risulti in quell'hash, a prescindere da quanto sia forte l'algoritmo di criptazione. In questo caso, il tempo che serve per trovare la password dipende dal tempo che ci mette l'algoritmo a produrre un risultato, per questo gli algoritmi più sicuri sono in genere quelli che oltre ad offrire un impeccabile logica matematica risultino in un implementazione lenta (vedi il BCrypt su PHP), anche se all'incirca ogni 4 anni, con i salti generazionali in fatto di processori, gli attaccanti hanno sempre maggiore velocità e risorse a disposizione.

In linea generale, consigliare il cambio password una volta ogni sei mesi aiuta di molto a tenere più sicuro il proprio account, certo non esclude a prescindere il rischio, ma usare la stessa password per più di un anno inizia a portarti nel mondo delle incognite. Questo è da tenere a mente come consiglio generale sia per gli utenti (che magari hanno account più sensibili su altri siti web/portali), sia per gli aspiranti gestori/developer.

Nel pbc, avendo gli utenti una corrispondenza privata sul sito non si sa mai quale danno possa procurare a quell'utente il fatto che la sua password venga scoperta. Se dopo esser stato avvisato di cambiare password l'utente sceglie di ignorare il procedimento e si verifica un intrusione non autorizzata saranno stati semplicemente fatti suoi, perché intanto lo sviluppatore sa di aver fatto il possibile per prevenire l'eventualità e per informare l'utente dei rischi.

---

quota

15/08/2016 18:18:28

Bene,
mi fa molto piacere leggere di gente che sa di cosa sta parlando; e che quindi non ho fatto male a notare questo "problema".
Io dato, personalmente, proteggo i miei dati con i miei metodi e di sicuro ho visto più il lato personale del problema, cioè chi ha letto la mia password ha "violato" la mia privacy perché pensavo che almeno quel dato fosse "invisibile" alla gestione; poi chiaro che se non penso solo a me la cosa è più ampia e risulta quindi un problema di sicurezza per tutti.
Ma alla fine, la "tua" libertà finisce dove inizia la mia, quindi degli altri ( parlando da giocatore e non da gestore ) degli altri mi frega poco.
Qual'è il prossimo step? Vendono le mail dei giocatori agli agenti di pubblicità per pagarsi i programmatori?

Ho letto anch'io due righe riguardo alla legalità della cosa, a quanto pare il non vere il db crittografato non è in se un reato; ma allo stesso tempo andare a leggere le password degli utenti può essere vista come violazione della privacy. La solita legge italiano. Grazie per le risposte a tutti, buon proseguimento di vacanze signori!

A.

quota

15/08/2016 18:32:02

Mi spiace dirlo però in casi come questo gli utenti possono fare tutta la rivolta popolare che vogliono ma si attaccano.

Volendo essere fiscali la cosa dovrebbe essere fatta proprio per adempiere alle misure minime di sicurezza:


Tutte le normative che si dovrebbero seguire in termini di sicurezza minima sono ben chiare nell'Allegato B. Disciplinare tecnico in materia di misure minime di sicurezza sul sito del garante
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1557184 ↗ http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1557184

quota