On Sun, 2008-05-04 at 15:19 +0200, marco misitano wrote: > >> Per la serie "solo la matematica può accompagnarvi verso la verità", > >> segnalo un bel post che discute, senza paroloni, dei reali vantaggi > >> che un meccanismo di cambio dinamico delle password può apportare: > > > > Si', diciamo che l'autore si e' dimenticato di dettagliuzzi tipo: > > - neutralizzazione del shoulder surfing > > - evitare la comparsa degli orribili post-it con le password > > - evitare la condivisione di password tra persone diverse > > - ridurre la finestra di uso delle credenziali durante un attacco di > > phishing > > > > Cosine cosi', insomma. La matematica e' un'ottima compagna, ma bisogna > > anche avere un attimo di prospettiva... > > > Prospettiva tridimensionale direi: Tecnologia, Procedure, Persone. > Come dire, la tecnologia (password) e' un aspetto, ma da sola non fa > tutto. C'è' il fattore procedurale, che se osservato da un punto di > vista matematico può offrire spunti nuovi. E poi c'è' la componente > umana, sempre e bellamente ultima in fila. Possiamo anche usare OTP, se > la prima cosa che faccio e' leggere ad alta voce l'OTP hai voglia a > quanto ho neutralizzato la tecnologia.
Se e' OTP, puoi leggerla ad alta voce quanto vuoi. Il concetto di OTP e' proprio che il segreto e' "throw-away", ovvero una volta usato non e' piu' valido. (Certo gli OTP token, al contrario delle liste usa e getta, hanno una finestra di pochi secondi per cui se hai uno di fianco che sia li pronto a utilizzare la tua credenziale nel momento esatto in cui la reciti ...) La realta' e' che le password sono una rogna per cui meno le si usa, meglio e'. L'ideale sarebbe una smartcard/OTP token con keypad+biometria integrato che puo' sbloccare un certificato o rilasciare un OTP a seconda delle esigenze. In questo modo si semplificherebbe notevolmente qualunque procedura di cambio password, eliminandola. L'unico modo per ottenere le credenziali di accesso sarebbe entrare in possesso della smartcard, e dell'utente. La smartcard e' una cosa che hai. Il pin e' una cosa che sai (e che solo il keypad integrato intercetta). La biometria e' una "cosa che sei" e servirebbe per evitare che l'utente ceda volontariamente (colleghi o altro) il tesserino. Soprattutto se la smartcard e' un tesserino che porti al collo, ovvero combini identificazione fisica (foto e nome e rfid/banda magnetica per l'accesso a porte fisiche) con identificazione per l'accesso alle risorse informatiche.
________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
