Un'affidabile autenticazione
Pubblicato da Fabio il 29/10/2011
alle 20:38 in "Informatica".
Con autenticazione in ambito software si intende la procedura con la quale si identifica (in maniera possibilmente univoca) un utente per permettergli di accedere ad un software, sistema o servizio. Questo in genere si ottiene, nella maggior parte dei casi, con la classica password segreta che solo l'utente conosce (si spera).
Bene, l'altro giorno mi chiedono un aiuto per accedere al portale web di un ministero della nostra amata Repubblica. Durante il tentativo di login la password non veniva riconosciuta, anche se a detta del proprietario era corretta.
Si passa alla procedura di recupero password e quindi dopo aver inserito nome utente, e-mail, codice fiscale, risposta alla domanda segreta, codice del documento "tiziocaio" sezione "caiosempronio"; il sistema ci informa che ci avrebbe spedito una mail contenente un codice temporaneo con il quale effettuare il cambio password e tornare ad usufruire del servizio.
Diciamolo, sarei rimasto sorpreso dal livello di sicurezza messa in campo da questo portale, se non fosse che dopo alcuni secondi dalla conclusione della procedura di recupero, nella casella di posta compariva un nuovo messaggio, sempre dal portale, contenente (rabbrividisco!!!): tutti i dati dell'utente, risposta alla domanda segreta e la nuova password!
Io ho sempre saputo che le password non devono mai essere memorizzate in chiaro, ma bensì si deve memorizzare solo l'hash, cioè un codice crittografico (una specie di impronta) dal quale è molto difficile risalire alla password originale.
Usando gli hash anche avendo accesso come amministratore al sistema web, nessuno è a conoscenza delle password degli utenti.
Ovviamente se un sistema web invia tramite mail la password dell'utente in chiaro, mi viene da pensare che queste siano contenute tutte insieme in qualche tabella nel database. E' evidente che in questo caso un accesso non autorizzato a questo database sarebbe molto pericoloso.
Ultima nota, anche la posta elettronica dell'utente non è detto sia sicura, quindi inviarci queste informazioni è a mio parere altamente sconveniente.
In fin dei conti chi sono io per insegnare a questi signori a scrivere software sicuro?
Bene, l'altro giorno mi chiedono un aiuto per accedere al portale web di un ministero della nostra amata Repubblica. Durante il tentativo di login la password non veniva riconosciuta, anche se a detta del proprietario era corretta.
Si passa alla procedura di recupero password e quindi dopo aver inserito nome utente, e-mail, codice fiscale, risposta alla domanda segreta, codice del documento "tiziocaio" sezione "caiosempronio"; il sistema ci informa che ci avrebbe spedito una mail contenente un codice temporaneo con il quale effettuare il cambio password e tornare ad usufruire del servizio.
Diciamolo, sarei rimasto sorpreso dal livello di sicurezza messa in campo da questo portale, se non fosse che dopo alcuni secondi dalla conclusione della procedura di recupero, nella casella di posta compariva un nuovo messaggio, sempre dal portale, contenente (rabbrividisco!!!): tutti i dati dell'utente, risposta alla domanda segreta e la nuova password!
Io ho sempre saputo che le password non devono mai essere memorizzate in chiaro, ma bensì si deve memorizzare solo l'hash, cioè un codice crittografico (una specie di impronta) dal quale è molto difficile risalire alla password originale.
Usando gli hash anche avendo accesso come amministratore al sistema web, nessuno è a conoscenza delle password degli utenti.
Ovviamente se un sistema web invia tramite mail la password dell'utente in chiaro, mi viene da pensare che queste siano contenute tutte insieme in qualche tabella nel database. E' evidente che in questo caso un accesso non autorizzato a questo database sarebbe molto pericoloso.
Ultima nota, anche la posta elettronica dell'utente non è detto sia sicura, quindi inviarci queste informazioni è a mio parere altamente sconveniente.
In fin dei conti chi sono io per insegnare a questi signori a scrivere software sicuro?
Lascia un commento.
