Discussione con il mio CEO in merito a Sicurezza Icloud e annessa password

[Ercos]

è già stata detta chiami il supporto clienti e ti fai dare la password direttamente da loro?

[Axet]

ragazzuoli,
oggi parlando con il CEO della mia azienda gli consigliavo di non utilizzare icloud per tutto perchè avendo lui informazioni molto riservate tra contatti, posta, note, etc. imho non era il massimo della sicurezza mi ha detto che secondo lui era tutto inviolabilissimo.

io ipotizzo che, così come è molto facile fare un bruteforce sulle password di facebook, sia possibile farlo anche con icloud, conoscendo l'email della persona.

cosa ne pensate?
mi ha sfidato a carpire la password del suo account itunes.

need hints.

Bruteforce è totalmente inutile se la password non è banale.
Quindi o ha una password del cazzo, oppure a meno di colpi di culo esagerati (tipo che fai prima a vincere un paio di volte al superenalotto) non la beccherai mai.

[Ercos]

bhe ancora qualche anno e ci sarà abbastanza forza bruta per scardinare anche password abbastanza lunghe.
Ormai quelle da 8 caratteri sono cadute...

Ovviamente tutto questo sarà possibile con algoritmi abbastanza banali che si spera in futuro non si useranno più.

[Axet]

bhe ancora qualche anno e ci sarà abbastanza forza bruta per scardinare anche password abbastanza lunghe.
Ormai quelle da 8 caratteri sono cadute...

Ovviamente tutto questo sarà possibile con algoritmi abbastanza banali che si spera in futuro non si useranno più.

Parlo di RSA & co, non di cagate random. Puoi anche avere un supercomputer, ti ci vorrebbero in ogni caso migliaia di anni per trovare la password.

edit:
anche perchè attento, su un sistema implementato come si deve non è che puoi provare infinite combinazioni sperando di beccare quella giusta. Di solito hai X tentativi, dopodichè và in blocco.
Ciò rende virtualmente impossibile qualsiasi attacco, almeno su questo versante.

[Pic STK]

nei datacenter ci sono blocchi di almeno 10 minuti (e dopo tot sono permanenti) dopo 10 tentativi sbagliati... in sostanza o usi password nome123 oppure è alquanto improbabile "sgamare" una passowrd in questi ambiti.

[Mez]

quoto ercos, chiama il supporto se sei bravo a parlare, ci metti 3 nanosecondi

[Ercos]

bhe di solito si dumpano i db, e cmq anche rsa è stata bucata tant'è che tutte le banche si stavano cominciando a cacare sotto.

[Gramas]

Non sono dati sensibili ma semplicemente accesso a griglie su ordini presso i fornitori o accesso ai prezzi dei prodotti...il post it é sotto la tastiera e la pw non e nome azienda1234 ma pochissimo ci manca

[Hador]

bhe ancora qualche anno e ci sarà abbastanza forza bruta per scardinare anche password abbastanza lunghe.
Ormai quelle da 8 caratteri sono cadute...

Ovviamente tutto questo sarà possibile con algoritmi abbastanza banali che si spera in futuro non si useranno più.

ma perchè dite ste cose, ma spiegatemelo, perchèèèè. E leggetevi non dico un libro, ma una pagina di wiki sulla crittografia.

Detto ciò i servizi cloud sono meno sicuri in quanto moltiplichi la possibilità di perdere un device con l'accesso salvato sopra, non per altro. Oltre al fatto che fino a poco tempo fa era ridicolo farsi resettare la pass al telefono: http://www.ilpost.it/2012/08/22/hona...e-dati-online/

[Axet]

bhe di solito si dumpano i db, e cmq anche rsa è stata bucata tant'è che tutte le banche si stavano cominciando a cacare sotto.

Fonte?
Per bucare RSA vuol dire che esiste una macchina di turing deterministica in grado di trovare la chiave in tempo polinomiale. Tradotto in termini profani, un algoritmo (che non gira su computer quantistici ) in grado di trovare la chiave corretta in un tempo umano rispetto alla dimensione dell'input.
Ma questo è, per quanto ne sappiamo ad oggi, impossibile. Perchè per bucare RSA devi essere in grado di calcolare il logaritmo discreto, e non si può fare visto che ci sono infinite (letteralmente infinite) possibilità. L'unico modo è conoscere il modulo, ma come dire, è come svaligiare fort knox senza guardie senza allarmi e con tutte le porte aperte.

In altri termini trovare un algoritmo polinomiale in grado di bucare RSA vorrebbe praticamente dire che P = NP. Cioè verrebbe risolto uno dei dilemmi massimi dell'informatica, un problema che non è stato risolto da 50 anni a sta parte.

Poi ci sono tanti modi per bucare RSA in determinate, particolari condizioni dove l'implementazione è stata fatta alla cazzo di cane. Ma se il sistema crittografico è implementato correttamente non è attaccabile.

Ergo son molto curioso di vedere sto articolo, perchè se fosse vero sarebbe, come detto, una svolta epocale per l'informatica (e per il mondo).

[Ercos]

http://lmgtfy.com/?q=rsa+bucato

[Axet]

http://lmgtfy.com/?q=rsa+bucato

Mi spieghi come cazzo fai a fare un reply supponente come questo, peraltro che riporta solo merdate, dopo che ti è stato spiegato per filo e per segno come funziona?
Riesci a capire che bucare RSA e vedere trafugate delle informazioni riguardo al securID siano due cose che non c'azzeccano davvero un cazzo?

[Hador]

http://lmgtfy.com/?q=rsa+bucato

ma li hai letti i link? Hanno violato parzialmente alcuni chip FISICI sui quali era salvata la chiave privata. Nel senso, sse nel tuo device la chiave di RSA è salvata a livello hardware nel chip che piace a loro, questi smontandoti il device potrebbero recuperare parte della chiave privata.
Meno film e più matematica ragazzi, il "tutto è crackabile" "non esiste la cifratura perfettah" è una cazzata che più volte vi abbiamo cercato di far capire. E dove non arriva la matematica, arriva l'ingegneria. Come ha detto anche axet un algoritmo meno sicuro unito ad un meccanismo di tentativi massimi/ad un IPS/ad un meccanismo di cambio chiavi dopo un tot tempo risolve il problema.

[Ercos]

Non volevo farvi scaldare