La notizia di cui vi voglio parlare oggi riguarda il mondo Android, e mette sul banco degli imputati l’applicazione predefinita di gestione della posta elettrinica che, a quanto pare, salverebbe in chiaro le password per accedere ai vari account.
Sò che molti di voi staranno già pensando al proprio account GMail, per questo ci tengo a precisare che il problema non riguarda l’applicazione GMail che tutti noi utilizziamo per controllare l’omonima posta, bensì quella con cui controlliamo altri account tipo quello aziendale ed altri tipi di posta POP3/SMTP vedi libero, email, yahoo, etc..
Comunque, come al solito Google non resta a guardare. Andy Stadler del dipartimento assistenza di Android, ha dichiarato che, pur non trattandosi di un bug perchè i dati vengono salvati in un database SQLite sul telefono, e quindi sono al sicuro salvo intrusioni esterne (molto difficili), il team è già al lavoro per risolvere quella che per gli utenti potrebbe essere motivo di preoccupazione.
Scusate, ma proviamo ad accendere il cervello.
Se io voglio controllare la posta senza inserire la password ogni volta, come volete che venga salvata la password? In chiaro per forza.
Vale per *qualunque* applicazione di posta. Vale per il client di posta che usa Apple come per Thunderbird o Outlook.
Se vogliamo metterci una master password (come è possibile fare su Thunderbird) ok, allora risolviamo il problema. Però poi non lamentiamoci che “su Android ogni volta che voglio controllare la posta devo inserire una password”.
Ma che vai dicendo, la password la puoi benissimo memorizzare codificata e la decodifichi ogni volta che la devi usare. Essi’ staremmo freschi allora, se tutte le password venissero memorizzate in chiaro.
Giusto e con cosa la codifichi? Con un’altra password?
E dove la memorizzi questa password? Nel telefono. In chiaro? No. Criptata. Ok criptata con cosa? Con un’altra password. E dove la memorizzi quest’altra password?
Accendere il cervello please.
Poi mi dispiace davvero deluderti, ma se usi Thunderbird o Outlook sul tuo PC la password della tua email è salvata in chiaro.
Per dire, anche in Firefox, a meno che ripeto, tu non abbia impostato una master password, le tue password son salvate in chiaro. Non mi credi?
Vai su Preferenze->Sicurezza->Password salvate.
Ma stai scherzando vero?? Secondo te tutto il mondo salva le password in chiaro? Ma sai come funziona la crittografia?
Tu scrivi la password in chiaro, il programma la può codificare con un algoritmo INTEGRATO NEL CODICE STESSO DEL SW, e salvarla.
Se qualcuno accede al tuo pc legge una stringa incomprensibile e non è in grado di usare la tua password. Funziona così in tutti i sistemi con un minimo di serietà.
Ragazzi NERv ha ragione, e se cercate la discussione su slashdot vedrete che tutti sono d’accordo. Il protocollo di posta POP3 richiede la password in chiaro, e anche se la codifico con un algoritmo non ci vuole niente a decodificarla.. basta un minimo di reverse engineering (o neanche quello se il codice e’ open source)
“anche se la codifico con un algoritmo non ci vuole niente a decodificarla.. basta un minimo di reverse engineering”…….. no comment, adesso qui sono diventati tutti capaci di fare il reverse engineering di un algoritmo di criptazione, vi voglio voglio vedere, anzi vi do un paio di chiavi di quelle che genero io per proteggere i miei software e ci sentiamo tra qualche anno. Cosa c’entra poi che alla fine la password al POP3 va passata in chiaro, allora che vuol dire, che non si puo’ proteggere niente perche’ tanto secondo il principio di NERv a monte di tutto dev’esserci sempre una password in chiaro? Cavoli su ANDRIODIANI.COM con 4 commenti si stanno rivoluzionando anni di informatica, matematica, statistica (si’, c’entra anche la statistica), crittografia, cioe’ roba che qualche anno fa ci si poteva vincere anche un paio di guerre, ma dov’eravate fino a ieri o genii del reverse engineering!!!!!
Opensource non significa problemi di sicurezza ..anzi.. il fatto che siano a disposizione di tutti sono una garanzia sia sull’implementazione che sulla sicurezza
Nerv ha ragione in tutto, e dimostra molta piu conoscenza di voi. Trovami un esempio famoso ancora non reversato smb.. :) e passami l’apk di un tuo sw dove richiedi chiavi di attivazione.. :))
nick solo una risposta ti meriti: ma vatt’addurmi’.
Ahah, psicopatico :)
nick solo una risposta ti meriti: ma vatt’addurmi’.
Certo che si può proteggere la password salvata sul dispositivo. Basta criptarla con un’altra password che poi verrà inserita dall’utente ogni volta che ha bisogno di utilizzarla.
Esempio:
– ho 3 account di posta, ognuno con una password diversa.
– configuro i 3 account di posta nel mio client di posta e salvo le rispettive password
– scelgo una password “principale” con la quale criptare le 3 password dei miei account di posta e *non* la salvo sul dispositivo, ovviamente.
Quando attivo il client di posta, mi viene richiesta la password “principale” con la quale il client di posta è in grado di decriptare le 3 password dei miei 3 account di posta e quindi di accedere alle mie email.
Se qualcuno mi ruba il cellulare non è in grado di leggere le 3 password dei miei 3 account di posta perchè non ha la password “principale” per decriptarle.
Questo è l’unico modo per garantire la sicurezza.
L’ovvio vantaggio di avere 1 password “principale” è quello di doversi ricordare un’unica password anzichè N.
> vi voglio voglio vedere, anzi vi do un paio di chiavi di quelle che
genero io per proteggere i
> miei software e ci sentiamo tra qualche anno.
Il paragone non regge. Devi fornire anche il programma che hai usato per generare le chiavi.
Infatti io potrei comprarmi un cellulare uguale al tuo e divertirmi a inserire come password per la mia email la lettera “a”, offuscarla, e leggere il risultato. Poi ripetere l’operazione con password “aa”, offuscarla, leggere il risultato. Poi “b” e così via.
Ovviamente sto semplificando al massimo ma è così che si fa il reverse engineering di un algoritmo di offuscamento. Mandi N input, ottieni N output e poi cerchi di metterli metti in correlazione con tecniche di analisi.
Di fatto bisogna assumere che un malintenzionato che ti rubi il cellulare abbia accesso sia alla password offuscata sia al programma che è stato utilizzato per offuscarla. Questo sempre assumendo che non abbia anche i sorgenti del programma stesso o che non sia in grado di disassemblarlo.
E’ per questo che la security through obscurity non funziona. La controprova (se ce ne fosse bisogno…) è che esistono programmi per recuperare le password nella quasi totalità dei programmi di posta (ho postato il link prima).
:D mi devi dare anche il software o non ci faccio niente.. non e’ un algoritmo di criptazione quello di cui parli, ma di offuscamento. per criptare qualcosa hai bisogno di una chiave e la chiave risiede anch’essa nel dispositivo, rendendo il processo inutile. se invece e’ offuscamento usi questo http://code.google.com/p/android-apktool/ e replichi i passaggi per trasformare la password offuscata in password in chiaro inviata quando ti colleghi al server pop. magari si possono offuscare le classi e i metodi per rendere piu’ difficile il processo.
mmm.. che c’entra la statistica? l’unica cosa che mi viene in mente sono i timing attacks..
Il problema che tra il dire e il fare, c’è chi ci passa sopra un mare di parole e neanche arriva al pof concept! Prima di tutto per fare quello che dicono ci dovrebbe essere necessariamente qualcu o in ascolto per catturare la password, e secondo se la cattura il problema di sicurezza non è sulla password in chiaro ma sull’affidabilità del sistema. Per fare un Man in the middle il target deve comunque essere debole su un lato.
Ok, dato che abbiamo il codice sorgente di Android, io mi leggo l’algoritmo “INTEGRATO NEL CODICE STESSO DEL SW” (per usare le tue parole), faccio il copia&incolla e ottengo un bel programmino per decodificare la password.
Ti torna?
In altre parole: se il client di posta è in grado di decodificare la password criptata, cosa mi impedisce di scrivermi un programma equivalente che decodifichi la password e me la mostri su schermo? Nulla.
Anche ammettendo di non avere il sorgente, è stato ampiamente dimostrato che la security through obscurity non serve a nulla. Un qualsiasi algoritmo che si limiti a offuscare le password può essere facilmente reversato. La bibliografia in merito sul web non manca.
Aggiungo: attenzione io non ho detto che tutto il mondo salva le password in chiaro.
Io ho detto che qualunque client di posta che non abbia una “master password” che viene richiesta al lancio del programma, salva necessariamente le password in chiaro.
Questo è il motivo per cui è importante impostare su Firefox, Thunderbird, ecc. una master password (potete farlo da Preferenze/Sicurezza/Cambia password principale). Quella master password verrà usata per criptare tutte le password che avete memorizzato.
Se non la impostate, mi dispiace per voi, ma le vostre password saranno memorizzate in chiaro.
Ho fatto un esempio semplificato perchè dai tuoi messaggi avevo dedotto che il tuo grado di conoscenza informatica fosse basso, ovviamente non parlavo di security through obscurity come l’hai intesa tu, che era per farti capire che non serviva una password per codificarne un’altra. Io intendevo di usare uno dei noti e strausati algoritimi di crittografia, dove conoscere l’algoritmo e avere accesso al codice non ti da di certo la possibilità di decodificare il tutto.
Il mio discorso in ogni caso si riferiva alle password in generale, non parlavo dei client di posta opensource in particolare. Sembrava quasi tu volessi insinuare che le password non si possano salvare in modo “offuscato”, come di fatto fanno tutti i progettisti seri.
Sì ma vedi, il problema è che tu parli di crittografia e ti dimentichi che per crittografare ci vuole una chiave. E la chiave deve essere segreta. Dove la salvi questa chiave? Se vuoi chiamarla chiave invece che password mi sta bene, ma dimmi dove la salvi.
Non serve nessuna chiave, un algoritmo di per se è autosufficiente, se no non si chiamava algoritmo. In ogni caso è lo stessl programma ad crearsi la chiave del suo database che neanche tu conosci!
Scusa, ma non mi pare così immediato scrivere un algoritmo di decodifica partendo da uno di codifica (ammesso che possa essere possibile). La maggior parte degli algoritmi sono one-way: avendo l’algoritmo e la chiave cifrata non è possibile risalire alla password (classico esempio l’MD5). In realtà il confronto di password non avviene decodificando la password memorizzata, ma codificando quella inserita e confrontandola con quella memorizzata.
Quindi tu vorresti salvare la password del tuo account di posta hashata (con MD5, per esempio) anzichè in chiaro? E poi cosa ci fai? Come fa il client di posta a autenticarsi sul server di posta? :D
Ti sei un po’ perso :)
Mi dispiace ma su chrome o firefox o ie… Sono in chiaro…
Eheh per questo google ha inserito il login in 2 passaggi…
su chrome, non sono in chiaro, sono criptate… e sono anche “irrecuperabili”, se non dallo stesso identico profilo… la password viene crittografata e collegata ad un eventuale utente o profilo…
http://www.nirsoft.net/utils/chromepass.html e questo programma quindi è pura magia? :) Non sono criptate ma offuscate al massimo.
grande mo vado a vedere le paswor d sui pc dei miei amici xD
si, puoi tranquillamente, in 20 secondi xDDD Se la salvano…
Altrimenti sniffi il traffico se sei sulla stessa rete e lui non si autentica con https
Poi mi dispiace davvero deluderti, ma se usi Thunderbird o Outlook sul tuo PC la password della tua email è salvata in chiaro.
Per dire, anche in Firefox, a meno che ripeto, tu non abbia impostato una master password, le tue password son salvate in chiaro. Non mi credi?
Vai su Preferenze->Sicurezza->Password salvate.
Nerv, che ne dici di accenderlo tu il cervello? O almeno di non usare certi termini denigratori che poi ti si rivoltano contro, come in questo caso? Se non sai come funzionano le cose, perche’ non te ne stai calmino al tuo posto o ammetti la tua ignoranza senza dire “accendere il cervello”?
“Giusto e con cosa la codifichi? Con un altra password?” No caro il mio ignorante saccente, la codifichi con un algoritmo che conosce solo l’autore del software, come succede da anni e anni nel mondo dell’informatica con altri software che non scrivono in chiaro la password da nessuna parte per memorizzarla. Vuoi un disegnino, vero? Eccolo: io posso inventarmi un algoritmo tale che prendo la password, la traduco in numeri con la tabella ascii, magari con i codici al contrario cosi’ gia’ e’ piu’ complicato capirlo, poi prendo la cifra risultante, inverto le singole cifre dalla prima all’ultima, divido il numerone risultante in gruppi da 2 cifre, per ogni 2 cifre sostituisco il numero nekl corrispondente codice ascii (magari questa volta quella ufficiale, non inversa) ed ecco qua che ho memorizzato la tua password in maniera non chiara, cosi’ che la tua password “CERVELLO” viene memorizzata come “D!4D°§P;”L’hai acceso il cervello ora?
Peccato che se poi codesto software è open source l’algoritmo è noto a tutti.
A parte che e’ il sistema operativo ad essere open source, non dev’esserlo necessariamente l’applicazione che legge la posta, e poi anche linux mi pare open source: ti risulta che abbia problemi di sicurezza perche’ i suoi algoritmi di protezione sono noti a tutti?
Ma cosa stai dicendo?
Comunque è opensource anche l’applicazione Email, ecco a te il codice: http://bit.ly/pZLTgp
Gli algoritmi opensource sono gli unici veramente sicuri in quanto sono a disposizione di tutti.. l’algoritmo a chiavi pubbliche e private ad esempio sono impenetrabili. Quelli proprietari l’unica sicurezza che hanno è che non rivelano l’implementazione ma di solito nascondano bruttissime vulnerabilità
Lo so benissimo.
La mia era solo una risposta a Smb che affermava che le password andrebbero criptate (che poi non è crittografia quella) con un algoritmo proprietario.
Mi scuso se ti sei sentito offeso.
Comunque quella che proponi tu è security through obscurity ed è stato dimostrato che non funziona per i software closed source. Basta che guardi quanti programmi ci sono per decodificare le password salvate in Outlook, Messenger, ecc: http://www.nirsoft.net/password_recovery_tools.html
Nel caso del software opensource poi, applicare la security through obscurity sarebbe ridicolo :)
le password da qll che ho capito in android vengono criptate….
le password da qll che ho capito in android vengono criptate….
più che altro c’è da stare attenti ad eventuali usi non simpatici delle applicazioni che si installano sul telefono. tante persone (a volte anch’io) non danno importanza ai permessi richiesti all’installazione.
Comunque è incredibile come, per tutte le compagnie, la sicurezza loro e quella offerta ai loro clienti sia sempre, a parole, la cosa più importante e poi, dov’è che cascano (quasi) sempre?
E, spesso, con banalità come questa.
Mah!
In ogni caso penso proprio che a breve avremo un bell’aggiornamento…
In ogni caso, se dovessi perdere il cellulare, dovrei cambiare tutte le password di qualsiasi cosa… perché sono tutte memorizzate e, per quanto non abbia segreti di stato da proteggere, non gradirei che il nuovo possessore del mio telefono, abbia accesso alla mia posta elettronica/agenda… il problema cmq non è cambiarle, ma ricordarsi tutte quelle memorizzate!
Questa si chiama “pessima informazione” visto che i lettori meno esperti probabilmente non conosco i meccanismi di sicurezza che implementa Android per i quali le applicazioni non possono assolutamente leggere dati appartenenti ad altre applicazioni. Quindi direi che non c’è nulla di cui preoccuparsi.
Se poi uno perde il cellulare quello è un altro discorso ma sono certo che chi lo trova di certo non è interessato a pregargli la password memorizzata.
nessuno che si chiede “DOVE” sono salvate in chiaro e come si fa ad accedervi al file contenente le pass in chiaro
tutti a dire che sono insicure perchè salvate in chiaro
lol una vera genialata
Hai ragione, però questo trasferisce l’anello più debole della catena sulla sicurezza di Android stesso e l’esperienza ci ha insegnato che molti cellulari/versioni di Android sono rootabili.
Ovviamente non è una cosa banale, ma è comunque da non sottovalutare.
è vero con un dispositivo rootato posso accedere al database sql dove sono salvate le password, in tal caso devo controllare a mano file per file per trovare quello giusto generato con un nome casuale, come si nota il problema della password in chiaro è un finto problema, l’architettura stessa del sistema è creata in modo che le password in chiaro siano tali per una serie di comodità, questo non inficia la sicurezza reale del sistema a meno che il dispositivo non venga fisicamente rubato, se si volesse aumentare ancora il grado di sicurezza basterebbe flaggare “obscured” il file delle password per criptarlo con aes ma in tal caso alcuni servizi dovrebbero essere riscritti, è una informazione falsata questa delle password in chiaro perchè fa credere agli itenti che ne inficia la sicurezza
[…] Leggi dall’originale: Android : le password delle email sono salvate in chiaro – Androidiani […]
Si tratta di una notizia assolutamente sciocca. Per un semplice motivo: non esiste un modo per mantenere delle password che devono essere fornite ad un server esterno in maniera sicura. Se al server dobbiamo fornire la password se vogliamo che il programma la ricordi questa DEVE essere salvata in chiaro. Punto. Non e’ un problema risolvibile. In nessuna maniera. Questo non significa che sia un sistema sicuro, sarebbe più sicuro non far ricordare la password al programma ed inserirla ogni volta ma certo non sarebbe comodo specie per un programma di posta che sincronizza la posta ogni 10 minuti.
L’unica possibile mitigazione sarebbe criptare la password con una master password. Che però dovremo digitare ad ogni avvio
a quanto ho letto dai commenti si può risalire alle password salvate sul proprio cellulare. qualcuno conosce qualche programma che serve a mostrare le password che ho salvato sul cellulare? devo recuperare la password dell’account gmail ma nn riesco a risolvere le questione resettando la password. grazie anticipatamente.