[Soci SLIP] sicurezza secondo microsoft

gvsnet a gvsnet.it gvsnet a gvsnet.it
Dom 3 Maggio 2009 13:50:47 CEST


Quoting Lucio Crusca <lucio a sulweb.org>:

> On domenica 3 maggio 2009 11:53:11 gvsnet a gvsnet.it wrote:
>> il livello di sicurezza che vorrei raggiungere e di livello medio
>> basso,utile a utenti tipo:Avvocati,dottori,giudici,ecc.
>> dove si soddisfano questi requisiti:
>> 1)se mi rubano il portatile non sono in grado di decodificare i dati.
>> 2)se mi rubano i dati non sono in grado di decifrarli.
>> 3)se sottragono un supporto dati non sono in grado di decifrarli.
>
> L'autenticazione di un utente, dal punto di vista teorico, quindi   
> indipendente
> da Linux/Windows/Vattelappesca, può essere composta da:
> 1. qualcosa che l'utente autentico È (autenticazione biometrica)
questa e accettabile a quale condizione?
Dove si trova il dato che autorizza il buon esito del autenticazione?

> 2. qualcosa che l'utente autentico HA (badge/smartcard)
questo è sicuramente più corretto.
Dove si trova il dato che autorizza il buon esito del autenticazione?

> 3. qualcosa che l'utente autentico SA (password)
poco affidabile il dato che autorizza il buon esito si trova sul supporto.
> 4. una qualsiasi combinazione dei 3 precedenti metodi
manca una procedura.
>
> Fonte: Wikipedia
> http://it.wikipedia.org/wiki/Autenticazione#Metodologie_di_autenticazione
>
> Ovviamente scegliere di basare l'autenticazione solo su uno dei   
> prime tre sarà
> sempre una scelta con i suoi problemi di sicurezza, indipendentemente dal
> sistema che usi (Windows/Linux/Altri). Nota che, sempre dal punto di vista
> teorico, l'autenticazione non è mai basata sulla difficoltà tecnica   
> di bypassare
> uno dei precedenti metodi, ovvero non esiste fra i metodi di   
> autenticazione la
> verifica delle capacità di amministrare/crackare il sistema. Quindi qualsiasi
> malintenzionato che disponga degli strumenti giusti riuscirà a superare
> quantomeno ogni difficoltà tecnica. Conseguenza, le difficoltà   
> tecniche NON sono
> un metodo per aumentare la sicurezza del sistema. In questo senso la gestione
> delle password di Linux non è meno sicura di quella di Windows, è solo più
> comoda in caso di disaster recovery come diceva Davide.

questa e una considerazione priva di fondamento logico.
la gestione delle password di linux basate su file testo sono  
decisamente meno sicure.

>
>> 4)l'utilizzo di queste tecnologie non devono essere complesse e non
>> devono costringere l'utente a memorizazioni di password complesse.
>> solo quella di login.
>
> Dato che vuoi mettere in sicurezza i dati senza chiedere all'utente di
> ricordarsi una password complessa (quindi senza chiedergli di SAPERE
> qualcosa), per quanto detto sopra, sei costretto a chiedergli di   
> dimostrare di
> ESSERE qualcuno (autenticazione biometrica) e/o di AVERE qualcosa   
> (smartcard o
> token OTP tipo quello che ti dà la banca). Quanto alla difficoltà di  
>  utilizzo,
> direi che non è poi molto difficile usare un lettore d'impronte e digitare un
> numero che appare sul token, voglio dire ci riesce anche mia zia,   
> con tutto il
> rispetto per una vecchia signora che non ha mai studiato informatica ma ha
> tanti altri pregi.

dove si trova il dato che autentica l'utilizzo di questo apparato?
in caso di un logon?
----------------------------------------
cominciamo con una cosa più semplice
che relazione c'è tra il dato immesso durante il logon(Linux)
e il dato che ho nel file delle password?
--------------------------------------------
che relazione c'è tra il dato immesso durante il logon(Windows)
e il dato che ho nel file delle password?
-----------------------------------------
se inserisco il mio dato biometrico usando fingerprint questo dato con  
cosa e confrontato?
Con un dato presente al interno del sistema?
se si:Questo dato come è protetto al interno del sistema?
è liberamente accessibile quindi io posso recuperare il dato che  
dovrebbe assicurare che sono io a fare logon?
----------------------------------------
mi sembra la filstrocca di chi protegge chi deve proteggere il protettore?
----------------------------------------









Maggiori informazioni sulla lista Soci