Dopo una consistente pausa, torno a pubblicare un post sul mio blog, proprio poco prima delle festività Natalizie, giusto a significare che sono ancora qua anche se prevedo un’altra pausa proprio per le prossime festività.
Torno e scelgo di trattare l’argomento degli account Yahoo violati perché, dato il numero, oltre un miliardo, siamo di fronte ad uno dei “data breach” piú grandi mai attuati.
A quanto é dato sapere, il furto si riferisce al 2013 anche se ne abbiamo notizia solo ora.
Yahoo, nei suoi tanti anni di attività, ha stretto accordi commerciali con molti partners e quindi non stupitevi se doveste scoprire che anche il vostro account risulta compromesso.
Ad esempio, il gigante British Telecom, usa Yahoo per gli account dei suoi clienti. Cosí come AT&T, Verizon (prima di AOL), Rogers.net in Canada, etc.. Insomma, si può essere un account Yahoo, anche senza il suffisso yahoo.qualcosa nel proprio account email.
Ma molti si chiedono: “ma a cosa serve rubare gli account email e che cosa ci guadagnano?”.
La risposta alla prima domanda é semplice: spam e ancora spam. Ah, dimenticavo, spam!
Usano il tuo indirizzo per veicolare a te ed ai tuoi contatti campagne pubblicitarie, malware, rootkit, etc.. Oppure utilizzano il tuo account di posta per rigenerare password di altri servizi cui é stato fornito quell’indirizzo per un eventuale recupero.
Alla seconda domanda, é un po’ piú complicato rispondere. Voci parlano di una vendita degli account Yahoo rubati per $ 300.000. Che dite? Non male, se vero?
Perché tanti soldi? Il problema dell’ultimo attacco e che sono stati violati anche i cookie di Yahoo al fine di tracciare le attività degli utenti e ottenere dati che normalmente sarebbero dovuti rimanere riservati. Dati che sul mercato valgono e come.
Il problema di Yahoo é legato all’utilizzo, fino al 2013, dell’hash MD5 come sottosistema di storaggio delle password. Un sistema che ancora troppe compagnie usano ma che, con le capacità di calcolo attuali, risulta troppo penetrabile. Ci sono liste di hashing MD5 liberamente accessibili in rete, le cosiddette “rainbow tables”, che sono pronte all’uso per attacchi “brute force” e aiutano tantissimo i malintenzionati a violare password codificate con l’hash MD5 comparando quanto presente in quelle stesse tabelle con l’hash MD5 della vostra password email. Ad esempio, se nel vostro hash MD5 é presente la stringa “cc3a0280e4fc1415930899896574e118” non vi meravigliate nello scoprire quanto sia facile capire che la vostra sicurissima password é “password”.
Yahoo stessa, a partire dal 2013, ha adottato Bcrypt per la sicurezza dei suoi account ma fino ad allora, direi colpevolmente, ha insistito nell’utilizzo dell’hash MD5. Ed é per questo che sono sempre stato alla larga da Yahoo in favore di Google invece che, soprattutto con il fattore di autenticazione doppio, mi ha sempre ispirato piú fiducia ed é comunque una compagnia che continua ad investire e lavorare molto per garantire la sicurezza ai propri clienti anche se neanch’essa é del tutto immune da problemi di sicurezza.
In conclusione, al passato non si può rimediare, ma in futuro, quando penserete ai vostri dati e a chi affidarli, credo che spendere un po’ di tempo in piú a capire cosa realmente si stia facendo possa evitarci problemi del genere.
Have fun. …always! ….e buon Natale.
=====StranoStrano Blog!===== 
Devi effettuare l'accesso per postare un commento.