Discussione: 3.5.3 Hacked

Ha tutta l'aria che qualcuno ha tentato di fare un attacco DOSD di SQL injection, con lo scopo di ottenere username e password dall'amministratore, e fare un po' di phishing. Recentemente, certi team di hacker, solitamente situati nella Cina, si sono messi ad attaccare i siti vBulletin e soprattutto phpBB, per ottenere l'accesso totale al sito ed installare il software corrispondente per recuperare dati sensibili dagli utenti, in particolare gli account della carta di credito. Siccome è pratica usare la stessa password ovunque, per loro è sufficiente ottenere da una parte le password, ed applicarle da altre parti è semplice.

Consiglio pertanto di usare delle password diverse per l'amministrazione del sito, FTP, e il forum, e in genere, tenere le password in un database o programmino, da dove si fa il copia-incolla, per evitare anche l'eventuale key-logging.

Inoltre consiglio di inventarsi un sistema di frasi, che permettono di riutilizzare le password senza doversi inventare ogni volta una nuova e complicatissima.

Bisogna rendersi conto però, che alcuni sistemi non consentono l'uso di caratteri speciali, soprattutto il punto (.). In particolare, MySQL 4.x non supporta il punto nei nomi utente e nelle password, non so se la cosa è stata migliorata nelle versioni 5.x.

Inoltre, alcuni sistemi FTP sono limitati nella dimensione, e possono accettare password fino ai 8 caratteri in lunghezza, per cui la scelta diventa molto meno ampia.

Gli attacchi alle password cercano di escludere le combinazioni insolite, per cui le password generate a caso sono le migliori, ma nello stesso tempo sono anche più scomode per gli amministratori.

Se io dovessi scoprire una password, cercherei per primo di usare un dizionario con delle parole comuni, a secondo la lingua dell'utente, ed a secondo il livello di sicurezza che mi aspetterei. Comunque, mi ricordo di una password di un'istituzione italiana di sicurezza bancaria, che usava una sequenza di caratteri tutti uguali per tutti gli utenti (diverse decine di migliaia), visibile in chiaro su un file ini. Più semplice di così ... ma forse è anche qui il trucco. Perché la più complicata password che esiste è quella che non c'è

a ecco... adesso comunque preparo l'update alla 3.6.0 dove penso di essere più al sicuro