Aldolat.it — Post con tag OTP

Dropbox e l'autenticazione multifattoriale

aldolat@gmail.com (Aldo Latino) — Sun, 26 Aug 2012 09:46:54 +0000

Come già presente per Google e LastPass, anche Dropbox ha attivato l’autenticazione multifattoriale, anche se per ora in via sperimentale ma accessibile a chiunque voglia implementarla. Si tratta in sostanza di inserire — oltre la password — anche un’ulteriore piccola serie numerica di sei cifre, generata da un’applicazione installata sullo smartphone o inviata da Dropbox stessa al proprio telefonino tramite SMS. Io, ovviamente, ho attivato il servizio e vi dico che funziona, comprese le applicazioni del mio PlayBook che usano Dropbox.

Per attivarlo va installata la versione sperimentale di Dropbox (la 1.5.12, al momento) che trovate nel forum e quindi seguire le brevi istruzioni contenute nel post: niente di complicato. Una volta attivato il servizio, per entrare nel vostro account Dropbox tramite il browser o tramite l’applicazione ufficiale (quella che risiede nel vostro vassoio di sistema) dovrete inserire due password: quella solita + quella aggiuntiva (detta anche “Security code”). La password aggiuntiva, come già detto, può essere inviata via SMS oppure generata da voi stessi tramite l’applicazione Google Authenticator, disponibile per tutte le piattaforme di smartphone.

Per far funzionare le app di smartphone e tablet, come il PlayBook che uso, dovrete inserire invece una password specifica. La password specifica non viene generata da voi (come avviene su Google) ma viene richiesta in modo automatico quando l’app chiede di autenticarsi. Siccome la password solita non viene più riconosciuta, Dropbox invia un’email con un invito a visitare un link per avere la password specifica per quell’applicazione. In altre parole, per ogni software che intenda collegarsi all’account Dropbox vi genera automaticamente una password specifica per quell’applicazione.

Avevo letto da qualche parte che il sistema username+password non è più sufficiente al giorno d’oggi…

L'articolo Dropbox e l'autenticazione multifattoriale è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Google Authenticator per WordPress

aldolat@gmail.com (Aldo Latino) — Thu, 24 May 2012 20:47:03 +0000

Non starò qui a ripetere quanto ho già scritto sull’autenticazione multifattoriale come metodo abbastanza sicuro per accedere a un sistema informatico: ne ho già parlato sia in Password OTP (usa e getta) per WordPress che in Autenticazione multifattoriale con Perfect Paper Passwords.

Segnalo, invece, un plugin per WordPress ancora più comodo da usare: Google Authenticator. È stato creato dal buon Henrik Schack (autore di Perfect Paper Passwords) e vi consiglio di provarlo.

Google Authenticator (intendo il progetto di bigG) è un’applicazione per dispositivi mobili che genera costantemente codici numerici da usare come secondo mezzo di verifica durante l’autenticazione su un sistema. L’applicazione di Google è disponibile per dispositivi BlackBerry, Android e iOS. Se lo usate per accedere al vostro account su Google, sapete bene di cosa si tratta. Ecco, il plugin di Henrik porta questo meccanismo all’interno di WordPress:

Il plugin, dopo l’attivazione, richiede che ciascun utente attivi la funzionalità dal proprio profilo. Una volta attivata, vi sarà dato il codice da inserire nello smartphone.

Se accedete alla vostra installazione usando l’applicazione di WordPress per tablet, sarà necessario attivare l’opzione del plugin Enable App password: usate quindi questa password nell’applicazione del tablet.

L'articolo Google Authenticator per WordPress è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Autenticazione multifattoriale con Perfect Paper Passwords

aldolat@gmail.com (Aldo Latino) — Fri, 27 May 2011 17:40:11 +0000

Qualche mese fa ho scritto un post sul plugin One-Time Password che ha lo scopo di rendere più sicura l’autenticazione nella propria area amministrativa di WordPress mediante l’uso dell’omonima tecnica detta One-Time Password. In breve, con questo sistema possiamo autenticarci alla Bacheca di WordPress usando una password usa-e-getta che può sostituire la password di WordPress (ottimo in caso di utilizzo in un Internet Cafè) o aggiungersi ad essa.

Oltre a questo plugin, ne esiste un altro che fa qualcosa di molto simile: Perfect Paper Passwords. Con esso avrete a disposizione una password usa-e-getta che si aggiunge (e non si sostituisce) a quella di WordPress.

Autenticazione forte

Sappiamo che per autenticarsi a un sistema informatico con ragionevole sicurezza è buona cosa utilizzare un’autenticazione a due fattori:

qualcosa che si sa (username e password)
qualcosa che si ha (un oggetto, che può essere un token, una smartcard, una chiavetta USB, la SIM del telefono, la biometria o anche un semplice taccuino con password usa-e-getta).

Questo è anche il sistema usato da molte banche per i loro servizi online. In questo modo, anche se un malintenzionato dovesse entrare in possesso delle vostre credenziali, non potrebbe accedere al sistema perché non ha il secondo fattore di autenticazione, il quale appunto cambia continuamente.

Questo plugin vi dà la possibilità di implementare in WordPress il sistema OTP in modo facile e gratuito.

Uso del plugin

Una volta attivato e impostato correttamente il plugin, ecco anzitutto come si presenterà la vostra area di login:

Dopo averlo installato e attivato, troverete le sue impostazioni nella pagina del vostro profilo. La scelta di posizionarlo lì è dettata dal fatto che il plugin permette, a ciascun utente registrato del vostro blog, un’autenticazione personalizzata tramite OTP. Ciascuno, quindi, potrà scegliere se attivare per il proprio profilo questo tipo di autenticazione o meno. La schermata della parte di questa pagina che ci interessa è la seguente (fare clic per ingrandire l’immagine):

Attivate il checkbox, scegliete la lunghezza della OTP,¹ inserite una frase (non limitatevi a una semplice password) che dovete conoscere solo voi e fate clic sul pulsante Aggiorna profilo che sta a fondo pagina. La sezione della pagina si presenterà più o meno così (fare clic per ingrandire l’immagine):

Troverete una sequenza di lettere e numeri nel campo Chiave di sequenza (Sequence Key): copiatela e andate su https://www.grc.com/ppp.htm per completare i passaggi. Da questa pagina di GRC otterremo un One-Time Pad, cioè un foglio con alcune mini password.

Inserite anzitutto in questo box la chiave di sequenza copiata poco fa:

Scegliete la lunghezza della OTP:

e lasciate tutto il resto come si trova. Cambiate, se lo volete, il nome che verrà stampato in cima al taccuino:

In fondo alla pagina premete il pulsante finale:

Vi apparirà la pagina finale con il vostro taccuino di password usa-e-getta:

Stampatelo, ritagliatelo tenendo assieme i tre blocchi e piegatelo: vi verrà in un formato carta di credito. Conservatelo con cura. Potete anche stamparlo in PDF e conservarlo in un luogo sicuro, se volete usare il copia e incolla.

Mettete ora alla prova il plugin, uscendo dalla bacheca. Quando vi autenticherete troverete la schermata che vi ho già presentato:

Come vedete, oltre alle solite credenziali, il sistema vi chiederà la one-time password. La scritta

Codice: C2 Card: 1

vi indica quale OTP inserire fra quelle che avete voi. In questo caso sta chiedendo la C2 del foglio 1, visto che le precedenti le avevamo già usate:

Se qualcosa va storto

Come per qualunque plugin, se non riuscite ad autenticarvi, accedete via FTP al vostro dominio e rinominate la directory del plugin.

Quale plugin utilizzare

È più una scelta personale, tenendo conto anche delle proprie esigenze. Il plugin One-Time Password si presenta con funzioni più ampie (potete, ad esempio, far sì che venga immessa una OTP per compiere determinate azioni amministrative) e non necessita di siti esterni per funzionare; inoltre è ancora più sicuro dell’altro in ambienti di cui non ci si fida (il famoso Internet Cafè), perché potete disabilitare la password di WordPress. Il plugin che abbiamo visto, invece, è più semplice nelle sue opzioni, senza che questo pregiudichi la sua sicurezza; solo che il primo ha indubbiamente qualche punto a suo vantaggio se si hanno determinate esigenze.

Per approfondire

L’autore del plugin è Henrik Schack, danese, e nel suo blog trovate la pagina dove lo presenta.

Per quanto riguarda Perfect Paper Passwords, Steve Gibson spiega i dettagli nelle pagine dedicate. In fondo a essa ci sono ulteriori link.

Photo credits: Jessica Paterson, Padlocks, CC by, 2012.

Sappiate che già con 4 caratteri avrete a disposizione 16.777.216 combinazioni possibili, più che sufficienti per garantirvi un’adeguata sicurezza. I token delle banche posso fornire al massimo 1.000.000 di combinazioni (6 cifre da 000 000 a 999 999). ↩︎

L'articolo Autenticazione multifattoriale con Perfect Paper Passwords è uno scritto di aldolat.it. Rispettane le condizioni di licenza.

Password OTP (usa e getta) per WordPress

aldolat@gmail.com (Aldo Latino) — Wed, 29 Dec 2010 05:00:08 +0000

Se vi è mai capitato di voler accedere al vostro blog mentre vi trovavate in un ambiente non sicuro e non lo avete fatto perché giustamente non vi fidavate, sappiate che potete far uso del metodo della One Time Password (OTP), oggi disponibile anche per WordPress. Probabilmente conoscerete già questo sistema perché molte banche lo fanno usare ai loro clienti (mi riferisco a quelle specie di chiavette che generano numeri). In breve, si tratta di accedere a un ambiente amministrativo (nel nostro caso alla Bacheca di WordPress) usando non l’unica password che abbiamo precedentemente scelto noi, ma una password che può essere usata una sola volta, quindi una password “usa e getta”. La volta successiva che ci vogliamo autenticare alla Bacheca inseriremo un’altra password, diversa dalla precedente.

È evidente la scomodità di dover sempre digitare una password diversa e non memorizzabile, ma è un piccolo prezzo da pagare se si vuole accedere senza paura in ambienti non sicuri al pannello amministrativo di WordPress. Se il keylogger del PC condiviso che stiamo usando nell’Internet Café ha memorizzato la One Time Password, possiamo stare sicuri che essa è ormai inservibile.

Un sistema del genere certamente può dare una mano per aumentare la garanzia di sicurezza della nostra Bacheca anche se vi accediamo sempre e solo dalla nostra Linux box (su cui non girano malware di sorta), ma tornerà utile soprattutto a chi è sempre in viaggio e fa uso del PC in ambienti non adeguatamente protetti (o di cui noi non ci fidiamo).

Il plugin

Il plugin si chiama One-Time Password ed è compatibile con WordPress 3.1: è sufficiente installarlo al solito modo dal pannello di amministrazione. Una volta installato, sarete avvisati di impostare la nuova sequenza di password ed eventualmente anche le preferenze. Questo è uno screenshot della pagina di amministrazione del plugin:

La pagina delle preferenze di One-Time Password

Creare la lista delle OTP

Andiamo alle preferenze del plugin: quello che ci interessa, in questo momento, è la loro prima parte. Inseriamo anzitutto la nostra passphrase, che dovrà assolutamente restare nascosta: scegliamola con cura. Lasciate non selezionato “Pass-phrase is a One-Time Password” e scegliete quante password volete generare. Generate quindi il vostro seed (il “seme”). Scegliete infine l’algoritmo di hash, dove vi consiglio di usare SHA-1. Fate infine clic su “Generate”. Il sistema vi genererà una lista di password, tante quante ne avevate indicato prima. Ecco un esempio:

La lista delle password generate

In basso trovate un pulsante che vi consentirà la stampa della lista. Si può anche stampare su PDF e portarsi il file su una chiavetta. È superfluo dire quanto debbano restare custoditi foglio e/o chiavetta. Per maggiore sicurezza, al momento della stampa togliete l’indicazione dell’URL dalle preferenze di stampa del vostro browser: in Firefox c’è una scheda apposita nella finestra di stampa.

Come si usa

Provatelo subito, facendo logout dal pannello. Alla schermata di login inserite il vostro nome utente e, non appena fate clic sul campo della password, apparirà subito sotto il challenge per l’inserimento della OTP:

La riga vi dirà l’algoritmo di hash utilizzato, il numero della password da inserire e il seed (il seme) utilizzato. Prendete la stampa di prima e inserite (in questo caso) la password numero 49: potete inserire sia il valore della colonna Hex che quello della colonna Word. Se usate il valore della colonna Word, non è necessario usare le maiuscole, ma dovete rispettare gli spazi tra ogni parola.

A questo punto sarete entrati nella Bacheca di WordPress. La password 49 è già stata usata e non può essere più usata: potete fare anche una prova per verificarlo. Se farete nuovamente logout, vedrete che il numero indicato qui sopra dalla freccia rossa sarà scalato di uno, quindi 48, e così via ogni volta che farete logout.

In prossimità della fine delle password, conviene che vi ricreiate una nuova lista, o comunque fatelo ogni volta che lo ritenete opportuno o quando pensate che la lista non possa più essere sicura.

Usare il plugin con un generatore OTP su palmare

Per ulteriore sicurezza potete usare un generatore OTP sul vostro cellulare o palmare, un po’ alla maniera di quelle chiavette che le banche forniscono ai loro clienti, evitando così di dover stampare su carta o su PDF la lista. Ne esistono per Android, per iPhone e anche per dispositivi che supportano JavaME come il BlackBerry. Io ho provato il programma sul BlackBerry e funziona benissimo. In questo caso, se non usate cioè la lista ma un programma apposito, dovrete ricordare la passphrase: il telefono, infatti, non conserva alcuna lista, ma genera la password necessaria all’istante ogni volta che vi serve. Ecco come, più o meno, si presenta:

Disabilitare la password di WordPress

A meno che non usiate una password estremamente lunga e complessa composta da tutti i tipi di caratteri e spazi, è possibile (e direi auspicabile) disabilitare la password unica di WordPress in modo da forzare l’uso della sola OTP. Trovate questa opzione nelle preferenze del plugin, in fondo.

Trovate anche la possibilità di richiedere l’immissione di una OTP per ogni azione amministrativa che si compie nel pannello di WordPress.

Se qualcosa va storto

Se non riuscite ad autenticarvi nel vostro blog per una qualsiasi ragione (avete pasticciato con la lista o sembra che il plugin faccia le bizze), disabilitate il plugin via FTP rinominando (o cancellando) la cartella che lo contiene. A questi punto potrete tornare ad autenticarvi con la vostra solita password, anche se nel plugin avevate disabilitato l’autenticazione con normale password.

Se pensate che usare questo sistema sia più faticoso (e avete ragione, ma la sicurezza si paga), sarete obbligati a usare il normale sistema nome-utente/unica-password di WordPress e sono sicuro che sarà del tipo SjM4c2aj^%8zVpAaHs795*792, che cambierete con costanza ogni 3 mesi e che quindi vi obbligherà a far uso di un degno gestore di password. O no?

Photo credits: Wikipedia, OneTime pad excerpt, CC by-sa, 2005.

L'articolo Password OTP (usa e getta) per WordPress è uno scritto di aldolat.it. Rispettane le condizioni di licenza.