Allora, dopo tutto questo, mi chiedo: e' proponibile per questo tipo
di servizi obbligare i clienti ad avere una chiave asimmetrica di
qualche tipo cosi' che l'email contenente la password resettata o il
link o qualsiasi altra soluzione possa essere cryptata lato server con
la chiave pubblica del cliente? O secondo voi una soluzione del genere
e' troppo sofisticata?
Secondo me a senso proprio per il fatto che la PEC ha valore legale.
Esistono varie possibili soluzioni.
Conoscendo l'implementazione della PEC di un paio di gestori,
secondo me il "workflow" con il miglior rapporto sicurezza/prezzo e':
self-reset con "domanda" e "risposta" scelte dall'utente,
notifica della nuova password via mail,
obbligo di cambio password al successivo login
Ma dato che i tempi di roll-out in produzione di una TELCO italiana
sono "bibilici"... meglio non sperarci :)
La soluzione chiave asimmetrica non e' compatibile con i tempi di
business che diventerebbero troppo lunghi nel caso in cui l'utente
perde il dispositivo contente la chiave. Dato che il sistema ha valore
legale, il gestore dovrebbe tener conto delle implicazioni legali di
eventuali ritardi nella consegna dei dispositivi e/o delle chiavi
sostitutive.
Quanto al fatto che le pass non sono codificate in one-way, lo trovo
assolutamente vergognoso.
Da quanto mi risulta inoltre CNIPA esegue delle verifiche a livello
funzionale, ma non manda ispettori dal provider a controllare se i
repository sono effettivamente cifrati, e con quale algoritmo.
Ciao,
Alessandro
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
