Il tedesco BSI (Ufficio federale per la sicurezza delle informazioni) reclami per avere un elenco di 18 milioni di indirizzi e-mail e password - presumibilmente il risultato di un furto di identità.
Permettono di verificare se il proprio indirizzo email fa parte di questo (o di un vecchio) elenco, che funziona in questo modo:
- Inserisci un indirizzo email al link
- Dopo l'invio, mostrano un codice di quattro cifre.
- Se l'indirizzo email inserito NON fa parte dell'elenco: non succede nulla.
- Se l'indirizzo email inserito fa parte dell'elenco: La BSI invia un'email all'indirizzo inserito, che
- è firmato con la chiave OpenPGP e
- contiene il codice di quattro cifre nella riga dell'oggetto.
- (La posta non contiene la password.)
La firma OpenPGP e il codice nella riga dell'oggetto assicurano che l'email provenga effettivamente dal BSI (i phisher già inviano email nel nome del BSI).
Ma oltre a questo, questo processo è davvero una buona pratica?
Per quanto posso vedere, ha due problemi:
- Non è noto se l'elenco contenga login per provider di posta elettronica o per altri siti (negozi, ecc.). Ma se questi sarebbero login per gli account di posta elettronica (o se le persone usano la stessa password lì), i ladri potrebbero controllare l'account di posta elettronica e filtrare qualsiasi email proveniente dal BSI, giusto? Quindi queste persone non si accorgerebbero mai che i loro dati sono contenuti nell'elenco di BSI.
- Quindi le persone che non ricevono posta non possono essere sicuri che i loro dati non siano nella lista o se la posta sia stata intercettata (a meno che non cambino la loro password prima di inserire anche il loro indirizzo email nel test).
- E poiché non inviano la password contenuta nella lista, gli utenti (che usano password uniche per ogni sito) non possono sapere quali dei loro account sono interessati (→ molti siti usano indirizzo email come nome utente).
- Quindi le persone dovrebbero cambiare le loro password su tutti siti usando il loro indirizzo email come nome utente.
Ho ragione? O ci sono dei buoni motivi per cui lo gestiscono così?
Il processo potrebbe essere migliorato? Esistono buone pratiche per situazioni del genere in cui sono coinvolti i dati di molti servizi diversi (e non solo da un singolo fornitore)?