Luca Annunziata
mercoledì 5 novembre 2008

Con Passpack le password sono online

Con il rilascio del primo pacchetto commerciale, un'idea nata quasi per caso si trasforma in impresa. Tara Kelly, fondatrice e presidente dell'azienda, racconta cosa significa fare startup in Italia

Roma - La giornata del 4 novembre ha segnato per Passpack, una startup italiana con cuore a stelle e strisce, un giorno importante della sua evoluzione: con il rilascio del primo pacchetto a pagamento che amplia le capacità del servizio oltre quelle già offerte nella versione free, il sistema di archiviazione delle proprie password online è uscito ufficialmente dalla fase beta e si è trasformato - come spiega a Punto Informatico Tara Kelly, founder e presidente della società - in una vera realtà industriale.

Passpack è, in pratica, un archivio online per le proprie credenziali di accesso ai servizi web. Le informazioni sono conservate in formato cifrato, sono dunque inaccessibili a chiunque non possieda la chiave da 1024 bit con la quale vengono lucchettate: neppure i creatori della webapp sono in grado di visualizzare quanto caricato dagli utenti sul sito. Oltre a questo, tramite Passpack ci si può scambiare messaggi riservati (fino a 500 caratteri, anche questi ovviamente protetti da cifratura), e si possono organizzare le proprie login a diversi siti per consentire un accesso rapido senza la necessità di inserire ogni volta la password.

La necessità di conservare le password online, racconta Kelly, è nata quasi per caso nel febbraio del 2003: "Io e mio marito (il CTO di Passpack Francesco Sullo, ndR) quando ci siamo conosciuti eravamo entrambi web designer freelance: ci siamo incontrati sul lavoro, ci siamo sposati e poi, una volta andati in luna di miele, ci siamo improvvisamente ritrovati senza le nostre password e con i clienti che continuavano a pressarci per chiederci aggiornamenti ai loro siti e servizi".È stato allora, prosegue Kelly, che l'idea di Passpack è stata sviluppata: un progetto nato per scopi privati che, dopo qualche anno, si è trasformato in un servizio per il pubblico. "Il sito l'abbiamo lanciato a dicembre 2006, a LeWeb3 - racconta a Punto Informatico - Per arrivare al prodotto online ci sono voluti mesi di sviluppo, c'è voluto l'arrivo sul mercato di computer più potenti di quelli disponibili nel 2003, c'è voluta l'uscita di Firefox e l'adeguamento di Explorer a certi standard Javascript. E poi è arrivato AJAX, che ha dato la spinta finale anche grazie al rilascio di alcuni algoritmi crittografici con licenza open source".

Oggi, spiega Tara, da una semplice lista di password Passpack (il nome, ci svela, è stato letteralmente scelto all'ultimo minuto) si è trasformato in "un'applicazione ricca, completa, che sfrutta ad esempio le tag per tenere in ordine le password". Il lavoro di codifica dei dati avviene direttamente nel browser dell'utente, le password vengono spedite ai server già protette: fino a qualche anno fa sarebbe stato troppo complicato far svolgere a processori meno evoluti di quelli attuali queste azioni in tempo reale.

Il rilascio del primo pacchetto a pagamento, che non sostituisce l'offerta gratuita di base ma si limita ad ampliarne le caratteristiche, arriva al termine di un percorso complesso: "Come sempre - spiega a Punto Informatico - il tutto è il risultato di una serie di fattori: a maggio abbiamo ottenuto i capitali provenienti da alcuni investimenti privati, e questo ci ha consentito di creare quel supporto legale e infrastrutturale necessario a costruire attorno all'idea di Passpack una vera azienda". Da due novelli sposi, scherza, si è arrivati ad una struttura che conta più di 10 dipendenti e che conta di assumerne altri nei prossimi mesi.

"Questo passaggio (l'entrata in scena dei venture capital, ndR) ci ha garantito la possibilità di mettere in campo tutto quello che è necessario per garantire ai nostri utenti che siamo qui per restare, che il servizio funzionerà anche tra uno, due, cinque anni: prima di allora - precisa Kelly - anche solo pensare di offrire un pacchetto a pagamento per professionisti sarebbe stato quantomeno irresponsabile". Le difficoltà in questo cammino, racconta a Punto Informatico, non sono mancate: l'importante, però, "è mantenere vivo il proprio ottimismo, guardare agli ostacoli come opportunità per crescere".

Uno di questi ostacoli è stato, per l'appunto, individuare le linee di credito necessarie a finanziare il progetto: "In Italia non si erano mai fatti investimenti di questo tipo - racconta - che sono investimenti ad alto rischio e ad alto ritorno: c'erano venture capitalist desiderosi di impegnare le proprie risorse in questo senso, ma che non riuscivano a farlo per via della assenza di una cultura specifica di riferimento. Una sorta di cane che si morde la coda". Poi, grazie anche alla collaborazione dell'Ambasciata Statunitense, la situazione si è sbloccata: "È stato tutto estremamente difficile, ma per noi si è trasformata in una possibilità: abbiamo avuto l'occasione di parlare con tutti gli investitori interessati, e di scegliere il gruppo che secondo noi era il più adatto al nostro progetto".
84 Commenti alla Notizia Con Passpack le password sono online
Ordina
  • Perchè a lei nessun articolo? Raro, forse unico, trovare due aziende leader italiane in un settore altamente specializzato come questo.
  • forse qualcuno si è fregato del codice dall'altro!
    ahahhaha
    non+autenticato
  • perchè Clipperz non ha pagato per la promozione forse?
    non+autenticato
  • ...con la cache del proxy, sotto layer4 (o superiore) accedo ai miei acconti direttamente tramite la subrete per il web che tiene attive di default tutte le session sui server.

    Certo, mi rendo conto che per voi la fuori è un'informazione inutile ma noi qui dentro si sta al calduccio e ben coccolati! ^^
  • Il Rijndael non è nemmeno il miglior cipher esistente.
    Da quel sito sembra che l'AES sia chissà cosa... l'algoritmo più sicuro al mondo. Falso.
    Il Rijndael è diventato AES principalmente (e praticamente "solo") a causa della sua velocità e della sua facilità di implementazione.
    E' vero che per vincere la competizione e per diventare AES il Rijndael deve anche essere sicuro, ma i crittoanalisti hanno criticato più volte la semplice struttura dell'AES (non perché sia debole "oggi", ma perché in un vicino futuro potrebbe diventarlo).
    Il cipher più sicuro che esista è il SERPENT. Anche il Serpent ha partecipato per essere eletto AES, ma è stato scelto il Rijndael... seppure sia stato riconosciuto al Serpent il fatto di essere il miglior cipher esistente al momento; infatti in fatto di sicurezza il Serpent è anche proiettato verso il futuro (non a caso gli hanno aumentato i cicli di round proprio per questo...).
    Purtroppo il Serpent è abbastanza lento (ma per un sito del genere sarebbe stato perfetto: la crittografia avviene lato client, e generalmente ha una velocità attorno ai 50MB/sec contro il 130MB/sec del Rijndael in C, quindi abbastanza veloce per crittografare una semplice password di pochi byte, sebbene in javascript) e a causa di questa lentezza non ha avuto un punteggio molto alto e non è stato eletto AES (perché l'Advanced Encryption Standard, non è l'algoritmo MIGLIORE [a differenza di quello che viene detto su quel sito] ma è solo quello che ha una media MIGLIORE di vari parametri...). Seppure è vero che l'AES venga ufficialmente usato negli USA in quanto è stato approvato dalla NSA, questo non significa che sia il "miglior" algoritmo sulla piazza....
    Anzi: se è possibile è meglio usare altri chiper, perché l'approccio "alla moda"(cioè matematicamente semplicistico) del rijndael è così sorprendente che l'approccio classico (e ben testato) che hanno i cipher come il Serpent lo rende più vulnerabile a possibili scoperte.
    Non ci vedo quindi niente di speciale nello "sbandierare" a tutti che viene usato il rijndael per cifrare le password... sarebbe diverso se invece si fosse "sbandierato" il fatto che il sito usa un algoritmo migliore di quello approvato dal NSA (+ DoD), ossia - per esempio - il Serpent (e non di certo l'AES...).
    non+autenticato
  • Grazie per aver espresso in maniera esaustiva il tuo punto di vista!
    non+autenticato
  • Hai un puntatore a una pubblicazione di confronto tra i due e che dica che Serpent è *migliore* di AES?
    non+autenticato
  • - Scritto da: Giacomo
    > Hai un puntatore a una pubblicazione di confronto
    > tra i due e che dica che Serpent è *migliore* di
    > AES?

    Guarda, io non ne ho bisogno perché se mi guardo l'algoritmo lo capisco da me e il Rijndael è così semplicistico che inizialmente mi aveva fatto anche sorgere qualche dubbio che fosse un fake. (dubbio svanito subito, ma perplessità rimaste)

    Detto questo se cerchi delle comparazioni tra il Serpent e il Rijndael trovi sempre lo stesso risultato. Google e Yahoo sono lì anche per te.

    Adesso non ho sotto mano i PDF, ma se guardi, perfino sul sito di quell'aggeggio di TrueCrypt lo scrivono:
    http://www.truecrypt.org/docs/?s=serpent
    stavo curiosando attorno a truecrypt quando ho letto quella pagina.... e infatti c'è scritto:

    "It was not selected as the proposed AES algorithm even though it appeared to have a higher security margin than the winning Rijndael [4]."

    "More concretely, Serpent appeared to have a high security margin, while Rijndael appeared to have only an adequate security margin [4]"

    La verità è che proprio i pirla che suggeriscono l'AES sono i primi a dire che c'è di meglio..... e poi anche in quel software lo mettono come cipher di default!!! c'è una spiegazione? effettivamente mi pare che per cifrare un disco la velocità sia importante [punto a favore del Rijndael] è molto più alta del Serpent e questa è una buona cosa... però non dovrebbero mettere l'AES come cipher di default lo stesso.

    vabbé chissenefrega, ciao.
    non+autenticato
  • Ciao. Sono Francesco Sullo di Passpack.
    Sono d'accordo con te che Serpent sia sicuramente un software crittograficamente più robusto del Rijndael. Ma le poche implementazioni in Javascript che esistono in giro sono o bucate o troppo lente. Invece AES dispone di ottime librerie che si comportanto decentemente in quanto a velocità.
    Non credo che Passpack si vanti di usare AES. Personalmente sono convinto che ci siano innumerevoli algoritmi altrettanto efficaci. E' che se utilizzi uno standard universamente riconosciuto stanno più tranquilli i tuoi utenti. Spiegargli invece che devono sopportare una maggiore lentezza per utilizzare un algoritmo di cui nessuno parla è dura.
    Tutto qua. Direi che è una questione di buon senso.
    non+autenticato
  • "Le informazioni sono conservate in formato cifrato, sono dunque inaccessibili a chiunque non possieda la chiave da 1024 bit con la quale vengono lucchettate: neppure i creatori della webapp sono in grado di visualizzare quanto caricato dagli utenti sul sito."

    Di qualche chiave a 1024 stanno parlando? e di che informazioni cifrate stanno parlando?
    L'AES (cioè il rijndael) non supporta chiavi a 1024 bit, ma al massimo a 256 bit.

    BOH!!
    non+autenticato
  • *qualche=quale
    non+autenticato
  • Scusate l'ignoranza, ma mi sembra di capire che questo servizio consisterebbe in implementare un algoritmo (blowfish???) in javascript sul client (usando una masterpassword come chiave), mandare la psw cifrata sul server salvarla sul db, e fare il contrario per rileggerla.

    Giusto?
    non+autenticato
  • - Scritto da: Nokia
    > Scusate l'ignoranza, ma mi sembra di capire che
    > questo servizio consisterebbe in implementare un
    > algoritmo (blowfish???) in javascript sul client
    > (usando una masterpassword come chiave), mandare
    > la psw cifrata sul server salvarla sul db, e fare
    > il contrario per
    > rileggerla.
    >
    > Giusto?

    No, l'algoritmo è AES, cifrato sul client.
    Le password sono due: una per l'accesso al loro sito (con il nome utente relativo) per ritrovare le entry delle chiavi salvate ed una per la cifratura/decifratura delle chiavi che, in realtà, sul loro sito non viene mai memorizzata.

    La password di cifratura non passa mai in rete, ne in chiaro ne cifrata.
  • - Scritto da: logicaMente
    > - Scritto da: Nokia
    > > Scusate l'ignoranza, ma mi sembra di capire che
    > > questo servizio consisterebbe in implementare un
    > > algoritmo (blowfish???) in javascript sul client
    > > (usando una masterpassword come chiave), mandare
    > > la psw cifrata sul server salvarla sul db, e
    > fare
    > > il contrario per
    > > rileggerla.
    > >
    > > Giusto?
    >
    > No, l'algoritmo è AES, cifrato sul client.
    > Le password sono due: una per l'accesso al loro
    > sito (con il nome utente relativo) per ritrovare
    > le entry delle chiavi salvate
    Ok questa viene cifrata con un AES....

    Poi la chiave da decifrare verrà scaricata sul client immagino

    dove ho bisogno di decifrarla localmente in modo da non passare nessuna psw in chiaro sulla rete.

    ed una per la
    > cifratura/decifratura delle chiavi che,

    L'algoritmo bidirezionale di cifratura/decifratura qual'è?
    Immagino blowfish, che se ho capito bene viene implementato sul browser in locale quindi in javascript.

    in
    > realtà, sul loro sito non viene mai
    > memorizzata.
    >
    > La password di cifratura non passa mai in rete,
    > ne in chiaro ne
    > cifrata.

    Si si questo è chiaro
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
1 | 2 | 3 | 4 | 5 | Successiva
(pagina 1/5 - 23 discussioni)
 

La soluzione ideale per Worry-Free Business Security 7.

Windows Phone 7 Programming

Windows Phone 7 Programming

Il mobile è il futuro. E Windows Phone 7 sarà uno dei protagonisti del mercato. Questo approfondimento tematico è stato pensato per chi vuole scoprire tutti i segreti del nuovo sistema [...]