Luca Annunziata
mercoledì 5 novembre 2008

Con Passpack le password sono online

Con il rilascio del primo pacchetto commerciale, un'idea nata quasi per caso si trasforma in impresa. Tara Kelly, fondatrice e presidente dell'azienda, racconta cosa significa fare startup in Italia

Altro passaggio complicato è stato affrontare un'esperienza nuova per tutti i professionisti coinvolti: "Passare da un lavoro freelance da web designer a una visione strutturata di una azienda non è stato semplice - continua Tara - Nessuno dei nostri collaboratori aveva mai fatto qualcosa di simile: la vediamo come un'opportunità, come qualcosa che dobbiamo fare tutti insieme. È spettacolare, molto difficile ma allo stesso tempo affascinante: è la cosa che preferisco di questa esperienza".

Anche la scelta stessa dei collaboratori non è stata una passeggiata: "Non basta scegliere i professionisti più qualificati - precisa - Bisogna scegliere le persone giuste per comporre un team: i professionisti davvero validi sono difficili da trovare, ma bisogna anche avere il coraggio di non tirarli a bordo a tutti i costi se, in quel momento, quella figura non è davvero utile ai fini del progetto". Il risultato è uno strano equilibrio tra sviluppatori e comunicatori, con cinque developer impegnati nella crescita del pacchetto software e altrettanti esperti di comunicazione e customer support che portano avanti una filosofia di apertura verso la rete e le sue richieste.

Se poi, come in questo caso, la composizione della squadra è - se non originale - quantomeno insolita, insolito deve essere anche il metodo utilizzato per selezionarne i componenti: "Abbiamo provato con tutti i canali possibili - ricorda Kelly - Abbiamo messo degli annunci su alcune bacheche gratuite che hanno dato buoni frutti: in un caso cercavo una persona in particolare (non vi dirò mai chi è), e ho adottato una strategia specifica attraverso vari social network per fargli notare Passpack e convincerlo a lavorare con noi".Ma perché poi complicarsi la vita e lavorare in Italia e non altrove, magari nella Silicon Valley dove tutto è più semplice per una startup? "Passpack è nato in Italia - chiarisce a Punto Informatico Kelly - e attorno al progetto è nato un bell'entusiasmo del mondo business". Senza contare, continua Tara, che nel Belpaese c'è qualcosa che non si sarebbe potuta trovare altrove: "La mia personale opinione, di una statunitense che è qui da 12 anni, è che lo sviluppatore italiano sia molto creativo: il team di Passpack è formato da professionisti di altissimo valore, che non troveremmo così facilmente all'estero".

Allo stesso modo, la scelta di Roma come base per le operazioni è casuale fino a un certo punto: "I nostri investitori sono tutti distribuiti tra Milano e l'Emilia Romagna. Ma - prosegue - in Italia le distanze sono brevi, stare qui e non altrove non è un problema. In futuro si pensa all'idea di aprire un ufficio nel Regno Unito, per tentare di raccogliere altri capitali, ma le operation di Passpack resteranno a Roma visto che Passpack è e resta un'azienda italiana". Tanto più, ci spiega, che in altre location in Asia o negli USA dove i finanziamenti non mancherebbero, una piccola realtà come Passpack rischierebbe di non riuscire a far sentire la sua voce.

Dalle parole di Tara traspira, comunque, una certa soddisfazione e una certa euforia per quanto accaduto negli ultimi giorni: "Siamo nel caos, stiamo rilasciando il nostro primo pacchetto commerciale: ho un sacco di gente attorno che corre avanti e indietro per verificare che tutto funzioni a dovere". Lo sviluppo, racconta, non si è fermato: al momento all'applicazione manca una funzionalità che dovrebbe essere inserita a breve, vale a dire la possibilità di consentire agli utenti di condividere le password e le credenziali di accesso ad un dominio. Una funzionalità giudicata essenziale per completare l'offerta commerciale.

"Entro la fine dell'anno puntiamo a integrare lo sharing nel primo pacchetto - racconta a Punto Informatico - A seguire, contiamo di rilasciare gli altri pacchetti commerciali entro due e quattro mesi". Nei suoi progetti, rivela Kelly, c'è anche l'intenzione di allargare la squadra di Passpack: "In un mondo ideale, avremmo bisogno di altre due persone che si occupino dello sviluppo e due che si occupino della comunicazione". Il tutto senza affrettare i tempi: "Il codice della nostra applicazione è talmente critico che non ci si possono permettere errori. Il team di sviluppo - conclude - deve essere molto compatto e coerente". Per crescere ci sarà sempre tempo.

a cura di Luca Annunziata
84 Commenti alla Notizia Con Passpack le password sono online
Ordina
  • Perchè a lei nessun articolo? Raro, forse unico, trovare due aziende leader italiane in un settore altamente specializzato come questo.
  • forse qualcuno si è fregato del codice dall'altro!
    ahahhaha
    non+autenticato
  • perchè Clipperz non ha pagato per la promozione forse?
    non+autenticato
  • ...con la cache del proxy, sotto layer4 (o superiore) accedo ai miei acconti direttamente tramite la subrete per il web che tiene attive di default tutte le session sui server.

    Certo, mi rendo conto che per voi la fuori è un'informazione inutile ma noi qui dentro si sta al calduccio e ben coccolati! ^^
  • Il Rijndael non è nemmeno il miglior cipher esistente.
    Da quel sito sembra che l'AES sia chissà cosa... l'algoritmo più sicuro al mondo. Falso.
    Il Rijndael è diventato AES principalmente (e praticamente "solo") a causa della sua velocità e della sua facilità di implementazione.
    E' vero che per vincere la competizione e per diventare AES il Rijndael deve anche essere sicuro, ma i crittoanalisti hanno criticato più volte la semplice struttura dell'AES (non perché sia debole "oggi", ma perché in un vicino futuro potrebbe diventarlo).
    Il cipher più sicuro che esista è il SERPENT. Anche il Serpent ha partecipato per essere eletto AES, ma è stato scelto il Rijndael... seppure sia stato riconosciuto al Serpent il fatto di essere il miglior cipher esistente al momento; infatti in fatto di sicurezza il Serpent è anche proiettato verso il futuro (non a caso gli hanno aumentato i cicli di round proprio per questo...).
    Purtroppo il Serpent è abbastanza lento (ma per un sito del genere sarebbe stato perfetto: la crittografia avviene lato client, e generalmente ha una velocità attorno ai 50MB/sec contro il 130MB/sec del Rijndael in C, quindi abbastanza veloce per crittografare una semplice password di pochi byte, sebbene in javascript) e a causa di questa lentezza non ha avuto un punteggio molto alto e non è stato eletto AES (perché l'Advanced Encryption Standard, non è l'algoritmo MIGLIORE [a differenza di quello che viene detto su quel sito] ma è solo quello che ha una media MIGLIORE di vari parametri...). Seppure è vero che l'AES venga ufficialmente usato negli USA in quanto è stato approvato dalla NSA, questo non significa che sia il "miglior" algoritmo sulla piazza....
    Anzi: se è possibile è meglio usare altri chiper, perché l'approccio "alla moda"(cioè matematicamente semplicistico) del rijndael è così sorprendente che l'approccio classico (e ben testato) che hanno i cipher come il Serpent lo rende più vulnerabile a possibili scoperte.
    Non ci vedo quindi niente di speciale nello "sbandierare" a tutti che viene usato il rijndael per cifrare le password... sarebbe diverso se invece si fosse "sbandierato" il fatto che il sito usa un algoritmo migliore di quello approvato dal NSA (+ DoD), ossia - per esempio - il Serpent (e non di certo l'AES...).
    non+autenticato
  • Grazie per aver espresso in maniera esaustiva il tuo punto di vista!
    non+autenticato
  • Hai un puntatore a una pubblicazione di confronto tra i due e che dica che Serpent è *migliore* di AES?
    non+autenticato
  • - Scritto da: Giacomo
    > Hai un puntatore a una pubblicazione di confronto
    > tra i due e che dica che Serpent è *migliore* di
    > AES?

    Guarda, io non ne ho bisogno perché se mi guardo l'algoritmo lo capisco da me e il Rijndael è così semplicistico che inizialmente mi aveva fatto anche sorgere qualche dubbio che fosse un fake. (dubbio svanito subito, ma perplessità rimaste)

    Detto questo se cerchi delle comparazioni tra il Serpent e il Rijndael trovi sempre lo stesso risultato. Google e Yahoo sono lì anche per te.

    Adesso non ho sotto mano i PDF, ma se guardi, perfino sul sito di quell'aggeggio di TrueCrypt lo scrivono:
    http://www.truecrypt.org/docs/?s=serpent
    stavo curiosando attorno a truecrypt quando ho letto quella pagina.... e infatti c'è scritto:

    "It was not selected as the proposed AES algorithm even though it appeared to have a higher security margin than the winning Rijndael [4]."

    "More concretely, Serpent appeared to have a high security margin, while Rijndael appeared to have only an adequate security margin [4]"

    La verità è che proprio i pirla che suggeriscono l'AES sono i primi a dire che c'è di meglio..... e poi anche in quel software lo mettono come cipher di default!!! c'è una spiegazione? effettivamente mi pare che per cifrare un disco la velocità sia importante [punto a favore del Rijndael] è molto più alta del Serpent e questa è una buona cosa... però non dovrebbero mettere l'AES come cipher di default lo stesso.

    vabbé chissenefrega, ciao.
    non+autenticato
  • Ciao. Sono Francesco Sullo di Passpack.
    Sono d'accordo con te che Serpent sia sicuramente un software crittograficamente più robusto del Rijndael. Ma le poche implementazioni in Javascript che esistono in giro sono o bucate o troppo lente. Invece AES dispone di ottime librerie che si comportanto decentemente in quanto a velocità.
    Non credo che Passpack si vanti di usare AES. Personalmente sono convinto che ci siano innumerevoli algoritmi altrettanto efficaci. E' che se utilizzi uno standard universamente riconosciuto stanno più tranquilli i tuoi utenti. Spiegargli invece che devono sopportare una maggiore lentezza per utilizzare un algoritmo di cui nessuno parla è dura.
    Tutto qua. Direi che è una questione di buon senso.
    non+autenticato
  • "Le informazioni sono conservate in formato cifrato, sono dunque inaccessibili a chiunque non possieda la chiave da 1024 bit con la quale vengono lucchettate: neppure i creatori della webapp sono in grado di visualizzare quanto caricato dagli utenti sul sito."

    Di qualche chiave a 1024 stanno parlando? e di che informazioni cifrate stanno parlando?
    L'AES (cioè il rijndael) non supporta chiavi a 1024 bit, ma al massimo a 256 bit.

    BOH!!
    non+autenticato
  • *qualche=quale
    non+autenticato
  • Scusate l'ignoranza, ma mi sembra di capire che questo servizio consisterebbe in implementare un algoritmo (blowfish???) in javascript sul client (usando una masterpassword come chiave), mandare la psw cifrata sul server salvarla sul db, e fare il contrario per rileggerla.

    Giusto?
    non+autenticato
  • - Scritto da: Nokia
    > Scusate l'ignoranza, ma mi sembra di capire che
    > questo servizio consisterebbe in implementare un
    > algoritmo (blowfish???) in javascript sul client
    > (usando una masterpassword come chiave), mandare
    > la psw cifrata sul server salvarla sul db, e fare
    > il contrario per
    > rileggerla.
    >
    > Giusto?

    No, l'algoritmo è AES, cifrato sul client.
    Le password sono due: una per l'accesso al loro sito (con il nome utente relativo) per ritrovare le entry delle chiavi salvate ed una per la cifratura/decifratura delle chiavi che, in realtà, sul loro sito non viene mai memorizzata.

    La password di cifratura non passa mai in rete, ne in chiaro ne cifrata.
  • - Scritto da: logicaMente
    > - Scritto da: Nokia
    > > Scusate l'ignoranza, ma mi sembra di capire che
    > > questo servizio consisterebbe in implementare un
    > > algoritmo (blowfish???) in javascript sul client
    > > (usando una masterpassword come chiave), mandare
    > > la psw cifrata sul server salvarla sul db, e
    > fare
    > > il contrario per
    > > rileggerla.
    > >
    > > Giusto?
    >
    > No, l'algoritmo è AES, cifrato sul client.
    > Le password sono due: una per l'accesso al loro
    > sito (con il nome utente relativo) per ritrovare
    > le entry delle chiavi salvate
    Ok questa viene cifrata con un AES....

    Poi la chiave da decifrare verrà scaricata sul client immagino

    dove ho bisogno di decifrarla localmente in modo da non passare nessuna psw in chiaro sulla rete.

    ed una per la
    > cifratura/decifratura delle chiavi che,

    L'algoritmo bidirezionale di cifratura/decifratura qual'è?
    Immagino blowfish, che se ho capito bene viene implementato sul browser in locale quindi in javascript.

    in
    > realtà, sul loro sito non viene mai
    > memorizzata.
    >
    > La password di cifratura non passa mai in rete,
    > ne in chiaro ne
    > cifrata.

    Si si questo è chiaro
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
1 | 2 | 3 | 4 | 5 | Successiva
(pagina 1/5 - 23 discussioni)
 

La soluzione ideale per IBM Performance: Decisioni più intelligenti, migliori risultati.

Lavorare con JSP

Lavorare con JSP

JSP è uno dei linguaggi più utilizzati all'interno di architetture d'impresa. I motivi del suo successo sono molteplici. Molti sono legati alla sicurezza, altri alla sua flessibilità, [...]