Dopo l'attacco degli hacker: come proteggersi dagli attacchi brute force
29.8.2017
Traduzione: tradotto automaticamente
La Svizzera è stata colpita da un attacco di forza bruta. Il governo federale ha risposto e ha messo online uno strumento che puoi utilizzare per scoprire se il tuo account è stato colpito. Dato che l'attacco prende di mira le password, diamo un'occhiata alle password e alle strategie.
Il Centro di Segnalazione e Analisi per la Sicurezza Informatica Melani avverte: Un attacco su larga scala è stato registrato in Svizzera. Gli aggressori hanno sferrato un attacco di forza bruta a un server in Svizzera e hanno compromesso 21.000 nomi utente e password.
Vorrei cogliere l'occasione per spiegarti il concetto di attacco a forza bruta e darti qualche consiglio su come puoi contribuire a far sì che tali attacchi rimangano in gran parte inefficaci.
Che cos'è un attacco di forza bruta?
Gli attacchi brute force sono attacchi che essenzialmente - e in termini un po' semplificati - fanno quanto segue:
- Richiama il modulo di accesso al sito
- Inserisce un indirizzo email come login
- Prova password dopo password, seguendo un dizionario
- Il server risponde con "Password errata" oppure "Login riuscito"
- Se la risposta è "Password errata", l'attaccante prova la parola successiva del dizionario
Aggiornamento: L'utente YouShook ha capito cosa mi disturbava. Ho modificato la regex. Grazie, YouShook.
[a-zA-Z0-9\w]{6,8}
Dovrebbe andare bene. In caso contrario, lasciami un commento con la regex corretta. Più la osservo, meno [\w] sembra essere corretta.
Tradotto, la regex significa quanto segue:
- alfabeto, sia maiuscolo che minuscolo
- le cifre
- i segni di punteggiatura
- {6,8}: Tra i sei e gli otto caratteri, poiché non ha senso testare password più corte
La RegEx non si limita a provare le stringhe di caratteri speciali, ma anche le parole. Quindi, se la tua password è "digitec1", questa viene inclusa nella RegEx, perché la RegEx non distingue tra parole umane e stringhe di caratteri casuali.
Nella maggior parte dei casi, un bot di forza bruta procede in base a un elenco di indirizzi e-mail o altri nomi di login acquistati online e prova il suo dizionario per ogni account.
- hans.muster@example.org/aaaaaa
- hans.muster@example.org/aaaaaaa
- hans.muster@example.org/aaaaaaaa
- ...
A seconda della potenza di calcolo del bot e della latenza dell'obiettivo, un attacco di questo tipo può concludersi in pochi minuti o durare diverse ore.
Una terza variante consiste nell'effettuare un attacco di forza bruta.
Dopo aver letto il rapporto Melani, sospetto che nell'attacco sia stata utilizzata la terza variante. Non viene detto esplicitamente, ma leggendo tra le righe sembra proprio che sia così. In particolare, il loro strumento di controllo indica anche che Melani è in possesso dell'elenco utilizzato dagli aggressori.
Cosa posso fare?
Sì, ma la mia password è già "eCSD,827c" e non è sicura?
Le password sono un argomento fastidioso che probabilmente non verrà discusso a breve. Io e te conosciamo le linee guida per le password come le seguenti.
- Almeno otto caratteri
- Almeno un numero, con l'1 sconsigliato
- Almeno un carattere speciale
In RegEx, a proposito, si presenta così
[a-zA-Z0-9\w]{8,}
Alla fine hai qualcosa come eCSD,827c come password sicura. Oppure qualcosa come "d!gItec1". Entrambi funzionano, ma sono più pratici per le macchine e meno per gli esseri umani. Perché è difficile memorizzare una cosa del genere. Il pensiero "È digitec1, ma la prima i è un ! e la seconda è maiuscola" non è molto intuitivo. Vorrei quindi suggerire una soluzione alternativa che funziona abbastanza bene di per sé.
Si tratta della cosiddetta password xkcd, che prende il nome da un numero del webcomic xkcd.
La teoria alla base della password è semplice:
- Prendere tre o quattro parole leggibili dall'uomo e metterle insieme
- Prendi un numero come separatore o un carattere speciale
- Aggiungi qualcosa alla fine, un separatore o un numero
Alla fine avrai una password come "gattoconfusolondra5". È abbastanza lunga, l'hai già memorizzata e l'unica cosa astratta è il numero alla fine. E un 5 è facile da ricordare. La password è lunga 23 caratteri, quindi un attacco che inizia con otto caratteri riuscirà prima o poi a superare il gatto confuso, ma ci vorrà molto, molto tempo.
Questo non è ancora sufficiente per risolvere il problema.
Questo non risolve comunque il problema "più siti, una sola password".
"Ma non voglio ricordare cento password!"
Con entrambi i gestori è possibile assegnare e salvare le password senza mai vederle. Trovo che sia un po' inquietante, ma funziona bene.
Con entrambi i gestori è possibile assegnare e salvare le password senza mai vederle.
Se vuoi comunque utilizzare la stessa password dappertutto, Melani ti consiglia le seguenti misure:
- Cambia la password di tutti gli account online collegati all'indirizzo email interessato (account email, negozi online, e-banking, social media, ecc.).
Quindi, questo è tutto. Ora è il tuo turno. Ti ho parlato molto degli attacchi di forza bruta e di come difenderti da essi. Ora sta a te fare in modo di non essere colpito. <p
Giornalista. Autore. Hacker. Sono un contastorie e mi piace scovare segreti, tabù, limiti e documentare il mondo, scrivendo nero su bianco. Non perché sappia farlo, ma perché non so fare altro.
Retroscena
Curiosità dal mondo dei prodotti, uno sguardo dietro le quinte dei produttori e ritratti di persone interessanti.
Visualizza tutti