Cracking delle password: quali tecniche di attacco utilizzano i cybercriminali? Quanto tempo impiegano? Ma soprattutto, come difendersi?
Cracking delle password: come si viola una password
Il cracking delle password avviene tramite software specifici in grado di recuperare le password archiviate nei sistemi informatici o inviate in rete. Si parla anche, in questo caso, di violazione delle password.
Il tempo necessario a crackare una password è molto legato alla tipologia di attacco ma anche alla complessità della password. Più una password è complessa più sarà difficile e lento, per il software, violarle e compromettere gli account.
Ci sono poi anche modi diversi di violare le password: una di queste è l’ingegneria sociale, una tecnica che prevede l’invio di messaggi di phishing che inducono la vittima a rivelare volontariamente all’attaccante le credenziali. In questo caso, l’unico rimedio è la formazione dell’utente: qui infatti il cyber criminale non colpisce i sistemi, ma mira alle debolezze dell’essere umano.
Decriptare una password: come funziona
Le password sono trasmesse e archiviate in forma criptata. I cyber criminali, per “svelarle” devono quindi decriptarle per vederle in chiaro e poterle utilizzare. Decriptare la password, significa decriptare il suo hash, cioè una sequenza univoca di caratteri che rappresenta quella password.
Tra gli algoritmi più usati per l’hash delle password ci sono MD5 e SHA-1 che trasformano ogni password in un valore hash univoco (una stringa di caratteri a lunghezza fissa, che viene poi archiviata nel server. Quando l’utente immette le password, il server verifica la corrispondenza tra l’hash della password digitata e l’hash di quella archiviata sul server. Se corrispondono, l’accesso viene concesso. Se un cyber criminale mette le mani su questo hash, deve ricostruirlo e può farlo usando le cosiddette tabelle Rainbow. Gli basta un GPU e un tool come hashcat.
La password a quel punto è in chiaro e può essere riusata anche su altri account, visto che è molto comune riutilizzare la stessa password per più servizi.
Cracking delle password: quanto tempo serve?
- Da un estremo all’altro: una password di 8 caratteri può essere craccata in 37 secondi con tecniche di brute forcing. Crackarne una da 16 caratteri può richiedere un secolo. Qui apprendiamo già la prima lezione: la lunghezza della password conta eccome. Più è lunga, più tempo ci vorrà per ricostruirla (Fonte: hivesystem.io);
- una password di 5 caratteri contenente solo lettere maiuscole o minuscole può essere craccata in 2 minuti (Fonte: hivesystem.io);
- il 70% delle password deboli possono essere crackate in meno di 1 secondo usando un semplice attacco di brute force (Fonte: techreport.com);
- le password deboli sono alla base di oltre l’80% dei data breach in azienda (Fonte: techreport.com). Per saperne di più > Il problema delle password in azienda: un rischio spesso sottovalutato
Le password con almeno una lettera maiuscola, un simbolo, un numero e una lunghezza minima di 16 caratteri sono indubbiamente le più complesse da violare. Secondo le stime, i cyber criminali impiegherebbero 34.000 anni per crackare una password che soddisfi tutti questi requisiti.
È importante notare invece che password contenenti una maiuscola, un simbolo e un numero ma con una lunghezza pari o inferiore a 6 caratteri vengono violate comunque all’istante.
Password casuali contro il cracking delle password
In breve, le password devono essere:
- lunghe almeno 16 caratteri;
- non includere informazioni personali (data di nascita, indirizzo di casa ecc…) né parole di senso compiuto;
- non presentare numero in sequenza (123456)
- includere almeno una lettera maiuscola, un numero, un simbolo…
Una password che rispetti questi criteri sarà indubbiamente solida e difficile da crackare. Ma sarà anche difficile, spesso, da concepire e ricordare.
Come creare password efficaci difficili da crackare con i password manager
Da una parte c’è la necessità di utilizzare password diverse e solide per ogni account, dall’altra la complessità di ricordare stringhe complesse da 16 caratteri: fortunatamente ci sono strumenti appositi, i password manager come Sticky Password.
Per creare quindi password difficili da crackare è utile consigliare l’uso di un password manager che preveda:
- un generatore di password
che genera password complesse, casuali ed univoche della lunghezza da te specificata. Sticky Password è dotato di un generatore di password che rispetta tutti i criteri di solidità delle credenziali; - un password manager per archiviare tutte le password in modo sicuro. Renderà le password disponibili al momento dell’accesso. Basterà impostare una password master principali e poi Sticky Password farà il resto.
Consiglia Sticky Password a tutti!
I dati sono impietosi e parlano chiaro, violare le password è diventato più semplice per i cyber criminali. Condividi i criteri da seguire per creare password efficaci e consiglia l’uso di un password manager come Sticky Password. Sticky Password è il pluripremiato gestore di password e compilatore di moduli di Lamantine Software che da oltre 20 anni protegge milioni di password in tutto il mondo.
Sei interessato a rivendere Sticky Password? Leggi qui!
