Le password sono state ampiamente adottate come il metodo più efficace per proteggere dati preziosi dall'accesso non autorizzato. Sono semplici e facili da usare, ma abbastanza affidabili da scoraggiare la maggior parte dei tentativi di hacking.
Tuttavia, con l'avanzare della tecnologia nel corso degli anni, il tradizionale sistema di sicurezza basato sulle password sembra lentamente perdere terreno. Password deboli o facili da indovinare possono essere facilmente violate, e persino quelle robuste non sembrano essere completamente immuni agli attacchi degli hacker.
Quindi, cosa puoi fare per evitare che le tue password vengano violate? In questa pagina, affronteremo l'importante tema della violazione delle password nella sicurezza informatica e condivideremo con te preziosi consigli per prevenire la violazione delle password. Continua a leggere per scoprire come rendere le password violate un ricordo del passato.
Password violate: come gli hacker le ottengono?
Quando si tratta di violazione delle password, la maggior parte degli aggressori segue lo stesso mantra: più semplice è, meglio è. Cercheranno sempre di utilizzare il metodo più semplice, economico e furtivo per violare la tua password.
Preoccupante è il fatto che gli aggressori possono utilizzare uno dei tanti strumenti disponibili per accedere ai tuoi account. Sebbene gli strumenti di violazione delle password siano principalmente progettati per aiutare gli utenti a recuperare password perse e testare la sicurezza delle loro password, alcune persone, purtroppo, decidono di utilizzare questi strumenti per scopi illeciti. Ecco una breve panoramica di alcuni dei software di violazione delle password più comuni:
- Hashcat − Considerato uno degli strumenti di cracking delle password più veloci, Hashcat supporta anche numerose metodologie di violazione delle password. Non memorizza password violate sui suoi server ed è completamente gratuito.
- THC Hydra − Questo strumento supporta oltre 50 protocolli. Il suo sistema mobile supporta tutte le principali piattaforme software, rendendolo uno strumento eccellente per violazioni di password su iOS o Android.
- Medusa − Medusa è un software di violazione delle password molto comodo che supporta un lungo elenco di protocolli. Supporta diversi sistemi operativi per computer, escluso Windows.
- John the Ripper − John the Ripper è uno strumento multi-piattaforma, open-source e completamente gratuito per la violazione delle password. Supporta centinaia di tipi di hash e cifrature ed è uno degli strumenti più flessibili in circolazione.
- CrackStation − A differenza dei software sopra citati, CrackStation è un cracker basato su web e non dispone di un programma standalone. Supporta molti protocolli, ma può essere utilizzato solo con hash non salati senza stringhe casuali associate.
Tipi di violazione delle password
In questo contesto, si può dire che gli aggressori hanno un vantaggio, poiché esistono semplicemente troppi tipi di attacchi di hacking delle password. Per questo motivo, la maggior parte delle persone non è consapevole di quante direzioni possa provenire la minaccia.
La maggior parte degli attacchi per violare le password può avvenire in tre forme principali: attacchi di indovinamento delle password, attacchi di ingegneria sociale e attacchi basati su hash. Discutiamoli in dettaglio.
1. Attacchi di indovinamento delle password
Sebbene la maggior parte di noi immagini che gli attacchi informatici provengano da hacker super sofisticati che utilizzano attrezzature costose, la realtà è spesso meno eccitante. Infatti, molti casi di password violate derivano semplicemente da aggressori che indovinano la password fino a trovare quella giusta. Esistono diversi tipi di attacchi di indovinamento delle password:
- Indovinamento casuale delle password − La forma più basilare di indovinamento delle password, ed è anche il metodo meno efficace, a meno che la vittima non utilizzi una password molto comune o che l'aggressore conosca molto della vittima.
- Attacchi a dizionario − Una forma più avanzata di attacco di indovinamento, in cui gli aggressori utilizzano un dizionario automatizzato di parole. La complessità di questi attacchi dipende dall'inclusione di numeri e caratteri e da combinazioni specifiche di parole.
- Attacchi di forza bruta − Gli attacchi di forza bruta implicano un approccio sistematico a tutte le possibili combinazioni di lettere, numeri e parole. Il vantaggio principale è che l'hacker prima o poi troverà la password corretta. Tuttavia, lo svantaggio è che potrebbe richiedere molto tempo per generare tutte le permutazioni possibili.
2. Attacchi di ingegneria sociale
L'ingegneria sociale è un termine generico che si riferisce a varie attività dannose svolte sfruttando le interazioni umane attraverso manipolazioni psicologiche. Gli attacchi di ingegneria sociale mirano a ingannare le vittime ignare inducendole a fornire informazioni sensibili preziose.
Questi attacchi sono spesso attentamente studiati, poiché gli aggressori generalmente investigano sulle vittime per ottenere informazioni che li aiutino a portare a termine l'attacco. Ecco le forme più comuni di attacchi di ingegneria sociale:
- Phishing − Probabilmente la tecnica più nota e popolare, il phishing consiste nell'ingannare il bersaglio inducendolo a fare clic su un link o aprire un allegato contenente malware. Esistono molte forme di attacchi di phishing, tra cui spear phishing, whaling, smishing e vishing.
- Attacchi di reimpostazione della password − Un'altra forma diffusa di ingegneria sociale include il forzare modifiche alle password da parte di qualcuno che non è l'utente finale. Gli aggressori manipolano un link di reimpostazione della password che punta a un dominio sotto il loro controllo.
- Spiare la password − Questo è un metodo molto rudimentale e antiquato di violare le password, ma purtroppo funziona ancora su alcune vittime. L'attaccante osserva fisicamente la vittima mentre inserisce una password e utilizza quindi i dati ottenuti per portare a termine l'attacco.
3. Attacchi basati su hash
Infine, gli attacchi basati su hash possono essere particolarmente pericolosi, poiché gli hacker possono attaccare il database utente/password anche offline. I due tipi più comuni di attacchi basati su hash sono:
- Attacco con tabelle arcobaleno − Gli hacker accedono prima agli hash trapelati e utilizzano la tabella arcobaleno per decrittare gli hash delle password. Se gli hash non hanno una codifica unica aggiuntiva per ogni password, gli hacker possono semplicemente tradurre le password criptate in testo normale.
- Attacco Pass-the-Hash − Abbreviato come PtH, gli attacchi Pass-the-Hash sfruttano le vulnerabilità nel protocollo di autenticazione. Questi tipi di attacchi sono spesso utilizzati per violare password di Windows, sebbene possano verificarsi anche su altre piattaforme.
Come prevenire la violazione delle password?
La violazione delle password è senza dubbio una pratica preoccupante, qualcosa di cui tutti possiamo essere vittime. Detto ciò, non è detto che tu non possa fare nulla per ridurre le probabilità che le tue password vengano violate. Ecco alcuni semplici metodi:
Consiglio #1. Crea password robuste
Il primo passo per impedire che la tua password venga violata è impostare una password robusta sin dall'inizio. Poiché la password è la prima linea di difesa, dovrebbe essere il più solida possibile.
Ci sono molti aspetti da considerare per creare una password molto forte. Ad esempio, dovrebbe essere sufficientemente lunga e combinare lettere maiuscole e minuscole, oltre a numeri. Inoltre, gli indizi dovrebbero essere unici e difficili da indovinare.
Se ti stai chiedendo, "quanto è difficile da violare la mia password?" e vuoi assicurarti che sia abbastanza forte da scoraggiare qualsiasi attacco, ti consigliamo di leggere la nostra pagina dedicata sulle linee guida NIST per le password.
Consiglio #2. Usa un gestore di password affidabile
Oltre ad avere password robuste, dovresti anche utilizzare un gestore di password affidabile. Per cominciare, un gestore di password serve a uno scopo molto pratico, poiché ti libera dalla necessità di memorizzare le tue password.
Più importante, nel contesto di questa pagina, porta anche vantaggi in termini di sicurezza. Puoi generare password casuali robuste, utilizzare una funzione di completamento automatico e condividere le password in modo sicuro ogni volta che è necessario.
Consiglio #3. Usa 2FA e l'accesso senza password quando possibile
L'autenticazione a due fattori (2FA) sta guadagnando sempre più popolarità negli ultimi anni. E per una buona ragione. La 2FA fornisce un ulteriore livello di protezione e mantiene i tuoi account al sicuro anche se la tua password viene compromessa. Se un aggressore ottiene le tue credenziali di accesso, sarà comunque escluso senza ottenere l'approvazione al secondo fattore.
Considerando questo, si consiglia di abilitare l'autenticazione a due fattori ovunque sia possibile. Non richiede molto tempo ed è una misura che può salvarti da molti problemi se un attaccante ti prende di mira.
Inoltre, se vuoi ridurre ulteriormente la superficie d'attacco, considera l'idea di andare completamente senza password. Sebbene questo passo richieda un approccio più attento, eliminare l'uso delle password riduce i rischi associati alla sicurezza basata sulle password.
Lo strumento definitivo per la prevenzione della violazione delle password
Tenendo presente tutto quanto sopra, per garantire una protezione assoluta contro la violazione delle password, dovresti utilizzare diversi strumenti. Nel caso in cui desideri gestire simultaneamente le tue password dai servizi web legacy e utilizzare i vantaggi dell'autenticazione senza password moderna, avresti bisogno di almeno due dispositivi: un gestore di password e un token FIDO per accessi senza password. Ma, diciamocelo, questo non è molto conveniente.
Da questa prospettiva, il modo più efficace per prevenire la violazione delle password è utilizzare una chiave hardware unica che combina funzionalità e sicurezza. Il nostro Hideez Key 4 è un dispositivo tascabile che possiede tutte le funzionalità di un gestore di password di alta qualità, combinato con il supporto allo standard FIDO2 "senza password".
Inoltre, questo piccolo dispositivo può anche servire come blocco di prossimità intelligente per il tuo computer Windows, consentendoti di bloccare o sbloccare il dispositivo quando ti avvicini o lo lasci. Infine, puoi implementarlo come strumento di sicurezza principale sia a casa che in un ambiente aziendale. Contattaci per saperne di più o approfitta della nostra offerta di prova gratuita di 30 giorni!