211service.com
Honey Encryption farà impazzire gli aggressori con falsi segreti
Ari Juels , un ricercatore indipendente che in precedenza era capo scienziato presso la società di sicurezza informatica RSA, pensa che manchi qualcosa di importante nella crittografia che protegge i nostri dati sensibili: l'inganno.
Esche e inganni sono strumenti davvero sottoutilizzati nella sicurezza informatica fondamentale, afferma Juels. Insieme a Thomas Ristenpart dell'Università del Wisconsin, ha sviluppato un nuovo sistema di crittografia con una vena subdola. Fornisce ai dati crittografati un ulteriore livello di protezione fornendo dati falsi in risposta a ogni ipotesi errata della password o della chiave di crittografia. Se l'attaccante alla fine indovina correttamente, i dati reali dovrebbero andare persi tra la folla di dati falsi.
Il nuovo approccio potrebbe essere prezioso data la frequenza con cui grandi quantità di dati sensibili crittografati cadono nelle mani dei criminali. Ad esempio, nell'ottobre 2013 sono stati prelevati dai server Adobe circa 150 milioni di nomi utente e password.
Dopo aver acquisito dati crittografati, i criminali spesso utilizzano software per indovinare ripetutamente la password o la chiave crittografica utilizzata per proteggerli. Il design dei sistemi crittografici convenzionali rende facile sapere quando tale ipotesi è corretta o meno: la chiave sbagliata produce un pasticcio confuso, non un pezzo di dati grezzi riconoscibile.
L'approccio di Juels e Ristenpart, noto come Honey Encryption, rende più difficile per un utente malintenzionato sapere se ha indovinato correttamente una password o una chiave di crittografia. Quando viene utilizzata la chiave sbagliata per decrittografare qualcosa di protetto dal loro sistema, il software Honey Encryption genera una parte di dati falsi che assomiglia ai dati veri.
Se un utente malintenzionato utilizzasse un software per effettuare 10.000 tentativi di decrittografia di un numero di carta di credito, ad esempio, otterrebbe indietro 10.000 diversi numeri di carta di credito falsi. Ogni decrittazione sembrerà plausibile, afferma Juels. L'attaccante non ha modo di distinguere a priori quale sia corretto. Juels ha precedentemente lavorato con Ron Rivest, la R in RSA, per sviluppare un sistema chiamato Parole di miele per proteggere i database di password riempiendoli anche di password false.
Juels e Ristenpart presenteranno un paper su Honey Encryption al Eurocrypt conferenza sulla crittografia entro la fine dell'anno. Juels sta anche lavorando alla creazione di un sistema basato su di esso per proteggere i dati archiviati dai servizi di gestione delle password come LastPass e Dashlane . Questi servizi memorizzano tutte le diverse password di una persona in forma crittografata, protette da un'unica password principale, in modo che il software possa inserirle automaticamente nei siti Web.
I gestori di password sono un bersaglio gustoso per i criminali, afferma Juels. Ritiene che molte persone utilizzino una password principale non sicura per proteggere la propria raccolta. Il modo in cui sono costruiti scoraggia l'uso di una password complessa perché devi costantemente digitarla, anche su un dispositivo mobile in molti casi.
Juels prevede che se i criminali entrassero in possesso di un'ampia raccolta di depositi di password crittografati, potrebbero probabilmente sbloccarne molti senza troppi problemi indovinando le password principali. Ma se quei depositi fossero protetti con Honey Encryption, ogni tentativo errato di decifrare un deposito ne produrrebbe invece uno falso.
Hristo Bojinov, CEO e fondatore della società di software mobile Anfatto , che in precedenza ha lavorato al problema della protezione dei depositi di password come ricercatore di sicurezza, afferma che Honey Encryption potrebbe aiutare a ridurre la loro vulnerabilità. Ma osserva che non tutti i tipi di dati saranno facili da proteggere in questo modo poiché non è sempre possibile conoscere i dati crittografati in modo sufficientemente dettagliato per produrre falsi credibili. Non tutti i sistemi di autenticazione o crittografia si prestano ad essere 'miele'.
Juels è d'accordo, ma è convinto che ormai siano trapelati online abbastanza dump di password da rendere possibile la creazione di falsi che imitano accuratamente raccolte di password reali. Attualmente sta lavorando alla creazione del generatore di false password vault necessario per utilizzare Honey Encryption per proteggere i gestori di password. Questo generatore attingerà ai dati da una piccola raccolta di depositi di password trapelati, diverse grandi raccolte di password trapelate e un modello di utilizzo delle password nel mondo reale integrato in un potente cracker di password.