211service.com
La crittografia intelligente può aiutare a limitare i danni causati dalla megaviolazione di MyFitnessPal
ZDNet
Non sembra buono per Under Armour. Il gigante dell'abbigliamento e proprietario dell'app di monitoraggio della dieta MyFitnessPal appena sofferto una delle più grandi violazioni dei dati nella storia della sicurezza informatica, con gli hacker che riescono a farla franca con informazioni tra cui nomi utente, indirizzi e-mail e password associati a circa 150 milioni di account.
Ma non tutti gli hack sono ugualmente disastrosi e questo potrebbe rivelarsi meno dannoso di altre enormi perdite grazie all'uso da parte di Under Armour di una tecnologia chiamata bcrypt per proteggere molte delle password rubate.
Per capire perché bcrypt è importante, è utile un po' di background sulle difese crittografiche. L'approccio di base alla protezione delle password prevede l'hashing, che le converte in stringhe casuali di caratteri archiviate in un database. Quando qualcuno accede con una password in testo normale, la versione con hash di questa viene confrontata con l'hash della password recuperata dal database; se c'è una corrispondenza, l'accesso è concesso. Se gli hacker entrano nel database, ottengono solo gli hash, non le password effettive.
Gli hash non sono progettati per essere invertiti in testo normale, ma ciò non impedisce ai cattivi di provarci. Tra le tattiche che usano ci sono gli attacchi ai dizionari, che implicano l'hashing di password e frasi comuni per vedere se queste corrispondono ai dati crittografati che sono stati rubati, e gli attacchi di forza bruta, che provano ogni possibile combinazione di caratteri fino a una determinata lunghezza per svelare un hash .
Per rendere la vita degli hacker più difficili, i difensori intelligenti usano spesso il salting, che è un linguaggio crittografico per aggiungere caratteri generati casualmente a una password in testo semplice prima che venga eseguita l'hashing. Ciò garantisce che non ci siano due password con lo stesso hash. Sebbene il salting sia una rovina per gli hacker, possono comunque provare a violare i codici individualizzati usando la forza bruta e gli attacchi del dizionario.
È qui che entra in gioco bcrypt. Oltre a utilizzare il salting, estende la quantità di tempo necessaria per eseguire una funzione hash richiedendo più cicli di calcolo per ottenere un risultato. È deliberatamente progettato per essere colossalmente lento, spiega Paul Kocher, consulente tecnologico senior di Rambus e noto esperto di crittografia.
La lentezza qui è ancora misurata in millisecondi, quindi l'impatto sull'esperienza dell'utente di accedere a un'app o a un sito è appena percettibile. Ma anche ritardi molto piccoli possono frustrare gli hacker che utilizzano hardware di computer di fascia alta per cercare di eseguire miliardi di hash al secondo. Tecnologie come bcrypt offrono alle aziende più tempo per rispondere a una violazione e agli utenti più tempo per modificare le proprie password. Under Armour è stato intelligente nell'usare bcrypt, anche se il motivo per cui non l'ha applicato a tutte le password associate a MyFitnessApp rimane un mistero. (Quelli non coperti da esso sono stati protetti utilizzando una funzione di hashing più debole nota come SHA-1.)
Il fatto che bcrypt possa solo ritardare gli hacker, non ostacolarli del tutto, significa che è comunque molto importante cambiare le password velocemente se ti viene notificato che un servizio che usi è stato violato ed evitare di usare la stessa password su più applicazioni. È anche il motivo per cui vale la pena utilizzare password difficili da indovinare piuttosto che quelle comuni che possono essere rapidamente eliminate dagli hacker hacker.