Password semplici e sicure

I ricercatori di Microsoft hanno escogitato un modo per creare password facili da ricordare senza rendere un sistema più vulnerabile agli hacker.

Invece di imporre password complesse, come fanno molte organizzazioni, il nuovo schema assicura che non più di pochi utenti possano avere la stessa password, il che ha un effetto complessivo simile sulla sicurezza. Ulteriori ricerche di Microsoft rivelano anche perché solo alcune organizzazioni insistono su password molto complesse.

Requisiti per le password sempre più complessi (regole come le password devono essere lunghe 14 caratteri e contenere almeno due lettere maiuscole, due minuscole e tre simboli) rendono difficile per gli aggressori indovinare le password utilizzando un cosiddetto attacco a dizionario, che implica il tentativo di molti possibili password in successione.

Senza tali restrizioni, le persone tendono a scegliere password facili da ricordare, facili da digitare e facili da indovinare. Ad esempio, quando 32 milioni di password dal sito di social media RockYou sono state rilasciate inavvertitamente lo scorso dicembre, quasi la metà è risultata essere password banali come cifre consecutive, parole del dizionario o nomi comuni, secondo un'analisi dello scorso gennaio dalla società di sicurezza Web imperva .

Richiedere che le password includano numeri, simboli e maiuscole e minuscole aumenta significativamente il numero di password possibili. Con tali regole, un attacco al dizionario diventa irrealizzabile, ma anche le password diventano più difficili da ricordare.

Un modo in cui i progettisti di sistema cercano di sconfiggere gli attacchi del dizionario è disabilitare temporaneamente un account quando viene inviata una password errata più di un paio di volte. Questo è chiamato blocco dell'account e non sorprende che gli aggressori abbiano scoperto un modo semplice per sconfiggere l'approccio. Invece di indovinare migliaia o milioni di password per un singolo account, gli aggressori semplicemente indovinano le password più comunemente usate per migliaia, o addirittura milioni, di account diversi.

Il nuovo schema di Microsoft Research elimina completamente i requisiti di complessità proteggendo sia dagli attacchi del dizionario che dalle ipotesi statistiche. Il servizio conta semplicemente quante volte un utente del servizio sceglie una determinata password. Quando più di un piccolo numero di utenti sceglie una password, la password viene bandita e nessun altro può sceglierla. Lo schema può essere utilizzato solo da organizzazioni con milioni di utenti, ad esempio siti Web come Hotmail di Microsoft.

L'approccio è descritto in un documento scritto da ricercatori Microsoft Stuart Schechter e Cormac Herley , che dovrebbe essere pubblicato alla conferenza Hot Topics in Security a Washington, DC, in agosto. Michael Mitzenmacher dell'Università di Harvard è anche coautore del documento.

La sostituzione delle regole di creazione delle password con limitazioni di popolarità ha il potenziale per aumentare sia la sicurezza che l'usabilità, scrivono gli autori. Dal momento che nessuna password può diventare troppo comune, gli aggressori vengono privati ​​delle password popolari di cui hanno bisogno per compromettere una fazione significativa di account utilizzando la possibilità di indovinare online.

Tuttavia, afferma Herley, non ci sono ancora piani per implementare il nuovo schema in nessun prodotto Microsoft. Non possiamo speculare sui piani dei prodotti Microsoft, dice. In questo momento lo stiamo solo diffondendo per ottenere feedback dalla comunità di ricerca sulla sicurezza.

Negli ultimi anni, i ricercatori nel campo emergente della sicurezza utilizzabile hanno esaminato con attenzione molte pratiche di sicurezza delle informazioni e hanno riscontrato che molte di esse mancano. Ad esempio, molti sistemi informatici bloccheranno gli account se un utente digita erroneamente la password per tre volte di seguito. Ma sette anni fa, Sascha Brostoff e Angela Sasse, due ricercatori dell'University College London nel Regno Unito, ha mostrato che aumentando quel numero da tre a 10 riduce drasticamente il numero di utenti legittimi che vengono bloccati, avendo solo un impatto trascurabile sulla sicurezza complessiva di un sistema.

La scorsa settimana, più di 200 ricercatori di sicurezza informatica di tutto il mondo si sono incontrati a Redmond, WA, all'annuale Simposio sulla privacy e la sicurezza utilizzabili discutere gli approcci per rendere i computer contemporaneamente più sicuri e più utilizzabili.

Un altro studio dei ricercatori Microsoft, presentato al simposio, spiega perché solo alcune organizzazioni hanno password eccessivamente complicate. Lo studio ha esaminato le politiche sulle password in 75 diversi siti Web, inclusi i 20 siti Web con i primi risultati in classifica e siti Web appartenenti a banche, grandi università e agenzie governative degli Stati Uniti. I ricercatori Microsoft Dinei Florencio e Cormac Herley non hanno trovato alcuna correlazione tra il valore dell'account di un consumatore, la quantità di attacchi che il sito Web ha subito e la complessità delle password che gli operatori del sito Web hanno imposto ai propri utenti.

Secondo lo studio , i siti Web in cui gli utenti possono scegliere tra più fornitori, ad esempio siti per banche e società di investimento, in genere hanno requisiti di password relativamente semplici. Questi siti proteggono le risorse dei loro utenti attraverso tecniche antifrode e le aziende non vogliono rendere troppo difficile l'accesso ai loro clienti.

Florencio e Herley hanno scoperto che i siti che avevano i requisiti di password più rigorosi erano quelli in cui gli utenti generalmente non avevano la possibilità di guardarsi intorno: siti come l'amministrazione della sicurezza sociale degli Stati Uniti, il servizio meteorologico nazionale e i sistemi di webmail per diverse grandi università. Per questi sistemi, le organizzazioni non hanno alcun incentivo monetario per bilanciare l'usabilità con la sicurezza o per trovare un altro modo per proteggere gli account utente.

La maggior parte delle organizzazioni ha professionisti della sicurezza che richiedono policy più solide, ma solo alcune hanno imperativi di usabilità abbastanza forti da respingere, aggiungono gli autori. Quando le voci che sostengono l'usabilità sono assenti o deboli, le misure di sicurezza diventano inutilmente restrittive.

Simson Garfinkel ha fatto parte del comitato di programma del Simposio 2010 sulla sicurezza e la privacy utilizzabili.

nascondere