Per proteggere le password dagli hacker, è sufficiente suddividerle in bit

Un nuovo modo per i siti Web e altri servizi online di archiviare le password potrebbe prevenire violazioni come quella che ha portato a 6,5 ​​milioni di utenti LinkedIn che hanno pubblicato le loro password online all'inizio di quest'anno.

Questo tipo di dump dei dati si verifica quando un utente malintenzionato ottiene l'accesso al server che memorizza le password degli utenti. I ricercatori della società di sicurezza informatica RSA hanno creato un sistema che divide le password in due e memorizza ciascuna metà in posizioni diverse. Le due metà non si incontrano mai, anche quando una persona accede e verifica la password. Ciò dovrebbe rendere più difficile per qualcuno rubarli, perché un ladro dovrebbe entrare in entrambi i server, che possono essere protetti in modi diversi.

L'archiviazione delle password è sempre più problematica a causa della crescente frequenza delle violazioni, ma anche perché le conseguenze di esse sono aumentate, afferma Ari Juels , che dirige i laboratori di ricerca di RSA a Cambridge, nel Massachusetts. Juels afferma che perdere il controllo di un account online può fornire agli aggressori informazioni per aiutare a entrare in altri e molte persone semplicemente riutilizzano comunque le password su più account.

Sebbene LinkedIn e molte altre società crittografino le password, quindi i loro server non contengono la stringa esatta digitata da un utente, gli aggressori dispongono di una gamma di strumenti in grado di invertire questa crittografia, afferma Juels. Anche le migliori pratiche, che LinkedIn non ha utilizzato, possono essere violate.

La nostra opinione è che sia meglio che password e altre credenziali non vengano archiviate in un unico posto, afferma Juels, rendendo più difficile per un utente malintenzionato ottenere tutto ciò di cui ha bisogno per ricreare la password di una persona.

Il nuovo schema di RSA funziona suddividendo una password in tanti piccoli pezzi e memorizzandone metà, selezionati a caso, in un posto e il resto in un altro. RSA chiama l'approccio protezione distribuita delle credenziali. Se una posizione viene attaccata, le password sono ancora al sicuro, afferma Juels. Dove la magia entra in gioco è la capacità del sistema di controllare le password senza riassemblarle.

Quando una persona accede a un sistema utilizzando la protezione delle credenziali distribuite, la password fornita viene suddivisa in due stringhe di dati crittografate. Ogni stringa viene quindi inviata a uno dei due server di password, dove viene combinata con la metà della password memorizzata su quel server per creare una nuova stringa. I due server quindi confrontano queste due nuove stringhe per determinare se la password è corretta o meno. La matematica coinvolta significa che è impossibile determinare la password da una di queste stringhe o da entrambe combinate, quindi la password rimane sconosciuta anche se un utente malintenzionato può catturare le stringhe.

I due server coinvolti possono essere configurati con diversi sistemi operativi e in posizioni diverse, afferma Juels, quindi il furto delle password richiede il montaggio di due attacchi separati con successo. Anche questi dovrebbero avvenire in breve tempo, perché il sistema aggiorna periodicamente quale metà casuale dei frammenti di una password è memorizzata su ciascun server.

Il software sarà in vendita entro la fine dell'anno, afferma Juels.

Il nuovo approccio di RSA è una versione di una tecnica nota come crittografia a soglia, che è stata a lungo esplorata dai ricercatori. Il concetto non è nuovo, ma questa sarebbe la prima volta che viene distribuito al grande pubblico, afferma Dan Boneh , un professore della Stanford University che ha studiato tali progetti. La crittografia a soglia viene utilizzata dietro le quinte dalle società, note come autorità di certificazione, che emettono i certificati di sicurezza digitale che aiutano i computer e i browser Web a sapere di quali server fidarsi, ad esempio quando si accede a un sito Web bancario.

Un modo per aumentare l'efficacia dell'approccio sarebbe dividere password o segreti su più di due server, afferma Boneh. Juels afferma che RSA prevede di renderlo possibile in futuro e di rilasciare software che renda possibile utilizzare l'approccio di suddivisione del segreto per proteggere i dati crittografati, ad esempio per i file archiviati in un servizio cloud.

Tuttavia, osserva Boneh, ci sono altri modi per rubare i segreti di una persona. Con la gestione delle password, spesso la preoccupazione principale è l'utente finale: se la macchina dell'utente è infettata da malware, c'è poco da fare per proteggerli senza ricorrere a un token fisico, afferma Boneh, riferendosi ai sistemi che richiedono alle persone di portare con sé un portachiavi o utilizzare un'app per telefono per fornire una password temporanea ogni volta che effettuano l'accesso.

Questo approccio, noto come autenticazione a due fattori, è solitamente richiesto solo per gli account aziendali o finanziari, ma Google e Facebook ora lo offrono per i loro account online a causa del vivace commercio di compromettere tali account.

nascondere