Approfondimenti sugli hash: funzioni, algoritmi e applicazioni

Che cos'è un password manager derivativo?

Nel mondo digitale di oggi, la sicurezza delle password è più importante che mai. Poiché i criminali informatici sono costantemente alla ricerca di nuovi modi per accedere ai nostri account e rubare i nostri dati, uno dei modi migliori per proteggersi è utilizzare password forti e uniche per ogni account.

Tuttavia, ricordare password forti e uniche per tutti i nostri account può essere difficile. Ecco perché l'uso dei gestori di password è una soluzione sempre più diffusa. In generale, i dati di autenticazione in un gestore di password tradizionale incorporano sia l'utente che la password in un unico insieme di dati crittografati con una master password. La conoscenza della master password rivela la totalità dei dati di autenticazione protetti dal gestore tradizionale e, pertanto, un attacco mirato a determinare un singolo pezzo critico di dati può portare a una violazione catastrofica della sicurezza.

LISTHASH implementa una nuova forma di gestione delle password che incorpora punti di controllo multipli e consente una privacy assoluta dei dati di autenticazione dell'utente. Utilizzando funzioni di hash, fornisce i meccanismi necessari per creare password forti e sicure derivate dai dati forniti dall'utente nel processo di generazione delle password. Per questo motivo, LISTHASH viene definito un gestore di password derivativo, poiché da un dato di base ricava in modo caotico ma deterministico nuovi dati sufficientemente complessi da poter essere utilizzati come password.

Che cos'è la derivazione delle password da un seme master?

La derivazione di password da un seme master è un metodo per generare password sicure e uniche a partire da un dato segreto, noto come seme master. Il seme master può essere una frase, un pezzo di testo o una serie di dati la cui unica condizione è che sia abbastanza lungo e complesso da essere difficile da indovinare per un attaccante, ma che possa essere facilmente ricordato da un utente con una vasta conoscenza della sicurezza digitale.

Una volta ottenuto un seme master, è possibile utilizzare una funzione hash per generare password uniche per ogni account. Come abbiamo già detto, una funzione hash è una funzione matematica che prende un input (in questo caso, il seme master) e lo converte in un output (in questo caso, la password). L'output della funzione hash è sempre lo stesso a parità di input, ma è impossibile invertire la funzione per ottenere l'input dall'output.

Come funzionano gli hash per creare le password?

L'uso degli hash per creare le password è un modo semplice ma efficace per proteggere i dati di autenticazione. Combinando una frase, una chiave o un insieme di dati memorabili ma statisticamente complessi con una funzione di hash sicura, è possibile creare password uniche e difficili da indovinare che terranno i dati al sicuro dai criminali informatici. Il processo di base da seguire è il seguente:

1. Scegliete una frase, una chiave o un pezzo di dati che rappresenti un'informazione complessa e sicura, ma che sia facile da ricordare e non facilmente riconducibile all'utente: questo sarà il seme. Ad esempio, un frammento di libro, un'immagine specifica, un pezzo di dati visibile a occhio nudo ma indeterminato per un attaccante.

2. Utilizzare una funzione di hash, come SHA-256, per convertire il seme in un valore di hash univoco e in un elemento fondamentale e intermedio per il recupero dei dati di autenticazione.

3. Aggiunta di sale, o “salting”, per aumentare la sicurezza. In questo caso, il salting è un valore segreto, ad esempio una master password, che viene combinato con il seme prima che la funzione hash venga applicata una seconda volta, rendendo ancora più difficile per un attaccante decifrare la password recuperata.

4. Mappare il risultato dell'applicazione della funzione di hash finale in una stringa di caratteri alfanumerici del seme che può essere utilizzata come password.

Esistono rischi nell'utilizzo della derivazione della password da un seme master?

Il rischio principale dell'utilizzo della derivazione della password da un seme master è che se si perde il seme master o non lo si ricorda, oppure si dimenticano i dati utilizzati per salare il seme, sarà impossibile accedere ai propri account. Pertanto, è importante scegliere un seme master che possa essere ricordato solo dall'utente ma che sia impossibile da determinare per un attaccante.

Punti di controllo di LISTHASH

Per ottenere una privacy assoluta e la generazione di password forti e sicure, LISTHASH stabilisce tre punti di controllo nel suo processo di derivazione:

1. Seme: Inizialmente viene utilizzato un seme che non solo fornisce un dato univoco e sicuro, ma anche l'insieme dei caratteri che verranno impiegati dal gestore per la generazione della password. LISTHASH richiede che il seme contenga almeno 62 caratteri diversi per essere accettato dall'applicazione.

2. Elenco degli account: ogni account registrato in LISTHASH ha un identificatore unico ed è rappresentato con i dati del servizio, l'utente e la lunghezza della password da generare. Questi dati sono crittografati per impostazione predefinita, in modo da poterli esportare al di fuori del dispositivo che li memorizza.

3. Codici segreti: infine, per la generazione, l'utente fornisce dei codici segreti che solo lui può ricordare. Questi codici hanno il ruolo di aggiungere “sale” alla generazione finale della password, aumentando l'incertezza del risultato delle funzioni di hash.

Importante: La mancanza di informazioni specifiche in uno dei punti di controllo sopra indicati renderà impossibile l'accesso ai dati di autenticazione corretti. Pertanto, solo la conoscenza completa dei dati specifici in ogni punto di controllo consentirà di recuperare una password. Questo processo garantisce che la violazione di un massimo di due punti di controllo sia inutile per un aggressore nel suo tentativo di ottenere i dati di autenticazione dell'utente.

Inoltre, i gestori di password convenzionali forniscono un chiaro segnale all'aggressore quando riesce a compromettere la master password, poiché solo la decrittazione genera un risultato leggibile che consente l'accesso ai dati di autenticazione. Al contrario, i dati di controllo LISTHASH producono sempre valori di autenticazione leggibili ma non validi, poiché solo dati accurati e corretti a ogni punto di controllo corrispondono a dati di autenticazione validi. Un attacco a forza bruta in queste condizioni è ancora più inefficiente, in quanto richiede di testare ogni possibile combinazione direttamente sul servizio collegato a un account, e questo tipo di attacco può essere rapidamente mitigato dal superamento degli errori ammissibili da parte di un servizio.

Con LISTHASH, l'utente del gestore non è costretto a rinunciare alla propria privacy o ad affidare la sicurezza dei propri dati a un servizio cloud violabile.