È noto che avere una password forte e complessa è una buona pratica. Bene, lo è però?

La password " Th1S^ $@P @$$w0rD" sembra forte, vero? ma cosa succede se ti dico che può essere rotto?

Cos'è una password complessa e cos'è una password debole?

Una password complessa è qualcosa di unico , deve essere difficile da indovinare o decifrare per gli aggressori. Le password complesse spesso includono una combinazione di lettere maiuscole e minuscole, numeri e caratteri speciali. Evitano inoltre di utilizzare informazioni facilmente indovinabili come informazioni personali, parole o frasi comuni o schemi sulla tastiera. Una password complessa utilizza anche un mix di caratteri e non segue uno schema prevedibile.

Una password debole sarebbe fondamentalmente simile a questa: "password123", "qwerty", "admin" o "123456" . Aggiungere informazioni personali alla tua password è una cattiva idea. Se un utente malintenzionato ti conosce o se la tua presenza sui social media è enorme, diventa davvero facile per l'attaccante.

Tu sei Giovanni. Hai la tua biografia su Instagram che assomiglia a questa: "Atterrato il 1 gennaio" e la tua password è in realtà "J0hN0101". Sei nei guai amico mio. Un utente malintenzionato può utilizzare queste informazioni per indovinare la tua password perché è importante notare che un utente malintenzionato verifica sempre l'ipotesi più ovvia all'inizio perché gli esseri umani sono davvero l'anello più debole .

Quindi avere password complesse e complesse deve fornire maggiore sicurezza, giusto? Beh, sì e no.

Le password complesse possono rallentare gli aggressori nell'indovinare e decifrare, ma le più potenti e complesse diventano nulle nel caso di un attacco di phishing .

È anche importante sapere che le tue password lunghe e complesse con più caratteri alfanumerici devono essere univoche e non banali.

Password come "Th1S^ $@P @$$w0rD" potrebbero sembrare forti e sicure, ma gli hacker possono effettivamente testare nuove modifiche ai loro strumenti e capirlo inizialmente.

Gli hacker utilizzano varie tecniche per decifrare password complesse e alcune delle tecniche più comuni sono:

1. Attacchi di forza bruta: questo metodo prevede di indovinare ogni possibile combinazione di caratteri fino a quando non viene trovata la password corretta. Gli attacchi di forza bruta possono essere efficaci, ma possono richiedere molto tempo e risorse, soprattutto per le password complesse.
2. Attacchi del dizionario: questo metodo prevede l'utilizzo di un elenco di password o parole di uso comune trovate in un dizionario per indovinare la password. Gli hacker utilizzano strumenti automatizzati per testare rapidamente diverse parole e frasi dall'elenco del dizionario.
3. Attacchi alla tabella arcobaleno: questo metodo prevede l'utilizzo di tabelle precalcolate di hash delle password per trovare rapidamente la password in testo normale. Le tabelle Rainbow sono grandi database di hash precalcolati per password comuni e gli hacker possono utilizzare queste tabelle per trovare rapidamente la password corrispondente per un determinato hash.
4. Ingegneria sociale: questo metodo consiste nell'ingannare l'utente a rivelare la propria password attraverso tecniche come phishing, adescamento o pretesto. Gli hacker possono creare siti Web o e-mail falsi convincenti che sembrano legittimi e indurre l'utente a rivelare la propria password.
5. Riutilizzo della password: questo metodo prevede l'utilizzo di una password che è stata precedentemente trapelata in una violazione dei dati o in un altro incidente di sicurezza per ottenere l'accesso a un account diverso che utilizza la stessa password. Gli hacker possono ottenere elenchi di password trapelate e utilizzarle per cercare di ottenere l'accesso ad altri account.

"ppwjK!C$p8g²B" è una password sicura. "Th1S^ $@P @$$w0rD" non lo è

Lascia che ti mostri un esempio di come anche alcune password che sembrano uniche possono essere violate.

Considera la password: Th1S^ $@P @$$w0rD

Sembra complesso e forte, vero? ma non lo è.

Fa eco a "questa è una password" ma in un modo cosiddetto sofisticato.

Supponiamo che questa password "Th1S^ $@P @$$w0rD" sia stata coinvolta in una violazione dei dati e che l'elenco delle password violate sia stato consultato da un utente malintenzionato.

Immagina di avere una password simile a questa. e hai riutilizzato la stessa password per più siti web e uno dei dati del sito web è stato recentemente violato.

Ogni password viene sottoposta a hash (codificata) e archiviata. Consideriamo uno degli algoritmi di hashing più comunemente usati MD-5 . L'hash MD-5 (password codificata) della password sarebbe:

Ogni volta che provo ad hackerare le password, posso accedere solo agli hash della password e non alla password effettiva. Consideriamo che ho provato ad accedere a questo hash dal tuo dispositivo o dal database di un server. Ora,

Ho l'hash della tua password memorizzato in un file di testo chiamato Crack.txt .

E ho l' elenco di parole (elenco di password da una violazione dei dati) con la tua password al suo interno .

Posso utilizzare queste risorse e script creati per decifrare la password per decifrare la tua password

Quindi cosa si può fare?

MFA/2FA per la vittoria . Usa l'autenticazione a più fattori quando e dove puoi. Aggiunge un altro livello di sicurezza e rende difficile per gli aggressori determinare o violare quel livello aggiuntivo.

Utilizzo di password complesse univoche . password come "ppwjK!C$p8g²B" sono difficili da decifrare. Generare password come queste e ricordarle può essere una seccatura. Apprezza l'uso dei gestori di password

Limita l'uso di password contenenti informazioni personali su di te disponibili online (la tua data di nascita, la data di nascita del tuo partner, anniversari, ecc.)

Evitare di riutilizzare le stesse password per applicazioni diverse.

Proteggi le tue password. Diffondere la consapevolezza. Vivi serenamente nello spazio digitale.

Altre risorse:

https://www.tomsguide.com/news/microsoft-says-password-strength-doesnt-matter-heres-why-it-does

https://www.hotspotshield.com/blog/stay-secure-from-how-to-hack-passwords/#:~:text=While%20you%20might%20think%20a,will%20figure%20out%20your%20password.

https://resources.infosecinstitute.com/topic/password-security-complexity-vs-length/#:~:text=Strong%20and%20complex%20%E2%80%93%20Strong%20passwords,guessing%20and%20brute%2Dforce%20attacks.

Utilizzo di buone pratiche di password