Password Hashing: come i siti web conservano realmente le tue password

Ci immergiamo nel mondo delle funzioni crittografiche di hash, spieghiamo la differenza rispetto alla crittografia e ti mostriamo perché tecniche come il 'salting' sono oggi indispensabili. Scopri perché un buon sistema non ha affatto bisogno di conoscere la tua password per sapere che è corretta. Questa conoscenza ti aiuta a capire perché alcune regole di sicurezza (come la lunghezza della password) sono così importanti. Benvenuto nella sala macchine della sicurezza informatica.

La differenza più importante prima di tutto: la crittografia è una strada a doppio senso. Con la chiave giusta si possono riportare i dati allo stato originale. L'hashing, invece, è una strada a senso unico. Una funzione di hash prende un input (la tua password) e ne calcola un valore fisso (l'hash).

Da questo hash non è più possibile calcolare matematicamente l'input originale. Quando effettui il login, il sito web calcola di nuovo l'hash di ciò che hai inserito e lo confronta con il valore memorizzato nel database. Se i due coincidono, la password era corretta. Il bello: l'azienda stessa non conosce mai la tua password in chiaro. Anche se il database viene rubato, i ladri hanno solo gli hash, con i quali, senza un'enorme potenza di calcolo, possono fare ben poco.

Gli hacker sono astuti. Calcolano in anticipo gli hash di milioni di password comuni (le cosiddette Rainbow Tables). Se due persone usano la stessa password, hanno lo stesso hash. Se l'hacker trova questo hash nella lista, conosce subito la password.

Qui entra in gioco il 'salting'. Un 'salt' è una sequenza di caratteri casuale che viene aggiunta alla tua password prima dell'hashing. Il risultato: anche se due persone hanno la stessa password, a causa di salt diversi generano hash completamente differenti. Questo rende impossibile l'uso delle Rainbow Tables. Ogni password deve essere violata singolarmente e con uno sforzo enorme. Un buon sistema genera per ogni password un nuovo salt casuale. È un metodo semplice, ma estremamente efficace, per respingere gli attacchi di massa.

Di norma vogliamo che i computer lavorino il più velocemente possibile. Con l'hashing è vero il contrario. I buoni algoritmi di hashing come Argon2 o bcrypt sono progettati intenzionalmente per essere 'lenti'. Richiedono qualche millisecondo in più di tempo di calcolo per ogni operazione.

Per un utente normale questo ritardo non è percettibile. Per un hacker che vuole testare miliardi di combinazioni al secondo, invece, è un ostacolo insormontabile. Ogni millisecondo aggiuntivo per ogni tentativo, moltiplicato per miliardi di tentativi, si somma fino a secoli di tempo di calcolo. Qui il tempo è la moneta della sicurezza. Quindi, se usi password lunghe, costringi gli algoritmi a prestazioni estreme che nessun aggressore può sostenere economicamente. La sicurezza informatica è spesso una corsa contro il tempo.

Quando nelle notizie senti parlare di un 'leak' in cui sono state rubate milioni di password, di solito significa che è stato sottratto il database con gli hash. Il pericolo per te dipende ora da quanto bene erano protetti quegli hash.

Erano salati e sottoposti a hashing con un algoritmo moderno? Allora i tuoi dati sono relativamente al sicuro, a patto che la tua password non fosse estremamente semplice (come 'password123'). Gli hacker ricorrono allora alla 'forza bruta': provano semplicemente delle password, ne calcolano l'hash e verificano se coincidono con il bottino rubato. Per questo la lunghezza della tua password è così decisiva: aumenta il numero delle combinazioni possibili in modo così forte da rendere un riscontro statisticamente impossibile. Su SavePaper.work consigliamo perciò di usare sempre il nostro generatore di password.

Comprendere l'hashing ti mostra perché certi comportamenti sono così importanti. Ecco 3 lezioni che arrivano dalla tecnica:

1. La lunghezza della password è tutto: più lunga è la password, più inutile è l'hash per un attacco di forza bruta.
2. Unicità: se un hash viene violato, dovrebbe valere per un solo servizio.
3. Fiducia nella tecnica: usa servizi che adottano standard moderni (come Argon2).
   
   La conoscenza tecnica toglie la paura del mondo digitale e la sostituisce con un agire competente. Noi di SavePaper.work vogliamo accompagnarti in questo percorso e metterti in mano gli strumenti di cui hai bisogno per la tua sicurezza. L'istruzione è la migliore protezione.