Che cos'è un attacco di forza bruta?

Un attacco di forza bruta è un metodo di cracking popolare che consiste nell'indovinare nomi utente e password per ottenere l'accesso non autorizzato a un sistema o a dati sensibili. Sebbene siano relativamente semplici, i metodi di forza bruta continuano ad avere un alto tasso di successo e rappresentano oltre l'80% degli attacchi alle applicazioni web.

Mentre alcuni aggressori continuano a eseguire attacchi manuali di forza bruta, la maggior parte utilizza strumenti e script automatizzati che sfruttano le combinazioni di password di uso comune per aggirare i processi di autenticazione o tentare di accedere ai dati crittografati cercando l'ID di sessione corretto. Altri obiettivi comuni per gli attacchi di forza bruta sono le chiavi API e gli accessi SSH.

E sempre più spesso, gli aggressori utilizzano credenziali utente reali ottenute da fughe di dati, violazioni dei dati o dal dark web.

Qual è lo scopo di un attacco di forza bruta?

Lo scopo degli attacchi di forza bruta può variare dal furto di informazioni personali e dall'interruzione del servizio all'infezione dei visitatori delle pagine Web con malware o ransomware.

Gli attacchi di forza bruta possono verificarsi anche nelle prime fasi di attacchi informatici più sofisticati, in genere come forma di ricognizione o infiltrazione iniziale nel primo livello di sicurezza.

Per lanciare un attacco informatico, gli aggressori devono ottenere un punto di ingresso. Le tecniche di forza bruta sono un metodo "imposta e dimentica" per ottenere l'accesso.

Se l'attacco di forza bruta funziona, gli aggressori possono utilizzare l'escalation dei privilegi o abusare di un controllo di accesso scadente per ottenere un accesso aggiuntivo. Questo è il motivo per cui password complesse, difesa approfondita e il principio del privilegio minimo sono parti importanti di qualsiasi strategia di sicurezza informatica.

Inoltre, gli attacchi di forza bruta possono essere utilizzati per verificare se indirizzi diversi restituiscono pagine Web valide che potrebbero essere sfruttate a causa di vulnerabilità note.

Che aspetto ha un attacco di forza bruta?

Non è raro ricevere un'e-mail da un fornitore di terze parti o da un fornitore di servizi che ti informa che qualcuno ha tentato di accedere al tuo account da una posizione casuale.

Quando ciò accade, può essere un'indicazione che sei caduto vittima di un attacco di forza bruta. Se questo accade a te, ti suggeriamo di aggiornare immediatamente le tue password.

In effetti, molte organizzazioni attente alla sicurezza ruotano o cambiano le password su base regolare per ridurre al minimo il rischio di attacchi di forza bruta non rilevati o non segnalati.

Se sospetti che la tua organizzazione o i tuoi utenti siano sotto attacco, ecco alcune cose da cercare:

• Più tentativi di accesso non riusciti dallo stesso indirizzo IP
• Tentativi di accesso con più nomi utente dallo stesso indirizzo IP
• Più tentativi di accesso per un singolo nome utente proveniente da indirizzi IP diversi
• Un modello insolito nei tentativi di accesso non riusciti, ad esempio modelli alfabetici o numerici sequenziali
• Una quantità anomala di larghezza di banda utilizzata dopo un tentativo di accesso riuscito che potrebbe segnalare che qualcuno sta scaricando dati sensibili

Esempi di attacchi di forza bruta

Gli attacchi di forza bruta accadono continuamente e ci sono numerosi esempi di alto profilo:

• Alibaba: Nel 2016, gli aggressori hanno utilizzato un database di 99 milioni di nomi utente e password per compromettere quasi 21 milioni di account sul sito di e-commerce di Alibaba TaoBao in un massiccio attacco di forza bruta.
• Magento: Nel 2018, fino a 1.000 account open source sono stati colpiti da attacchi di forza bruta che hanno sfruttato password deboli per rubare informazioni e distribuire malware.
• Parlamento dell'Irlanda del Nord: nel 2018, diversi membri del Parlamento dell'Irlanda del Nord sono stati vittime di attacchi di forza bruta.
• Parlamento di Westminster: un attacco di forza bruta nel 2017 ha portato alla compromissione di fino a 90 account di posta elettronica.
• Firefox: nel 2018, è stato rivelato che la funzione di password principale di Firefox potrebbe essere facilmente forzata.

Quali sono i tipi di attacco di forza bruta?

• Attacchi di forza bruta semplici: un tipo generico di attacco che può utilizzare approcci diversi e sistematici per indovinare possibili password, ma non applica alcuna logica sottostante. Questo viene in genere utilizzato sui file locali in quanto non vi è alcun limite al numero di tentativi
• Attacchi a dizionario: questo tipo di attacco di forza bruta utilizza un elenco di parole e password comuni invece di iterare in modo casuale. Ciò può migliorare la percentuale di successo rispetto al cracking delle password di forza bruta, ma spesso richiede un gran numero di tentativi contro possibili obiettivi per indovinare la password corretta.
• Attacchi di forza bruta ibridi: un attacco ibrido usa sia un attacco a dizionario che modelli iterativi regolari. Invece di provare tutte le combinazioni possibili, eseguirà piccole modifiche alle parole in un dizionario, come l'aggiunta di caratteri speciali o la modifica delle maiuscole e delle lettere.
• Attacchi alla tabella arcobaleno: una tabella precalcolata per invertire le funzioni hash crittografiche, utilizzata per indovinare una funzione fino a una certa lunghezza costituita da un insieme limitato di caratteri
• Attacco di forza bruta inversa: utilizza una raccolta di password comuni rispetto a molti possibili nomi utente per ottenere l'accesso. In genere si rivolge agli utenti noti per l'utilizzo di password deboli
• Credential stuffing: utilizza combinazioni di nome utente-password esposte nelle più grandi violazioni dei dati, fughe di dati o truffe di phishing e le prova su più siti web. Il credential stuffing può avere un buon tasso di successo poiché le persone riutilizzano lo stesso nome utente e password in tutte le applicazioni web.

Come prevenire gli attacchi di forza bruta

Poiché gli attacchi di forza bruta non si basano su vulnerabilità o exploit, mantenere aggiornato il software non è sufficiente per proteggersi. Alcuni metodi comuni che puoi utilizzare per prevenire gli attacchi di forza bruta:

1. Usa password complesse
2. Limitare l'accesso agli URL di autenticazione
3. Limita i tentativi di accesso
4. Utilizzare i CAPTCHA
5. Applicare l'autenticazione a due fattori (2FA) o l'autenticazione a più fattori (MFA)

Usa password complesse

Gli attacchi di forza bruta si basano su password riutilizzate o deboli. Le password che hanno le seguenti caratteristiche possono prevenire attacchi di forza bruta:

• Univoco: evita di riutilizzare le password, anche se si tratta di password complesse poiché i siti Web possono essere compromessi e le password possono essere violate. Riutilizzando le password, offri agli aggressori un modo semplice per ottenere l'accesso non autorizzato ai tuoi account su altri siti web.
• Lunghe: a parità di condizioni, le password più lunghe sono più difficili da decifrare rispetto a quelle più brevi. Ad esempio, una password di nove caratteri richiede molto più tempo per la forza bruta rispetto a una password di otto caratteri e una password di otto caratteri richiede molto più tempo di una password di sette caratteri. Una volta che il conteggio dei caratteri ha superato un certo punto, la forza bruta di una password correttamente randomizzata diventa irrealistica.
• Complesso: sebbene le password semplici siano facili da ricordare, spesso sono anche semplici da decifrare. Ti consigliamo di utilizzare un gestore di password per generare password robuste per te.

Leggi la nostra guida su come creare una password complessa qui.

Gli utenti iOS possono imparare a controllare la sicurezza delle loro password qui.

Limitare l'accesso agli URL di autenticazione

Affinché un attacco di forza bruta funzioni, deve essere in grado di testare le credenziali su una pagina di accesso. Molti URL automatizzati utilizzano l'URL predefinito della pagina di accesso e scansionano il Web alla ricerca di vittime.

Ad esempio, uno strumento di attacco di forza bruta potrebbe scansionare il Web alla ricerca di siti WordPress e accedere a /wp-login.php, la pagina di accesso predefinita di WordPress.

Cambiare /wp-login.php in /yoursite-login può essere sufficiente per mitigare il rischio di molti attacchi automatizzati. Sfortunatamente, questo non funzionerà per attacchi più mirati o se la pagina è collegata da altre parti del tuo sito.

Limita i tentativi di accesso

Gli attacchi di forza bruta si basano sulla possibilità di tentare più password e account in una singola sessione. Prendere in considerazione l'utilizzo della funzionalità di blocco per limitare il numero di volte in cui è possibile testare un accesso errato.

Un modo comune per farlo è quello di vietare temporaneamente a un indirizzo IP di accedere dopo tre tentativi falliti, mentre gli errori successivi vengono esclusi per periodi sempre più lunghi.

Utilizzare i CAPTCHA

Un CAPTCHA è un tipo di test challenge-response utilizzato in informatica per determinare se l'utente è umano o meno. Utilizzando una soluzione CAPTCHA, puoi impedire ai bot e agli strumenti automatizzati di testare le combinazioni di nome utente e password sul tuo sito web, costringendoli a completare una sfida prima di inviare il modulo.

reCAPTCHA è un servizio di sicurezza gratuito che protegge i tuoi siti web da spam, abusi e attacchi di forza bruta forniti da Google.

Applica l'autenticazione a due fattori

L'autenticazione a due fattori impedisce che la compromissione di un singolo fattore di autenticazione (come una password) comprometta l'account. Il meccanismo funziona in genere richiedendo le informazioni di accesso tradizionali, quindi inviando una conferma a un dispositivo, di solito uno smartphone, come un SMS, una telefonata o una schermata di verifica della sicurezza in-app.

Idealmente, solo la persona autorizzata avrebbe lo smartphone e potrebbe quindi accettare o rifiutare le richieste di autenticazione a seconda delle necessità. Meccanismi più avanzati possono richiedere la bioautenticazione, come il passaggio dell'impronta digitale, che impedisce l'utilizzo di telefoni smarriti o rubati per emettere false conferme.

Strumenti popolari per l'attacco di forza bruta

Esistono numerosi strumenti di attacco di forza bruta popolari:

• THC-Hydra: Esegue un gran numero di combinazioni di password tramite semplici attacchi di forza bruta o basati su dizionari e può attaccare più di 50 protocolli e più sistemi operativi.
• Aircrack-ng: Una suite software di rete composta da un rilevatore, sniffer di pacchetti, cracker WEP e WPA/WPA2-PSK e uno strumento di analisi per LAN wireless 802.11. Può essere utilizzato su Windows, Linux, iOS e Android e utilizza un dizionario di password ampiamente utilizzate per violare la sicurezza della rete.
• John the Ripper: uno strumento software gratuito per il cracking delle password. Originariamente sviluppato per il sistema operativo Unix, può essere eseguito su quindici piattaforme diverse.
• L0phtCrack: un'applicazione di controllo e recupero delle password utilizzata per testare la forza della passphrase e per recuperare le password perse di Microsoft Windows utilizzando attacchi a dizionario, forza bruta, ibridi e tabelle arcobaleno.
• Hashcat: uno strumento di recupero password che era una base di codice proprietaria fino a quando non è stato reso open source nel 2015. Esempi di algoritmi di hashing supportati da Hashcat sono gli hash Microsoft LM, MD4, MD5, la famiglia SHA, i formati Unix Crypt, MySQL e Cisco PIX.
• DaveGrohl: un cracker di password di forza bruta per MacOS. Supporta tutti gli hash delle password utente standard di Mac OS X (MD4, SHA-512 e PBKDF2) utilizzati a partire da OS X Lion e può anche estrarli formattati per altri popolari cracker di password come John the Ripper.
• Ncrack: Un programma di cracking delle password Unix progettato per consentire agli amministratori di sistema di individuare gli utenti che potrebbero avere password deboli vulnerabili a un attacco a dizionario.

UpGuard BreachIl modulo per le violazioni dell'identità di Sight cerca le violazioni dei dati di terze parti sul web aperto, profondo e oscuro e mostra dove sono state esposte le credenziali di un dipendente. Se troviamo una corrispondenza, aggiungeremo il nome della violazione, il rischio, i dati esposti, la data della violazione, la data di pubblicazione, lo stato della notifica e il numero di dipendenti esposti al tuo account UpGuard.

La gravità di una violazione dipende dal tipo e dalla quantità di dati esposti. Ad esempio, una violazione dei dati che include password potrebbe comportare l'accesso non autorizzato da parte di utenti malintenzionati all'organizzazione utilizzando le credenziali esposte. Questo esempio richiede che i dipendenti riutilizzino le password tra i servizi, il che non è raro.

Possiamo anche aiutarti a valutare gli altri controlli di sicurezza monitorando la tua organizzazione per 70+ controlli di sicurezza che forniscono una valutazione della sicurezza semplice e di facile comprensione e l'esposizione automatica dei dati nei bucket S3, nei server Rsync, nei repository GitHub e altro ancora.

UpGuard Vendor Risk può ridurre al minimo la quantità di tempo che l'organizzazione dedica alla valutazione dei controlli di sicurezza delle informazioni correlati e di terze parti, automatizzando i questionari dei fornitori e fornendo modelli di questionari dei fornitori. Possiamo anche aiutarti a confrontare istantaneamente i tuoi fornitori attuali e potenziali con il loro settore, in modo che tu possa vedere come si posizionano.

La principale differenza tra UpGuard e altri fornitori di valutazioni di sicurezza è che ci sono prove molto pubbliche della nostra esperienza nella prevenzione di violazioni e fughe di dati.

La nostra esperienza è stata descritta da The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters e TechCrunch. Puoi leggere di più su ciò che dicono i nostri clienti nelle recensioni di Gartner.

Se desideri visualizzare la valutazione della sicurezza della tua organizzazione, fai clic qui per richiedere la valutazione della sicurezza gratuita.