Bastano 12 minuti per violare una password di 8 caratteri

Apr 24, 2023 Dario Orlandi Approfondimenti, News, Privacy, RSS, Tecnologia 0

---

Dal 2020 Hive Systems effettua un’analisi della robustezza delle password, che prende in considerazione lo stato dell’hardware, gli sviluppi del software e gli altri principali parametri che possono incidere sui tempi di violazione da parte di un ipotetico attaccante.

I risultati sono sintetizzati nella Hive Systems Password Table, un’infografica colorata che mostra la relativa forza di una password crittografata contro un tentativo di cracking, in base alla lunghezza della password, alla complessità, all’algoritmo di hashing utilizzato dalla vittima e all’hardware utilizzato dall’attaccante.

I dati si basano su quanto tempo impiegherebbe un attaccante con un budget limitato a violare l’hash della password utilizzando un computer desktop con una scheda grafica di fascia alta e quanto tempo impiegherebbe un attaccante con un budget elevato utilizzando le risorse di calcolo cloud.

Novità nell’hardware

Il primo elemento che emerge dalla nuova edizione della ricerca è la crescita nella potenza di calcolo disponibile: nel 2018, la scheda RTX 2080 aveva una capacità di calcolo pari a circa 37 miliardi di hash al secondo (H/s), generalmente approssimati per eccesso a 40. Nel 2020, la scheda RTX 3090 era in grado di crackare circa 70 miliardi di H/s, che sono saliti a ben 164 con l’avvento della nuova RTX 4090, lanciata lo scorso anno.

Tali risultati dimostrano l’evoluzione costante dell’hardware e la necessità di considerare attentamente le prestazioni degli strumenti utilizzati per valutare la sicurezza delle password.

L’analisi è proseguita passando ad analizzare le prestazioni ottenibili con l’utilizzo di capacità di calcolo via cloud, che dimostra come sia possibile “scalare” rapidamente le prestazioni passando dalle 4 ore della “vecchia” RTX2080 del 2020 a soli 12 minuti utilizzando soltanto 12 Gpu Nvidia A100.

I tempi si riferiscono al calcolo dell’hash MD5 per una password di 8 caratteri che comprenda numeri, caratteri minuscoli e maiuscoli e anche simboli speciali. Naturalmente, questi calcoli sono un massimo teorico, ottenibile nelle condizioni ideali disponendo cioè dell’hash della password da violare.

Il dato che emerge mostra come una password di otto caratteri, anche in presenza di tutte le caratteristiche di robustezza spesso richiesto dai sistemi di autenticazione, non è in grado di garantire un’adeguata protezione.

La potenza di calcolo di ChatGPT

Hive Systems ha anche analizzato l’estremo superiore dello spettro delle capacità di calcolo, ipotizzando di utilizzare per il cracking delle password l’intero sistema che è stato sfruttato per il training di ChatGPT: secondo le dichiarazioni di Microsoft, il supercomputer cloud basato su Azure poteva contare su 10.000 Gpu Nvidia A100.

I tempi di calcolo presunti si abbassano moltissimo, rendendo alla portata degli attaccanti anche le password da 10 o 11 caratteri; perfino 12 caratteri possono essere violati in meno di 8 mesi. In base ai calcoli di Hive Systems, servono almeno 15 caratteri (con rappresentanti di ogni categoria) per stare ragionevolmente tranquilli.

---

• bruteforce, Cloud, Hive Systems, MD5, Password

---

---