Sei Sicuro che ti Serve la Password?

Spesso mi viene chiesto come si trova la password di questo o quel sistema, o di un’email. E’ diffuso nel senso comune il fatto che gli hacker ottengano i loro successi indovinando le password, o che abbiano misteriosi strumenti e software in grado di ottenerle.

In parte è vero, ma non sempre. E’ vero che il password guessing o il brute forcing fanno parte del bagaglio di qualsiasi hacker. Ma è anche vero che spesso il password cracking viene effettuato dopo che l’intrusione è avvenuta: come si fa a craccare un file delle password se non si ha il file delle password?

L’intrusione informatica non va di pari passo con la conoscenza di una password. La conoscenza della password può avvenire in una fase successiva, ma non é indispensabile per l’accesso al sistema.
Possiamo dire che in tutte le intrusioni gli hacker ottengono le password, ma non hanno bisogno delle password per effettuare le intrusioni.

E’ abbastanza comune che un’intrusione avvenga sfruttando un bug o una configurazione sbagliata. E’ possibile ottenere un accesso da remoto eseguendo un exploit, attaccando per esempio un buffer overflow di un servizio Internet, ottenendo così una shell di sistema. A questo punto, dopo una eventuale scalata di privilegi, si prende il file delle password e si tenta di craccarlo, per garantirsi un accesso futuro (anche dopo che il bug sia stato riparato).

Nel caso di un servizio web come una webmail, si potrebbe tentare di dirottare una sessione intercettando il cookie con l’ID di sessione, cosa che garantirebbe l’accesso alla webmail stessa senza conoscere nessuna password.

Quindi il problema della password è secondario. La vera domanda è: che cosa voglio ottenere? Quale informazione voglio scoprire?. Una volta definito con chiarezza l’obiettivo può anche risultare evidente che lo si può ottenere senza avere nessuna password.

E se alla fine dell’analisi l’informazione che si vuole ottenere è proprio la password, non ci si intestardisca a cercarla con fatica in un posto quando la si potrebbe trovare con facilità in un altro.

2 Trackbacks / Pingbacks

  1. La Password e la Crittografia | PillolHacking.Net
  2. Attaccare Windows con la Null Session | PillolHacking.Net

I commenti sono bloccati.