Hashing e integrità dei dati

Una funzione di hash crittografica è un algoritmo matematico che accetta un input di qualsiasi dimensione e produce un output di lunghezza fissa chiamato hash, digest o impronta. Le funzioni di hash sono unidirezionali: dato un hash, dovrebbe essere computazionalmente impraticabile determinare l'input originale. Sono deterministiche: lo stesso input produce sempre lo stesso hash. Le funzioni di hash sono alla base della verifica dell'integrità dei dati, delle firme digitali, della memorizzazione delle password e di molti altri meccanismi di sicurezza.

Una funzione di hash crittografica sicura deve possedere quattro proprietà fondamentali. Resistenza alla preimmagine: dato un output hash, è computazionalmente impraticabile trovare un input che lo produca. Resistenza alla seconda preimmagine: dato un input, è impraticabile trovare un input diverso con lo stesso hash. Resistenza alle collisioni: è impraticabile trovare due input diversi che producano lo stesso output hash. Effetto valanga: la modifica anche di un solo bit dell'input causa un output hash completamente diverso, rendendo rilevabili le manomissioni.

MD5 (Message Digest 5) produce un hash di 128 bit ed è stato ampiamente utilizzato in passato. Tuttavia, nel 2004 i ricercatori hanno dimostrato l'esistenza di attacchi alle collisioni contro MD5, ovvero la possibilità di trovare due input diversi che producono lo stesso hash. Questo è catastrofico per la verifica dell'integrità: un attaccante potrebbe sostituire un file originale con un file dannoso avente lo stesso hash MD5. MD5 è completamente compromesso per la sicurezza crittografica e non deve essere utilizzato per la verifica dell'integrità, le firme digitali o l'hashing delle password. Talvolta è ancora utilizzato per checksum non legati alla sicurezza (verifica di file legacy), il che è accettabile esclusivamente per rilevare danneggiamenti accidentali.

La famiglia Secure Hash Algorithm (SHA) è l'insieme più importante di funzioni di hash per Security+. SHA-1 (160 bit) è stato lo standard per anni, ma nel 2017 è stato compromesso da un attacco pratico alle collisioni (il progetto SHAttered di Google) ed è ora deprecato. SHA-256 (parte della famiglia SHA-2, con output di 256 bit) è l'attuale standard del settore per le firme digitali, i certificati TLS e la verifica dell'integrità dei file. SHA-3 (Keccak) è l'algoritmo alternativo di NIST e offre resistenza agli attacchi che prendono di mira la struttura di SHA-2, sebbene SHA-256 rimanga la scelta predominante per la maggior parte delle applicazioni.

Memorizzare le password in chiaro non è mai accettabile. Quando un utente crea una password, nel database viene memorizzato un hash invece della password stessa. Quando l'utente accede, la password inserita viene sottoposta a hashing e confrontata con l'hash memorizzato. Tuttavia, SHA-256 standard è troppo veloce per la memorizzazione delle password: gli attaccanti usano GPU per testare miliardi di hash al secondo contro database di password rubati. Le funzioni di hashing delle password progettate appositamente, come bcrypt, PBKDF2 e Argon2, aggiungono un costo computazionale (fattori di lavoro) e requisiti di memoria che rendono impraticabile il cracking su larga scala.

Una rainbow table è una tabella di ricerca precalcolata che associa le password comuni ai relativi hash, consentendo a un attaccante di cercare istantaneamente un hash e trovare la password originale. Per contrastare le rainbow table, gli hash delle password devono essere sottoposti a salt. Un salt è un valore casuale aggiunto alla password prima dell'hashing, che rende unico l'hash di ogni utente anche quando due utenti hanno la stessa password. Il salt viene memorizzato insieme all'hash e non deve essere segreto. Anche se un attaccante dispone dell'intero database delle password, le rainbow table precalcolate sono inutili perché per ogni hash è stato utilizzato un salt diverso.

HMAC (Hash-based Message Authentication Code) è una costruzione che usa una funzione di hash con una chiave segreta per produrre un codice di autenticazione. A differenza di un semplice hash, un HMAC può essere calcolato e verificato solo dalle parti che conoscono la chiave segreta. In questo modo garantisce sia l'integrità (rilevando le modifiche) sia l'autenticazione (dimostrando che il messaggio proviene da qualcuno in possesso della chiave). HMAC-SHA256 è ampiamente utilizzato nell'autenticazione delle API (per firmare le richieste API), nei token JWT e nelle operazioni MAC di TLS. Impedisce a un attaccante che intercetta un messaggio di sostituirlo con un'alternativa appositamente elaborata.

Le funzioni di hash svolgono un ruolo centrale nelle firme digitali. Quando si firma un documento di grandi dimensioni, non si cifra l'intero documento con la chiave privata, poiché sarebbe estremamente lento. Si procede invece in questo modo: (1) si calcola l'hash del documento (operazione rapida, che produce un digest piccolo e di lunghezza fissa), quindi (2) si firma il piccolo hash con la chiave privata. La firma è semplicemente un hash cifrato. La verifica segue lo stesso schema: si decifra la firma per ottenere l'hash, si calcola indipendentemente l'hash del documento e si confrontano i due valori. SHA-256 è obbligatorio in tutti i certificati PKI moderni; SHA-1 è vietato nei nuovi certificati.

File Integrity Monitoring (FIM) usa le funzioni di hash per rilevare modifiche non autorizzate ai file di sistema critici. Come riferimento iniziale, lo strumento FIM calcola l'hash di tutti i file monitorati e memorizza gli hash in modo sicuro. Periodicamente (o continuamente), calcola nuovamente l'hash dei file e lo confronta con il riferimento iniziale. Qualsiasi differenza indica che un file è stato modificato, potenzialmente da un malware o da un'azione non autorizzata di un amministratore. Strumenti FIM come Tripwire, AIDE (Linux) e il controllo dell'integrità integrato in Windows usano hash SHA-256. Il FIM è richiesto da framework di conformità come PCI-DSS per la protezione degli ambienti contenenti dati dei titolari di carte.

È importante distinguere i checksum dagli hash crittografici. I checksum come CRC32 sono progettati per rilevare il danneggiamento accidentale dei dati durante la trasmissione: sono veloci e semplici, ma possono essere facilmente falsificati da un attaccante. Gli hash crittografici (SHA-256) sono progettati per essere resistenti alle collisioni e per rendere rilevabili le manomissioni anche in caso di alterazioni intenzionali da parte di un attaccante. Usi i checksum quando deve solo verificare che un download non sia stato danneggiato durante il trasferimento; usi gli hash crittografici quando deve verificare che un file non sia stato manomesso intenzionalmente da un avversario.

Gli attacchi alle collisioni degli hash hanno conseguenze concrete. Nel 2017, i ricercatori hanno creato due file PDF diversi con lo stesso hash SHA-1, dimostrando che i certificati SHA-1 potevano essere falsificati. Nel 2008, i ricercatori hanno sfruttato collisioni MD5 per creare un certificato CA falso che sembrava legittimo. È per questo che i browser rifiutano i certificati MD5 e SHA-1 e che le autorità di certificazione devono usare almeno SHA-256. Comprendere gli attacchi alle collisioni aiuta a spiegare le decisioni di deprecazione degli algoritmi e perché «ma produce comunque un hash» non è un argomento sufficiente per usare algoritmi compromessi.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che: le funzioni di hash producono digest di lunghezza fissa per la verifica dell'integrità; MD5 e SHA-1 sono compromessi e deprecati; SHA-256 è l'attuale standard; il salt contrasta gli attacchi con rainbow table; infine, HMAC aggiunge l'autenticazione all'hashing usando una chiave segreta condivisa. Ora passeremo a Scambio di chiavi e crittografia ibrida.