Come funzionano gli attacchi brute force

Un attacco brute force a un cifrario tenta ogni possibile chiave finché non viene trovata quella corretta. Per una chiave di n bit, esistono 2^n chiavi possibili. Con una chiave a 3 bit ci sono solo 8 possibilità; con una chiave a 56 bit ce ne sono oltre 72 biliardi. La difesa fondamentale contro il brute force consiste nello scegliere chiavi abbastanza grandi affinché la ricerca esaustiva sia computazionalmente irrealizzabile in un arco di tempo significativo.

DES (Data Encryption Standard) utilizza una chiave di 56 bit, con uno spazio delle chiavi di circa 7.2 * 10^16. Nel 1977 sembrava una dimensione enorme. Nel 1998 la macchina Deep Crack dell'EFF riuscì a forzare DES in 56 ore, con un costo di $250.000. Nel 2006 un cluster dedicato poteva forzare DES in meno di 9 giorni, spendendo meno di $10.000. La lezione era chiara: 56 bit non offrivano più una sicurezza sufficiente contro un avversario motivato.

AES-128 utilizza chiavi di 128 bit, con 2^128 chiavi possibili, circa 3.4 * 10^38. Se ogni atomo dell'universo osservabile fosse un computer che esegue un miliardo di test di chiavi al secondo dal Big Bang, la ricerca non sarebbe neppure vicina al completamento. Anche con hardware futuro esponenzialmente più veloce, si prevede che le chiavi di 128 bit rimangano sicure contro la forza bruta classica per il futuro prevedibile.

Gli attacchi di forza bruta online prendono di mira sistemi attivi inviando ripetutamente richieste di autenticazione. Sono limitati dalla latenza di rete, dal tempo di risposta del server e dalla limitazione della frequenza, quindi risultano lenti. Gli attacchi di forza bruta offline operano su dati rubati, come un database di hash delle password. Con gli hash a disposizione, un attaccante può testare miliardi di candidati al secondo utilizzando hardware locale, senza vincoli di rete.

Le GPU moderne contengono migliaia di core di elaborazione paralleli ottimizzati per l'aritmetica in virgola mobile. Hashcat, il principale strumento per il cracking degli hash tramite GPU, può testare oltre 100 miliardi di hash MD5 al secondo su una singola GPU di fascia alta. Una configurazione con otto GPU può testare oltre 800 miliardi di candidati al secondo. Questo rende le password scelte male e le funzioni hash deboli vulnerabili al cracking offline rapido.

I circuiti integrati specifici per applicazione sono chip progettati esclusivamente per eseguire un determinato calcolo. I miner di Bitcoin utilizzano ASIC che calcolano hash SHA-256 a decine di terahash al secondo, molto più rapidamente di qualsiasi GPU. Sebbene gli ASIC per Bitcoin eseguano un'operazione diversa dal cracking delle password, il principio è lo stesso: l'hardware progettato per uno scopo specifico offre un'accelerazione di diversi ordini di grandezza rispetto all'hardware generico per determinati calcoli crittografici.

La legge di Moore osservava che la densità dei transistor raddoppia all'incirca ogni due anni, portando storicamente a un aumento equivalente della potenza di calcolo. Una lunghezza della chiave considerata sicura oggi deve rimanere tale anche dopo decenni di miglioramenti dell'hardware. Per questo le raccomandazioni sulla sicurezza includono margini di sicurezza significativi. Per rendere AES-128 vulnerabile alla forza bruta classica sarebbe necessario un aumento della velocità di calcolo pari a 2^64, molto oltre qualsiasi estrapolazione plausibile della legge di Moore.

NIST SP 800-57 specifica i livelli di sicurezza degli algoritmi crittografici. Una sicurezza di 112 bit è attualmente il minimo per i nuovi sistemi. Per la protezione a lungo termine si raccomanda una sicurezza di 128 bit. Le chiavi simmetriche a 256 bit offrono un margine di sicurezza superiore alle minacce del calcolo classico attualmente prevedibili. NIST sconsiglia i livelli di sicurezza pari o inferiori a 80 bit, considerati inadeguati per qualsiasi nuova applicazione.

L'algoritmo di ricerca quantistica di Grover offre un'accelerazione quadratica per la ricerca non strutturata: può cercare in uno spazio delle chiavi di N elementi in circa sqrt(N) passaggi invece di N. Per AES-128 questo riduce di fatto la sicurezza a 64 bit contro un avversario quantistico. Per AES-256 la sicurezza effettiva contro l'algoritmo di Grover è di 128 bit, motivo per cui le chiavi simmetriche a 256 bit sono raccomandate per la sicurezza post-quantistica.

Per mantenere una sicurezza di 128 bit contro un computer quantistico che esegue l'algoritmo di Grover, le chiavi simmetriche devono avere una lunghezza di almeno 256 bit. AES-256 ha già questa lunghezza ed è considerato sicuro rispetto al calcolo quantistico per la cifratura simmetrica. Per fare un confronto, raddoppiare la lunghezza della chiave da 128 a 256 bit non raddoppia il lavoro di calcolo per l'utente legittimo (aggiunge solo alcuni round AES), ma richiede di elevare al quadrato le risorse quantistiche dell'attaccante.

I team di sicurezza utilizzano strumenti di forza bruta durante audit autorizzati delle password per individuare le credenziali deboli prima degli attaccanti. Hashcat e John the Ripper vengono eseguiti su database esportati di hash delle password per determinare quale percentuale di password potrebbe essere violata. I risultati degli audit guidano il miglioramento delle policy sulle password: requisiti di lunghezza minima, regole di complessità e adozione di moderni algoritmi di hashing delle password come bcrypt o Argon2.

In che modo l'algoritmo quantistico di Grover influisce sulla sicurezza effettiva di AES-128?

La forza bruta prova ogni chiave possibile; la sicurezza richiede spazi delle chiavi troppo grandi per essere enumerati in pratica. DES, con i suoi 56 bit, è stato violato nel 1998. AES-128, con 2^128 chiavi, è impraticabile per i computer classici. I cluster di GPU violano gli hash offline a centinaia di miliardi al secondo. L'algoritmo quantistico di Grover dimezza la sicurezza in bit, rendendo necessarie chiavi a 256 bit per ottenere una sicurezza post-quantistica di 128 bit. NIST raccomanda una sicurezza minima di 128 bit per i nuovi sistemi.