Il problema fondamentale dell’autenticazione tramite password

Nell'autenticazione tradizionale tramite password, il client invia la password, o un suo hash, al server, che la confronta con un valore memorizzato. Questo modello è semplice, ma concentra un rischio enorme sul server: la compromissione del database espone simultaneamente le credenziali di tutti gli utenti.

Quando un attaccante viola un server e sottrae il database delle password, può condurre un attacco a dizionario offline alla massima velocità della GPU, senza alcuna limitazione della frequenza. Le GPU moderne possono verificare miliardi di tentativi di password al secondo contro hash bcrypt o SHA-256, rendendo il recupero delle password deboli o comuni banale.

Gli studi mostrano costantemente che la maggior parte degli utenti riutilizza le password su più siti. Una singola compromissione del server può quindi esporre credenziali valide su altri servizi. Gli attacchi di credential stuffing automatizzano la verifica di coppie nome utente/password sottratte contro i siti web più popolari, trasformando una violazione in molte.

Il rafforzamento delle password lato server (hashing robusto, salting e limitazione della frequenza delle richieste) non offre alcuna protezione contro il phishing. Quando un utente inserisce la propria password in un sito contraffatto, l'attaccante ottiene direttamente la password in chiaro, indipendentemente da quanto bene il server legittimo la memorizzi. Oggi il phishing è il principale vettore di furto delle credenziali.

Nel dark web sono disponibili pubblicamente database contenenti miliardi di coppie di nomi utente e password sottratte in violazioni storiche. Gli attaccanti utilizzano strumenti automatizzati per testare queste credenziali contro istituti finanziari, siti di e-commerce e provider di posta elettronica su scala industriale, riuscendo ogni volta che gli utenti hanno riutilizzato una password compromessa in precedenza.

Nell'autenticazione tradizionale con password, il server viene necessariamente a conoscenza della password in chiaro dell'utente durante il processo di accesso (anche solo per poco tempo, prima dell'hashing). Ciò significa che ogni operatore del server deve essere considerato pienamente affidabile, affinché non utilizzi in modo improprio, registri o esponga accidentalmente le credenziali, una garanzia raramente possibile nella pratica.

Un protocollo di autenticazione ideale consentirebbe all'utente di dimostrare di conoscere la propria password senza mai rivelarla al server. Il server dimostrerebbe inoltre di essere quello legittimo (autenticazione reciproca), impedendo il phishing. Un database del server compromesso non rivelerebbe nulla di utile a un attaccante.

Le prove a conoscenza zero forniscono un quadro teorico per ottenere questo risultato: un dimostratore può convincere un verificatore della validità di un segreto senza rivelare il segreto stesso. I protocolli di autenticazione con password, come SRP e OPAQUE, applicano questi principi per autenticare senza trasmettere direttamente la password o memorizzarla lato server.

I protocolli di autenticazione con password robusti dovrebbero resistere agli attacchi a dizionario offline anche se i dati memorizzati dal server vengono compromessi completamente. Ciò significa che il verificatore memorizzato non deve poter essere utilizzato direttamente per impersonare l'utente e non deve consentire di indovinare efficientemente la password offline senza la collaborazione del server.

Con centinaia di servizi che richiedono l'autenticazione, il modello tradizionale impone di affidare a ogni gestore di servizi un segreto che potrebbe essere riutilizzato altrove. La soluzione consiste nell'eliminare completamente la trasmissione delle password, memorizzare solo verificatori non riutilizzabili e vincolare l'autenticazione all'identità dello specifico server per impedire il phishing.

Le soluzioni moderne includono SRP (Secure Remote Password), OPAQUE e FIDO2/passkeys. Ognuna affronta aspetti diversi del problema fondamentale. SRP e OPAQUE eliminano la conoscenza della password da parte del server. FIDO2/passkeys eliminano completamente le password utilizzando la crittografia a chiave pubblica vincolata all'origine specifica.

Quale attacco NON viene impedito da un hashing robusto delle password lato server (ad esempio, bcrypt)?

L'autenticazione tradizionale con password richiede ai server di verificare segreti di cui vengono a conoscenza, consente il cracking offline dopo le violazioni e viene sconfitta dal phishing. Il riutilizzo delle password trasforma le singole violazioni in problemi sistemici. Il sistema ideale fornisce autenticazione reciproca senza trasmettere segreti, memorizza solo verificatori non attaccabili tramite cracking e vincola l'autenticazione all'identità del server.