Attacchi online e offline

Gli attacchi alle password si dividono in due categorie. Gli attacchi offline operano localmente su hash acquisiti — sono veloci, silenziosi e limitati solo dall'hardware. Gli attacchi online tentano le password contro un servizio attivo attraverso la rete — sono lenti, rumorosi e soggetti a limitazioni della frequenza.

Il cracking offline (Hashcat, John) richiede innanzitutto di ottenere gli hash — da un dump del database, da /etc/shadow o da un handshake acquisito. Una volta ottenuti, può effettuare miliardi di tentativi al secondo senza alcun traffico di rete.

Gli attacchi online inviano tentativi di accesso direttamente a un servizio: SSH, RDP, FTP, moduli web e così via. La velocità è limitata dalla latenza di rete e dai limiti di frequenza del server, e ogni tentativo può essere registrato o attivare un blocco.

THC-Hydra è lo strumento standard per la forza bruta online. Supporta numerosi protocolli e parallelizza i tentativi di accesso. È necessario fornire uno username o un elenco di username, un elenco di password, la destinazione e il modulo del servizio.

Opzioni principali:

• -l singolo utente / -L elenco di utenti
• -p singola password / -P elenco di password
• -t attività parallele
• -f interrompe l'esecuzione al primo successo

Per i moduli di accesso HTTP POST, Hydra richiede il percorso, il corpo della richiesta POST con i segnaposto ^USER^/^PASS^ e una stringa di errore per riconoscere le risposte errate.

Lo spraying inverte la logica della forza bruta: prova una password comune (ad esempio Spring2024!) su molti account. In questo modo evita le soglie di blocco per singolo account ed è molto efficace contro le organizzazioni con criteri di gestione delle password deboli.

Il credential stuffing riutilizza coppie username/password sottratte in altre violazioni, contando sul fatto che gli utenti riutilizzino le proprie credenziali. Non richiede alcun cracking — bastano coppie valide provenienti da un dump precedente.

Le difese contrastano gli attacchi online con il blocco degli account, la limitazione della frequenza, i CAPTCHA, l'MFA e il monitoraggio dei numerosi tentativi falliti. Queste misure servono a poco contro il cracking offline, motivo per cui l'hashing robusto (bcrypt/Argon2) combinato con i salt è importante per la resistenza agli attacchi offline.

Se può sottrarre il database degli hash, proceda offline — è più veloce e più discreto. Se dispone solo di un endpoint di accesso, è costretto a operare online — in tal caso provi lentamente alcune password valide invece di bombardare un singolo account.

Gli attacchi online possono bloccare utenti reali e attivare avvisi — si coordini con il cliente e rispetti i criteri di blocco. Esegua qualsiasi attacco solo nell'ambito di un incarico autorizzato e definito.

Distingua i tipi di attacco.

Ha confrontato le strategie di attacco:

• Offline = violare localmente gli hash acquisiti; veloce e silenzioso
• Online = tentare password contro un servizio attivo; lento, rumoroso e soggetto a limiti di frequenza
• Hydra esegue la forza bruta su protocolli e moduli web
• Lo spraying e il credential stuffing aggirano i blocchi e sfruttano credenziali sottratte e riutilizzate

Il corso Password Cracking è completato.