Esercizio su Password
1. Si supponga che un sistema richieda password lunghe 6 caratteri, composte interamente da
caratteri alfanumerici. Quanto impiega in media un attacco a forza bruta ad indovinare la
password se il tempo richiesto per un tentativo è 0.3 secondi? Quanto invece se 5
microsecondi?!
2. Si supponga invece che una coppia di sistemi accetti la stessa identica password lunga 8
caratteri, con la differenza che il primo accetta solo caratteri minuscoli, mentre il secondo sia
caratteri maiuscoli che minuscoli. Si fornisca una stima del numero massimo di tentativi
richiesti per indovinare la password del secondo sistema. L’informazione che le password dei
due sistemi sono identiche, tranne eventualmente per i caratteri maiuscoli, è fondamentale per
ridurre il numero di tentativi massimi e deve essere usata per risolvere l’esercizio.!
Premessa
Metodo forza brutta, anche detto ricerca esaustiva, nella sicurezza informatica, indica un
algoritmo di risoluzione di un dato problema che consiste nel verificare tutte le soluzioni
teoricamente possibili fino a che si trova quella effettivamente corretta. !
Il suo principale vantaggio è che consente teoricamente di trovare sempre la soluzione corretta,
per contro, questa è sempre la soluzione più lenta o dispendiosa. Nell’ambito della sicurezza
informatica, questo metodo si utilizza soprattutto per trovare la password di accesso a un
sistema. La differenza sostanziale tra attaccare una chiave crittografica e attaccare una password
è che la prima è solitamente stata generata in modo casuale mentre una password, per la sua
stessa natura di dover essere ricordata e inserita da esseri umani, è generalmente meno densa di
informazioni, più facile da indovinare. !
Diventa fondamentale utilizzare password molto lunghe (passphrase), questa scelta non fa altro
che barattare la facilità di memorizzazione con la lunghezza e il tempo necessario per inserire
manualmente la password, rendendo così più complicato e dispendioso un attacco di forza bruta.!
Punto 1
Le password ammesse dal sistema sono di lunghezza 6 caratteri e possono essere composte
interamente da caratteri alfanumerici. Possono essere sequenze di lunghezza 6 ottenute
disponendo, con ripetizioni, 26 lettere minuscole, 26 lettere MAIUSCOLE e 10 cifre decimali, per
un totale di 62 elementi (26 + 26 + 10)!
Le possibili password che si possono creare sono:!
626 = 56.800.235.584!
Il numero massimo di tentativi che si possono effettuare per violare il sistema ed indovinare la
password tramite un attacco a forza bruta è in media pari a:!
56.800.235.584 / 2 = 28.400.117.792!
Rispondendo al primo quesito del punto 1, sappiamo che per fare un tentativo si impiega 0,3
secondi. Quindi in un secondo si effettuano:!
1 / 0.3 = 3.33 tentativi!
Il tempo espresso in secondi per effettuare tutti i tentativi possibili è pari a:!
N = 28.400.117.792 / 3.33 = 8.528.563.901s (Tempo in secondi)!
Minuti -> N / 60 = 8.528.563.901 / 60 = 142.142.731min (Tempo in minuti)!
Ore -> N / 60 = 142.142.731 / 60 = 2.369.045,516h (Tempo in ore)!
Giorni -> N / 24 = 2.369.045,516 / 24 = 98.710,223d (Tempo in giorni)!
Anni -> N / 365 = 98.710,2298 / 365 = 270,439a (Tempo in anni)!
Quindi per violare il sistema occorrono all'incirca 270 anni.!
Pagina di 1 2
