Rubare un accesso senza conoscere la password: il caso dell’hash

Che cos’è un hash - Quando impostiamo una password, i sistemi non la conservano in chiaro: ne calcolano un hash, una sequenza di caratteri ottenuta con una formula matematica a senso unico. Dalla password si arriva all’hash, ma dall’hash non si risale alla password. Al momento dell’accesso il sistema ripete il calcolo e confronta i risultati. L’idea è buona: chi trafuga l’archivio non trova le password leggibili.   Dove sta il problema - Alcuni protocolli di autenticazione, in particolare NTLM, ancora presente in molte reti Windows per compatibilità con sistemi datati, usano l’hash stesso come “chiave” per dimostrare l’identità. Se un malintenzionato ottiene l’hash, può presentarlo al posto della password e farsi riconoscere come l’utente. La tecnica si chiama pass-the-hash (“passa l’hash”). Esiste un equivalente per Kerberos, pass-the-ticket, e uno nel cloud: il furto  del “token” di sessione, che permette di entrare in un account anche senza password. Una campagna di questo tipo, descritta da Huntress a fine ottobre, ha compromesso 97 account in 79 organizzazioni.Gli hash si trovano in più punti: nella memoria del computer mentre l’utente è collegato, nel database degli account locali e nel server che gestisce il dominio aziendale. Per raggiungerli l’attaccante di norma ha già ottenuto...