Guide

Quante volte ci siamo trovati di fronte al dilemma di dover scegliere una password per il nostro account di posta elettronica o per un utenza relativa ad una qualsiasi applicazione?

“…e se scelgo una password che poi non ricordo? Come farò a recuperarla? Forse è meglio se ne scelgo una facile, tanto chi vuoi che se ne accorga”

Il vero problema è che, nella maggior parte dei casi, il nostro account non costituisce il vero target dell’attacco ma solamente un punto intermedio per poi poter sferrare il vero attacco.

scegliere una password non è una cosa semplice, occorre usare tutti i tipi di carattere, numerici, alfanumerici e di punteggiatura, facendo attenzione anche a mischiare le lettere maiuscole con quelle minuscole (qualora il sistema che gestisce l’account ce lo permetta).

Esistono in rete, facilmente reperibili sui più comuni siti underground, dei veri e propri dizionari di password che contengono le stringhe più utilizzate dagli utenti. Nomi propri, nickname, combinazioni alfanumeriche e tutto ciò che gli utenti usano comunemente per impostare le proprie password.

C’è da dire che esistono diversi dizionari a seconda della lingua di appartenenza dell’utente, questo perchè ovviamente un nostro connazionale sarà più portato ad usare parole italiane laddove un americano agirà di conseguenza utilizzando termini in slang.

L’attacco Brute Force prevede l’uso di un tool automatico che prenda in input le coordinate dell’account da craccare (indirizzo ip del server, tipologia dell’account e username), oltre che ovviamente il dizionario delle password.

Alcuni tool sono addirittura in grado di effettuare delle combinazioni delle parole presenti nel dizionario, ad esempio anagrammandole o invertendole specularmente.

Sicuramente uno dei tool più usati è il brutus, il quale è in grado di attaccare account che prevedono l’autenticazione http, telnet e ftp. Il tool presenta un’interfaccia grafica minimalista e prevede una configurazione via file di testo dove è possibile definire gli account che saranno oggetto dell’attacco.

Nella finestra principale verranno dati un output vari dati, tra cui lo stato di avanzamento dell’attacco e gli eventuali account craccati.

Ovviamente l’uso di questo tool è illegale laddove lo si utilizzi per introdursi, raccomando quindi a chiunque lo scarichi, di usarlo solo ed esclusivamente in ambienti di test e solo se si è in possesso delle relative autorizzazioni dal parte degli amministratori di sistema e di tutti gli utenti coinvolti.