Follow

Questa mattina mi sono svegliato con una mezza idea. Avevo bisogno di scrivere un programmino in Scheme che fosse un minimo didattico così da dare del buon materiale a chi segue la mia guida. Inoltre pensavo a un “simulatore di brute forcing” per dare una valutazione approssimata della robustezza delle mie password. Così ho scritto questo piccolissimo script che unisce le due cose.

Per valutare la robustezza di una password sono indicative due cose:

• La lunghezza. Ovvero il numero di caratteri che la compone.
• Il set di caratteri. Ovvero quali insiemi di caratteri utilizza (maiuscole, minuscole, numeri, etc…)

Le due cose non hanno la stessa importanza: la variare la lunghezza fa variare la complessità del brute-forcing esponenzialmente, variare il set fa variare la complessità polinomialmente. Questo ci indica che usare un set di caratteri molto ampio è tanto più efficace quanto più la password è corta. Per password immense in teoria basta anche un set di caratteri ristretto. Tuttavia è bene avere entrambe le cose più grandi possibile.

Il programmino che ho fatto fa due cose molto semplici. Per prima cosa vi chiede di inserire la password fra virgolette “”. Dopodiché ricava il set dei caratteri utilizzato e fa due prove:

• Un bruteforcing seriale. Ovvero suppone che ci sia un solo computer ad eseguire la forzatura.
• Un bruteforcing distribuito. Ovvero suppone che un worm sfrutti un “esercito” di computer zombie per eseguire il bruteforcing in parallelo.

I dati su cui si basano i test sono molto ottimistici (dal punto di vista della password, in realtà potrebbe volerci molto meno) e basati sulla velocità di ricerca di un software di bruteforcing attivo su un quad-core.

Ad esempio proviamo a vedere quanto regge una password tipo “19051987” ovvero la classica “data di nascita”.

Ottimisticamente un software di bruteforcing impiega solo 17 minuti. Oppure proviamo il semplice nome:

Come vedete sono tutte e due password farlocche. Questo senza contare che i moderni software di brute-forcing attingono anche a parole “comuni” diminuendo di almeno un fattore 100 il tempo necessario!! (ad esempio la password “admin” viene beccata in qualche millisecondo).

Ora per curiosità vi posto il risultato della mia password (ovviamente senza che vi dica quale sia xD)

Direi che posso stare relativamente tranquillo! 😀

Ecco il download comprensivo del sorgente. Dal sorgente potete variare i parametri (come il numero di chiavi analizzate al secondo) a piacimento per adattarli a casi particolari.

SCARICA IL FILE