In breve
Gli attaccanti possono provare credenziali riutilizzate provenienti da violazioni dei dati, indovinare schemi umani probabili o verificare password candidate rispetto a dati di verifica delle password rubati. Il metodo dipende dal fatto che prendano di mira un accesso online o abbiano ottenuto i dati di verifica.
Riutilizzo di credenziali rubate
Il credential stuffing consiste nel provare su altri servizi coppie di nome utente e password esposte in una violazione dei dati. Una password unica per ogni account impedisce che una password trapelata dia accesso ad account di altri servizi. (Scheda OWASP sull’autenticazione)
Tentativi online e violazione offline
I tentativi online passano attraverso un servizio, che può limitarli o rilevarli. La violazione offline usa dati di verifica delle password rubati e permette di provare combinazioni senza contattare il servizio; uno schema di hashing delle password con salt e un costo di calcolo volutamente elevato aumenta il costo di ogni tentativo. (NIST SP 800-63B-4) (Scheda OWASP sulla conservazione delle password)
Cosa aiuta a proteggere gli account?
Usa password uniche, attiva l’autenticazione a più fattori, installa gli aggiornamenti e cambia la password quando un servizio segnala una violazione dei dati. Non riutilizzare una password soltanto perché sembra complessa. (NIST SP 800-63B-4)
Scopri gli strumenti correlati
Esplora tutti gli strumenti gratuiti oppure esplora gli strumenti per professione.