Hash o cifratura? Questo è il dilemma

Parafrasando la celebre frase di Amleto, ci può capitare nella vita informatica di affrontare un problema di sicurezza: memorizzare una informazione importante in maniera quanto più sicura possibile.

Le tecniche che ci vengono messe a disposizione sono principalmente due: l’hashing e la cifratura.

Entrambi generano una versione dell’informazione oscurata, incomprensibile. La differenza sostanziale risiede nella capacità di risalire al testo originario partendo dal risultato offuscato. Con l’hashing questa cosa è impossibile, mentre con il testo cifrato è possibile (conoscendo la chiave e il metodo di cifratura).

Questa piccola ma sostanziale differenza aiuta a scegliere l’uno o l’altro metodo in funzione dell’utilizzo dell’informazione offuscata.

Facciamo un paio di esempi pratici. Le password degli utenti Linux sono memorizzate ottenendo il risultato di un hash sulla password in chiaro più un salt, ossia un testo random aggiunto alla password in chiaro. Al momento del login, il sistema operativo accetta la password in input dall’utente, riapplica lo stesso algoritmo di hashing e confronta i due risultati: se uguali allora l’utente è autorizzato a proseguire, altrimenti viene negato l’accesso. Questo meccanismo comporta una sicurezza elevata perché l’unico metodo a disposizione per trovare la password in chiaro sarà provare un attacco a forza bruta, reso ulteriormente arduo dal salt aggiunto.

Le mie password degli account che ho sparsi in giro per il mondo sono memorizzate in un file cifrato. Questo perché ho la necessità di leggerle e modificarle, quindi devo avere un metodo per poter tornare “indietro” alla versione “in chiaro” della mia informazione. In questo caso si utilizza un metodo di cifratura che tramite una chiave può “chiudere” (cifrare) o “aprire” (decifrare) il mio file delle password in modo tale che io possa consultarlo e/o modificarlo. Al termine delle operazioni mi sarà sufficiente “chiudere” (cifrare) nuovamente il file per garantirmi la sicurezza che nessuno potrà facilmente leggere il contenuto del mio file delle password senza sapere la chiave e il metodo di cifratura.

Leave a Comment

Filed under cloud, Linux, Sicurezza

Rispondi