Tutorial sulla crittografia

Le informazioni svolgono un ruolo fondamentale nelle operazioni commerciali, governative e militari, e se finiscono nelle mani sbagliate possono causare perdite economiche o conseguenze ben più gravi. Per proteggere le comunicazioni, un'organizzazione utilizza la crittografia per cifrare le informazioni, trasformandole in un formato non leggibile dall'uomo e poi riconvertendole nel formato originale.

In questo articolo sulla crittografia e la sicurezza di rete, imparerai come funziona la crittografia e come proteggere le informazioni da accessi non autorizzati.

Cos'è la crittografia?

La crittografia è lo studio e l'applicazione di tecniche che nascondono il vero significato delle informazioni trasformandole in formati non leggibili dall'uomo e viceversa.

Consideriamo un esempio. Per inviare "I LOVE APPLES" (Amo le mele), si sostituisce ogni lettera con la terza lettera consecutiva dell'alfabeto, ottenendo "K NQXG CRRNGU". Per leggerlo, il destinatario deve indietreggiare di tre lettere, come mostrato di seguito.

La trasformazione delle informazioni in una forma non leggibile dall'uomo si chiama crittografiae invertirlo si chiama decrittazioneIl risultato crittografato è noto come cifra.

La decrittazione utilizza una chiave segreta nota solo ai destinatari legittimi. Poiché la chiave è necessaria, la comunicazione rimane sicura anche se un malintenzionato intercetta il messaggio cifrato, che senza di essa non avrebbe senso.

Caratteristiche della crittografia

Un sistema crittografico viene valutato in base alle caratteristiche elencate di seguito.

Caratteristica	Cosa significa
Algoritmo	La procedura matematica pubblicata che esegue la trasformazione.
riservatezza	Solo chi possiede la chiave può leggere i dati protetti.
Integrity	Qualsiasi modifica ai dati è rilevabile.
Adattabilità	Il sistema si adatta a diverse dimensioni delle chiavi e a diversi livelli di minaccia.
Interoperabilità	Diversi sistemi e fornitori si scambiano dati protetti.
Autenticazione	L'origine di un messaggio può essere dimostrata.
Scalabilità	Le prestazioni rimangono costanti anche all'aumentare dei volumi di dati.
Gestione delle chiavi	Le chiavi vengono generate, archiviate, ruotate e ritirate in modo sicuro.

Applicazioni della crittografia

Queste caratteristiche diventano servizi quotidiani su cui le persone fanno affidamento senza nemmeno accorgersene.

Applicazione	Come viene utilizzata la crittografia
Crittografia TLS	Protegge il traffico tra un browser e un sito web.
Memorizzazione password	Memorizza hash con salt anziché password leggibili.
Banca online	Protegge le transazioni e verifica la banca.
criptovaluta	Firma le transazioni e collega i blocchi con gli hash.
e-mail criptata	Garantisce la riservatezza del contenuto dei messaggi durante la trasmissione e l'archiviazione.
Digifirme tal	Dimostra l'autenticità del documento e che quest'ultimo non ha subito modifiche.
Messaggistica sicura	Applica la crittografia end-to-end tra i dispositivi.
E-Commerce	Protegge i dati della carta durante il pagamento.

Cos'è la crittoanalisi?

La crittanalisi è l'arte di decifrare i messaggi senza la chiave utilizzata per crittografarli. Applica analisi matematiche e algoritmi per decifrare i cifrari e viene utilizzata sia per violare i sistemi sia, a scopo difensivo, per valutare il livello di protezione offerto da un algoritmo.

Il successo di un attacco di crittanalisi dipende da:

• Quantità di tempo disponibile
• Potenza di calcolo disponibile
• Capacità di archiviazione disponibile

Di seguito sono elencati gli attacchi di crittanalisi più comunemente discussi:

• Attacco di forza bruta — prova ogni possibile combinazione del testo in chiaro o della chiave, cifrando ciascuna e confrontandola con il cifrario originale.
• Dizionario Attack — utilizza un elenco di parole per trovare una corrispondenza con il testo in chiaro o con la chiave. Viene utilizzato principalmente quando si tenta di decifrare password crittografate.
• Attacco tavolo arcobaleno — confronta il testo cifrato con hash precalcolati per trovare corrispondenze. L'aggiunta di un sale a ciascuna password memorizzata ne compromette il funzionamento.

Cos'è la crittologia?

La crittologia è il campo di studio che unisce crittografia e crittanalisi. Entrambe le componenti sono fondamentali: un algoritmo è considerato affidabile solo dopo che i crittanalisti hanno tentato, senza successo, di decifrarlo.

crittografia Algorithms

Gli algoritmi riportati di seguito ricorrono frequentemente nel lavoro sulla sicurezza. Si noti quali sono ancora approvati e quali sopravvivono solo nei sistemi legacy.

• MD5 — abbreviazione di Message-Digest 5, produce valori hash a 128 bit. MD5 è una funzione hash piuttosto che crittografiaPertanto, per sua stessa natura, non è reversibile. Non è resistente alle collisioni (due input diversi possono produrre lo stesso hash) e non è adatto per password o firme digitali.
• SHA — abbreviazione di Secure Hash Algorithm, questa famiglia genera rappresentazioni condensate di un messaggio, chiamate digest del messaggio:
  • SHA-0Produce valori hash a 160 bit. È stato ritirato a causa di un grave difetto ed è stato sostituito da SHA-1.
  • SHA-1Produce valori hash a 160 bit. Nel 2017 è stata dimostrata una collisione pratica e il NIST ne ha vietato l'uso nelle firme digitali, quindi è meglio evitarlo.
  • SHA-2: una famiglia di sei funzioni, tra cui SHA-256 e SHA-512, che operano rispettivamente su parole a 32 e 64 bit. Entrambe rimangono approvate.
  • SHA-3Standardizzato nel 2015 e precedentemente noto come Keccak, utilizza un design interno diverso come backup di SHA-2.
• AES — L'Advanced Encryption Standard (AES) è l'algoritmo di crittografia a blocchi simmetrico che protegge la maggior parte dei dati, sia a riposo che in transito, con chiavi a 128, 192 e 256 bit. Ha sostituito il DES ed è lo standard predefinito per i nuovi sistemi.
• RC4 — un cifrario a flusso un tempo comune in Secure Sockets Layer (SSL) e Wired Equivalent Privacy (WEP). Entrambi i protocolli sono obsoleti e la RFC 7465 ha vietato RC4 in ogni versione di TLS nel 2015. Sopravvive qui come esempio didattico.
• Blowfish — un cifrario a blocchi simmetrico con chiave, storicamente utilizzato per password e file. La sua dimensione del blocco a 64 bit rende AES la scelta migliore al giorno d'oggi.

Guardando al futuro, il NIST ha pubblicato i suoi primi standard post-quantistici nell'agosto del 2024: ML-KEM per lo scambio di chiavi, ML-DSA e SLH-DSA per le firme digitali, che sostituiranno gradualmente gli attuali algoritmi a chiave pubblica.

Attività di hacking: come creare un cifrario usando CrypTool

In questo esercizio pratico di CrypTool, creerete un semplice cifrario con RC4 e lo recupererete tramite un'analisi a forza bruta, supponendo che la chiave sia nota e abbia 24 bit. L'obiettivo è dimostrare perché una chiave corta e un cifrario non crittografato non offrono una protezione reale.

Creazione del cifrario a flusso RC4

Passaggio 1) Scarica e installa CrypTool

CrypTool 1 è uno strumento didattico open-source per la crittografia. Lo sviluppo attivo si è poi spostato su CrypTool 2, ma la versione 1.4.42 è ancora in esecuzione su Windows e corrisponde alle schermate sottostanti. Scaricalo da cryptool.org.

Passaggio 2) Apri CrypTool e sostituisci il testo

La frase da crittografare è Non sottovalutare mai la determinazione di un ragazzo ricco di tempo e povero di soldiLa chiave è 00 00 00.

• Apri CrypTool 1.

• Sostituisci il testo con la frase sopra.

Passaggio 3) Crittografare il testo

• Fai clic sul menu Crittografa/Decrittografa.

• Posiziona il puntatore su Simmetrico (moderno), quindi seleziona RC4.

Passaggio 4) Selezionare la chiave di crittografia

• Selezionare 24 bit come lunghezza della chiave.
• Imposta il valore su 00 00 00.
• Fai clic su Crittografa per generare il cifrario a flusso riportato di seguito.

Attaccare il cifrario a flusso

Passaggio 5) Avviare l'analisi

• Fai clic sul menu Analisi.

• Seleziona Crittografia simmetrica (moderna), quindi scegli RC4.

• Si presume una chiave segreta a 24 bit, quindi si seleziona 24 bit come lunghezza della chiave.
• Fare clic su Start.

• Nota: Il tempo necessario dipende dalla capacità di elaborazione della macchina utilizzata e dalla lunghezza della chiave. Una chiave più lunga richiede più tempo, motivo per cui le chiavi moderne sono a 128 bit o più.

Fase 6) Analizzare i risultati

• Al termine dell'analisi, le chiavi candidate vengono visualizzate classificate come segue.

• Nota: Un valore di entropia inferiore di solito indica il risultato corretto, sebbene anche un valore superiore possa essere corretto.
• Seleziona la riga che appare come testo sensato, quindi fai clic su Accetta selezione.

DOMANDE FREQUENTI