Numerose imprese hanno recentemente ammesso di conservare le credenziali di accesso in forma non crittografata, come se fossero semplici annotazioni in un file di testo. Questa pratica solleva interrogativi significativi, considerando che, per ragioni di sicurezza, le password dovrebbero essere sottoposte a salatura e hashing. Perché, quindi, nel 2019, questa procedura non era ancora universalmente adottata?
La Pericolosità della Conservazione delle Password in Testo Normale
L’archiviazione delle password in chiaro espone le credenziali a chiunque acceda al database o ai file in cui queste sono memorizzate. Un hacker, una volta infiltrato nel sistema, potrebbe facilmente recuperare e utilizzare tutte le password.
Questo metodo di conservazione è estremamente rischioso. Le aziende dovrebbero, invece, implementare il “salting” e l’hashing: una procedura che consiste nell’aggiungere dati supplementari alla password e poi “mescolarla” attraverso un processo irreversibile. Anche in caso di furto del database, le password risulterebbero inutilizzabili. Durante la fase di accesso, l’azienda confronta la password immessa con la versione crittografata, senza poterla decifrare e recuperare in chiaro dal database.
Ma perché alcune aziende continuano a conservare le password in forma non crittografata? Spesso, la sicurezza non è una priorità, o viene sacrificata per la comodità. In altri casi, l’azienda potrebbe usare misure di sicurezza adeguate, ma l’implementazione di funzionalità di logging eccessivamente zelanti può portare alla registrazione delle password in testo non protetto.
Imprese Coinvolte in Pratiche di Memorizzazione Errante
Numerose società, tra cui Robin Hood, Google, Facebook, GitHub e Twitter, sono state coinvolte in incidenti simili.
Nel caso di Google, la maggior parte degli account era protetta tramite hashing e salatura. Tuttavia, le password degli account G Suite Enterprise erano state conservate in testo semplice. Google giustificò questa scelta sostenendo che gli amministratori di dominio necessitavano di strumenti di recupero password, cosa impossibile se queste fossero state crittografate. Un sistema di reimpostazione delle password sarebbe l’unica soluzione appropriata in questo caso.
Anche Facebook ha ammesso di aver conservato le password in formato non crittografato, senza però specificare le cause esatte del problema. Un successivo aggiornamento ha rivelato che:
“…sono stati individuati ulteriori registri di password di Instagram archiviati in un formato leggibile.”
Capita che un’azienda adotti un sistema di sicurezza adeguato all’inizio, ma aggiunga in seguito nuove funzionalità che introducono vulnerabilità. Oltre a Facebook, anche Robin Hood, Github e Twitter hanno registrato accidentalmente password in formato non crittografato.
La registrazione dei log è utile per identificare problemi in applicazioni, hardware e codice di sistema. Tuttavia, se non viene gestita con attenzione, può generare più problemi di quanti ne risolva.
In situazioni come quelle che hanno riguardato Facebook e Robinhood, le password e i nomi utente venivano registrati e memorizzati durante la digitazione, rendendo facile l’accesso agli account per chiunque avesse accesso a tali registri.
In rari casi, aziende come T-Mobile Australia hanno ignorato l’importanza della sicurezza, talvolta in nome della convenienza. In uno scambio su Twitter, successivamente rimosso, un rappresentante di T-Mobile ha spiegato che l’azienda conservava le password in testo non crittografato per consentire ai rappresentanti del servizio clienti di visualizzare le prime quattro lettere a scopo di conferma. Dopo le critiche di altri utenti di Twitter, l’azienda è stata costretta a riconoscere la gravità della situazione.