I due metodi più comunemente utilizzati per ottenere l'accesso ad account non autorizzati sono (a) Attacco a forza bruta^{(Brute Force Attack)} e (b) Attacco spray password^{(Password Spray Attack)} . Abbiamo spiegato gli attacchi di forza bruta in^{(Brute Force Attacks)} precedenza. Questo articolo si concentra su Password Spray Attack : cos'è e come proteggersi da tali attacchi.

Definizione di attacco spray password

Password Spray Attack è esattamente l'opposto di Brute Force Attack . Negli attacchi Brute Force , gli hacker scelgono un ID vulnerabile e inseriscono le password una dopo l'altra sperando che qualche password possa farli entrare. Fondamentalmente^(Basically) , Brute Force è costituito da molte password applicate a un solo ID.

Venendo agli attacchi Password Spray , c'è una password applicata a più ID^(IDs) utente in modo che almeno uno degli ID utente sia compromesso. Per gli attacchi Password Spray , gli hacker raccolgono più ID^(IDs) utente utilizzando l'ingegneria sociale^{(social engineering)} o altri metodi di phishing^{(phishing methods)} . Capita spesso che almeno uno di quegli utenti utilizzi una semplice password come 12345678 o anche [email protected] . Questa vulnerabilità (o mancanza di informazioni su come creare password complesse^{(create strong passwords)} ) viene sfruttata in Password Spray Attacks .

In un Password Spray Attack , l'hacker applicherebbe una password accuratamente costruita per tutti gli ID^(IDs) utente che ha raccolto. Se fortunato, l'hacker potrebbe accedere a un account da cui può penetrare ulteriormente nella rete di computer.

Password Spray Attack può quindi essere definito come l'applicazione della stessa password a più account utente in un'organizzazione per proteggere l'accesso non autorizzato a uno di quegli account.^{(Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.)}

Attacco a forza bruta^{(Brute Force Attack)} contro attacco a spruzzo di password^{(Password Spray Attack)}

Il problema con gli attacchi di forza bruta^{(Brute Force Attacks)} è che i sistemi possono essere bloccati dopo un certo numero di tentativi con password diverse. Ad esempio, se si configura il server per accettare solo tre tentativi, altrimenti si blocca il sistema in cui è in corso l'accesso, il sistema si blocca solo per tre voci di password non valide. Alcune organizzazioni ne consentono tre, mentre altre consentono fino a dieci tentativi non validi. Molti siti Web utilizzano questo metodo di blocco in questi giorni. Questa precauzione è un problema con gli attacchi di forza bruta^{(Brute Force Attacks)} poiché il blocco del sistema avviserà gli amministratori dell'attacco.

Per aggirare ciò, è stata creata l'idea di raccogliere ID^(IDs) utente e applicare loro password probabili. Anche con Password Spray Attack , gli hacker adottano alcune precauzioni. Ad esempio, se hanno provato ad applicare password1 a tutti gli account utente, non inizieranno ad applicare password2 a quegli account subito dopo aver terminato il primo round. Lasceranno un periodo di almeno 30 minuti tra i tentativi di hacking.

Protezione dagli attacchi di password spray^{(Password Spray Attacks)}

Entrambi gli attacchi Brute Force Attack^{(Brute Force Attack)} e Password Spray possono essere fermati a metà, a condizione che siano in atto politiche di sicurezza correlate. Il divario di 30 minuti se omesso, il sistema si bloccherà di nuovo se è previsto che ciò accada. È possibile applicare anche alcune altre cose, come aggiungere la differenza di orario tra gli accessi su due account utente. Se è una frazione di secondo, aumentare i tempi per l'accesso di due account utente. Tali criteri aiutano ad avvisare gli amministratori che possono quindi arrestare i server o bloccarli in modo che non avvenga alcuna operazione di lettura-scrittura sui database.

La prima cosa per proteggere la tua organizzazione dagli attacchi di password spray^{(Password Spray Attacks)} è informare i tuoi dipendenti sui tipi di attacchi di ingegneria sociale, attacchi di phishing e l'importanza delle password. In questo modo i dipendenti non utilizzeranno password prevedibili per i loro account. Un altro metodo è che gli amministratori forniscano agli utenti password complesse, spiegando la necessità di essere cauti in modo da non annotare le password e attaccarle ai loro computer.

Esistono alcuni metodi che aiutano a identificare le vulnerabilità nei sistemi organizzativi. Ad esempio, se utilizzi Office 365 Enterprise , puoi eseguire Attack Simulator per sapere se qualcuno dei tuoi dipendenti utilizza una password debole.

Leggi il prossimo^{(Read next)} : Cos'è il Domain Fronting^{(Domain Fronting)} ?

Password Spray Attack Definition and Defending yourself

The two most commonly used methods tо gain access to unauthorized acсounts are (а) Brute Force Attack, and (b) Password Spray Attack. We have explained Brute Force Attacks earlier. This article focuses on Password Spray Attack – what it is and how to protect yourself from such attacks.

Password Spray Attack Definition

Password Spray Attack is quite the opposite of Brute Force Attack. In Brute Force attacks, hackers choose a vulnerable ID and enter passwords one after another hoping some password might let them in. Basically, Brute Force is many passwords applied to just one ID.

Coming to Password Spray attacks, there is one password applied to multiple user IDs so that at least one of the user ID is compromised. For Password Spray attacks, hackers collect multiple user IDs using social engineering or other phishing methods. It often happens that at least one of those users is using a simple password like 12345678 or even [email protected]. This vulnerability (or lack of info on how to create strong passwords) is exploited in Password Spray Attacks.

In a Password Spray Attack, the hacker would apply a carefully constructed password for all the user IDs he or she has collected. If lucky, the hacker might gain access to one account from where s/he can further penetrate into the computer network.

Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.

Brute Force Attack vs Password Spray Attack

The problem with Brute Force Attacks is that systems can be locked down after a certain number of attempts with different passwords. For example, if you set up the server to accept only three attempts otherwise lock down the system where login is taking place, the system will lock down for just three invalid password entries. Some organizations allow three while others allow up to ten invalid attempts. Many websites use this locking method these days. This precaution is a problem with Brute Force Attacks as the system lockdown will alert the administrators about the attack.

To circumvent that, the idea of collecting user IDs and applying probable passwords to them was created. With Password Spray Attack too, certain precautions are practiced by the hackers. For example, if they tried to apply password1 to all the user accounts, they will not start applying password2 to those accounts soon after finishing the first round. They’ll leave a period of at least 30 minutes among hacking attempts.

Protecting against Password Spray Attacks

Both Brute Force Attack and Password Spray attacks can be stopped midway provided that there are related security policies in place. The 30 min gap if left out, the system will again lock down if a provision is made for that. Certain other things also can be applied, like adding time difference between logins on two user accounts. If it is a fraction of a second, increase timing for two user accounts to log in. Such policies help in alerting the administers who can then shut down the servers or lock them down so that no read-write operation happens on databases.

The first thing to protect your organization from Password Spray Attacks is to educate your employees about the types of social engineering attacks, phishing attacks, and the importance of passwords. That way employees won’t use any predictable passwords for their accounts. Another method is admins providing the users with strong passwords, explaining the need to be cautious so that they don’t note down the passwords and stick it to their computers.

There are some methods that help in identifying the vulnerabilities in your organizational systems. For example, if you are using Office 365 Enterprise, you can run Attack Simulator to know if any of your employees are using a weak password.

Read next: What is Domain Fronting?

Related posts

• Questa funzione richiede supporti rimovibili - Password Errore di reset

• Impostare un Password Expiration Date per Microsoft Account and Local Account

• Come rendere Browser show Salvato Password in Text invece di punti

• LessPass è uno Password Generator and Manager gratuito

• Bitwarden Review: gratuito Open Source Password Manager per Windows PC

• Dashlane Free: automatizza il tuo login e le transazioni online

• Rimuovi tutto Saved Passwords in una volta in Chrome, Firefox, Edge

• Come generare un Random Strong Password in Excel

• Forgot Windows Administrator Password Offline NT Password

• NordPass Password Manger mantiene il vostro sicuro dei dati privati

• Best Free Online Password Managers - sono al sicuro?

• Gestisci, edit and view Password salvate in Chrome su Windows PC

• Password Security Scanner: Analyze e controllare la forza della tua password

• Google Passwords Manager ti consente di accedere in modo sicuro le tue password

• Recover Password da Mail Clienti: Mail Password Decryptor

• Controllare Strength di Password con Password Strength Checker Tools

• Reset Local Account password su Windows 10 usando Installation Media

• Come esportare le password LastPass su CSV

• secure online password generator gratuito per creare password casuali

• Come disabilitare Password Manager integrato in Chrome, Edge, Firefox