L'impronta digitale: cambia una virgola e cambia tutto

Come funziona

Che cos'è, in una riga

Una funzione hash crittografica è una macchina che prende qualunque sequenza di byte e restituisce sempre un numero della stessa taglia. SHA-256 restituisce 256 bit, che si scrivono per comodità come 64 cifre esadecimali. Non c'è una chiave, non c'è un segreto: chiunque, ovunque, con qualunque programma, dallo stesso ingresso ottiene la stessa identica uscita.

Le proprietà che servono

Deterministica

Stesso ingresso, stessa uscita. Sempre, su ogni macchina. Senza questo non si potrebbe confrontare niente.

Lunghezza fissa

Tre lettere o un film da 4 GB: 64 cifre in entrambi i casi. Anche zero byte hanno la loro impronta (provala col pulsante «niente» nel passo 1: è e3b0c442…, e la riconoscerai a occhio dopo un po' che frequenti l'argomento).

Veloce da calcolare

Che è insieme il pregio e il guaio: veloce per te che verifichi un file, veloce anche per chi prova miliardi di password. Vedi sotto.

Effetto valanga

Un bit diverso in ingresso ribalta circa metà dei bit in uscita, e non si può prevedere quali. È quello che hai misurato al passo 2.

A senso unico

Data l'impronta, non esiste un procedimento per ricostruire il messaggio: si può solo indovinare e verificare.

Resistente alle collisioni

Non deve essere praticabile costruire due messaggi diversi con la stessa impronta. È esattamente ciò che MD5 e SHA-1 non garantiscono più.

Le collisioni esistono per forza: il principio dei cassetti

I messaggi possibili sono infiniti; le impronte SHA-256 sono 2²⁵⁶, un numero grandissimo ma finito. Se metti infiniti calzini in un numero finito di cassetti, in qualche cassetto finiscono due calzini: due messaggi diversi con la stessa impronta esistono di sicuro. Nessuna funzione hash può evitarlo, ed è inutile prometterlo.

La sicurezza non sta nel non farle esistere, sta nel non saperle trovare. E qui la matematica è impietosa con l'intuito: per trovare una coppia qualsiasi non servono 2²⁵⁶ tentativi ma solo 2¹²⁸ — è il paradosso del compleanno, lo stesso per cui in una classe di 23 persone è probabile che due compiano gli anni lo stesso giorno. Ecco perché un hash da 256 bit offre 128 bit di sicurezza sulle collisioni: la metà.

«Matematicamente impossibile» è detto male

Si legge spesso che dall'impronta è matematicamente impossibile risalire al testo. Non è così, ed è una brutta bugia perché fa abbassare la guardia. La verità è più utile: non esiste scorciatoia migliore del provarle tutte, e provarle tutte costa troppo. Su 2²⁵⁶ possibilità, anche a mille miliardi di tentativi al secondo, servirebbero circa 10⁵⁷ anni — mentre l'universo ne ha 1,4 × 10¹⁰.

Ma questa difesa vale solo se il messaggio è imprevedibile. Se il messaggio è password, o una data di nascita, o il nome di una squadra, lo spazio da provare non è 2²⁵⁶: sono poche migliaia di casi, e li si esaurisce prima che tu finisca di leggere questa riga. Il passo 3 lo fa davvero, sul tuo dispositivo.

Perché le password non si custodiscono con SHA-256 e basta

Un sito serio non conserva le password: ne conserva l'impronta, così nemmeno chi amministra il database le legge. Ma un hash veloce da solo non basta, per tre motivi che si risolvono uno alla volta:

Il sale (salt)

Senza sale, due utenti con la stessa password hanno la stessa impronta scritta nel database — e chi lo ruba lo vede a occhio. Peggio: esistono tabelle già pronte con miliardi di impronte precalcolate. Il sale è un pezzetto casuale, diverso per ogni utente, attaccato alla password prima di calcolare l'hash. Non è segreto: sta lì accanto nel database. Non rende forte una password debole — il passo 3 lo mostra: se l'attaccante legge il sale, rifà la lista e la trova lo stesso. Serve a obbligarlo a rifare il lavoro per ogni singolo utente, invece di rompere tutto il database in un colpo solo.

La lentezza

Contro un hash veloce l'attaccante fa miliardi di tentativi al secondo. Perciò le password si custodiscono con funzioni apposta lente e regolabili — bcrypt, scrypt, Argon2 — tarate perché un tentativo costi qualche decimo di secondo. Per chi fa il login è impercettibile; per chi ne prova dieci miliardi è la differenza fra un pomeriggio e qualche millennio.

La lunghezza

Tutto il resto è mitigazione. L'unica cosa che davvero sposta il conto è avere qualcosa da indovinare: una frase lunga vale più di otto caratteri con un punto esclamativo alla fine.

Hash, cifratura e codifica non sono la stessa cosa

La confusione più diffusa è l'ultima riga: Base64 sembra illeggibile, ma è solo un altro modo di scrivere gli stessi byte e si rigira in un secondo. Non nasconde niente a nessuno.

Gli algoritmi, in ordine di quanto ci si può contare

SHA-3 non è nato perché SHA-2 fosse in pericolo: è nato perché appoggiarsi a una sola famiglia matematica è imprudente. Se un giorno salta SHA-2, il ricambio è già pronto e collaudato.

Dove lo incontri, anche senza accorgertene

• Git: ogni commit è identificato dall'impronta del suo contenuto. Quel codice di sette caratteri che copi è l'inizio di un hash.
• Blockchain: ogni blocco contiene l'impronta del precedente, ed è per questo che la catena non si può riscrivere a metà. Si vede succedere in Blockchain & Mining.
• Download: sotto le immagini ISO di Linux trovi il file SHA256SUMS. È il passo 5 di questa pagina.
• Firma digitale e certificati: non si firma il documento, si firma la sua impronta — che è corta e di lunghezza fissa.
• Torrent e deduplicazione: i pezzi si riconoscono e si scartano i doppioni confrontando impronte, non contenuti.
• «La tua password è finita in una fuga di dati»: il browser manda solo le prime cinque cifre dell'impronta, riceve tutte le impronte che cominciano così e il confronto lo fa in locale. La password non parte mai, e nemmeno il suo hash intero.

Si può provare per davvero, fuori da qui

Le stesse impronte le calcola il tuo sistema operativo, senza installare niente:

Devono dare esattamente le stesse 64 cifre di questa pagina. Se non combaciano, non è l'algoritmo che è ambiguo: è che stai dando in pasto byte diversi — quasi sempre un a-capo di troppo alla fine del file.

Quando l'impronta serve a dimostrare chi ha scritto una cosa e non solo che non è cambiata, entra in gioco la chiave: continua con Il simulatore di crittografia. Se invece ti interessa vedere una catena di impronte tenere insieme un registro che nessuno può correggere, il seguito è Blockchain & Mining.