Brute force e MFA
Brute force è uno dei sei tipi d’attacco del duello a carte, e MFA è la difesa che lo contrasta. Qui trovi cosa rappresentano nella sicurezza vera, come si fronteggiano nel gioco e tutte le loro 19 carte.
L'attacco: Brute force
Il brute force prova password su password finché una funziona. Le varianti più furbe sono l'attacco a dizionario, che usa le parole più comuni, il password spraying, che tenta poche password su moltissimi account per non far scattare i blocchi, e il credential stuffing, che riusa coppie di credenziali rubate altrove. Funziona perché tante password sono corte, prevedibili o riutilizzate su più siti.
La difesa: MFA
L'autenticazione a più fattori (MFA) chiede, oltre alla password, una seconda prova: un codice temporaneo, una notifica sul telefono, una chiave hardware o una passkey. Così una password indovinata o rubata non basta più per entrare. Le chiavi FIDO2 e le passkey resistono anche al phishing, perché non si possono usare su un sito falso.
Chi ferma chi
- MFA contro Brute force: danno dimezzato. Anche indovinando la password manca il secondo fattore: l'accesso resta chiuso.
- Brute force contro IDS: danno doppio. Ogni tentativo è un login regolare sulla pagina giusta: un attacco lento e distribuito somiglia al traffico normale.
- Brute force contro Patch: danno doppio. Non sfrutta nessuna falla, usa la funzione di accesso così com'è: nessun aggiornamento rende robusta una password debole.
- Exploit contro MFA: danno doppio. L'exploit non passa dal login, salta del tutto l'autenticazione: il secondo fattore non entra mai in gioco.
- Scansione contro MFA: danno doppio. Una scansione non prova ad accedere a nessun account, guarda solo cosa risponde: il secondo fattore non c'entra.
Contro tutte le altre combinazioni il danno è normale.
Le combo con Brute force
- Kill chain (Scansione → Exploit o Brute force, +2 danni): prima si scopre cosa è esposto, poi si attacca il punto debole trovato.
- Furto di credenziali (Phishing → Brute force, +2 danni): le password ottenute con il phishing rendono molto più efficaci i tentativi di accesso.
Carte d'attacco Brute force (10)
Password spray
Prova poche password comuni su moltissimi account, per non far scattare blocchi.
Attacco a dizionario
Prova le password più comuni, una dopo l’altra. Funziona più spesso di quanto si pensi.
Credential stuffing
Riusa username e password rubati in altri siti: funziona perché si riusa la password.
Brute force a tappeto
Attacco solido a costo medio.
Credential dump
Peschi una carta.
Low and slow
Pochi tentativi, molto distanziati: restano sotto la soglia degli allarmi e i blocchi non scattano. Per 2 turni, a inizio turno le difese avversarie perdono 1 resistenza.
Chiavi API esposte
Una chiave dimenticata in un repository pubblico vale quanto una password. Si evita con segreti in un vault e scansione dei repository. L’avversario scarta 1 carta a caso.
Rainbow table
Attacco forte, senza effetti.
MFA fatigue
Raffiche di richieste di approvazione finché l’utente, stanco, accetta. Si risponde con il numero da confermare e un limite alle richieste. Le difese avversarie sono esposte (+1 danno) per 2 turni.
Pass-the-hash
L’impronta di una password basta per spostarsi da una macchina all’altra senza conoscerla. Si limita con credenziali locali uniche e livelli di amministrazione. La difesa avversaria più forte perde 2 resistenza e le difese avversarie sono esposte (+1 danno) per 2 turni.
Carte di difesa MFA (9)
Codice OTP
Secondo fattore con un codice temporaneo: la sola password non basta più.
Password manager
Password lunghe e diverse per ogni sito, senza doverle ricordare. Difesa economica.
Chiave hardware
Chiave FIDO2: resiste anche al phishing delle credenziali.
Bastion host
Provocazione: va colpita per prima.
Passkey
Rigenera: +1 resistenza a inizio turno.
Controllo accessi di rete (NAC)
Ogni dispositivo deve identificarsi prima di entrare: uno sconosciuto resta fuori o finisce in quarantena. Provocazione: va colpita per prima. Scudo: −1 a ogni danno al tuo core.
Vault cifrato
Un caveau digitale: dati cifrati, apribili solo con più fattori. Armatura: −1 a ogni colpo subito.
Fortezza zero trust
Un’architettura dove ogni accesso va verificato, anche dall’interno della rete. Armatura: −1 a ogni colpo subito. Scudo: −1 a ogni danno al tuo core.
Chiave FIDO2
La credenziale è legata al sito vero: su uno falso non produce nulla, e il phishing perde il suo scopo. Contrattacco: chi la colpisce perde 1 integrità.
Guide collegate
Per imparare la parte tecnica ci sono i laboratori simulati: