La società di consulenza informatica e sicurezza Electric Alchemy (EA) è recentemente salita agli onori delle cronache per aver forzato alcuni file cifrati con PGP. Nel suo blog si spiega dettagliatamente l'impresa, riuscita grazie all'utilizzo del servizio Amazon EC2.

Già lo scorso aprile, durante la conferenza InfoSec, una querelle aveva impegnate PGP ed ElcomSoft: quest'ultima dichiarava di essere riuscita a rompere i sigilli di PGP grazie a un metodo infallibile, l'ElcomSoft Distributed Password Recovery (EDPR).

La risposta di Jon Callas, CTO di PGP, non si era fatta attendere: "Non hanno penetrato PGP grazie a un sistema, hanno solo fatto cracking. C'è differenza. Non sono stati gli unici a farlo". Dopo aver contattato il responsabile di ElcomSoft, Andrey Belenko, e aver ottenuto una patch utile al proprio scopo, EA ha calcolato che per perpetrare un attacco a forza bruta su un file cifrato con passphrase ragionevolmente complessa ci sarebbero voluti 2.100 giorni di lavoro con una workstation dual core Windows 7, ecco perché si è pensato al cloud, in particolare a EC2.

Configurato questo servizio per ricevere un'istanza di EDPR e installata la sola prima unità client, EA ha utilizzato l'EDPR Manager per controllarla, programmando un attacco a forza bruta sull'obiettivo, per cercare una password di 8 caratteri composta da maiuscole, minuscole o cifre numeriche. Con una sola istanza funzionante sul cloud, a un costo di 0,10 dollari l'ora, sono state così provate 500.000 chiavi al secondo, con un tempo totale richiesto di 3.600 giorni.

• Pubblicazioni correlate:
• 17-11-2009 Attacco a forza bruta grazie al cloud (2/2)