Cos’è una funzione di hash?

L’enorme aumento della quantità di dati elaborati in tutto il mondo e nelle reti dati locali solleva co­stan­te­men­te la seguente domanda: con che rapidità si può accedere a grandi quantità di dati e come si ga­ran­ti­sce la sicurezza dello scambio di dati? Proprio qui scende in campo, assieme ad altre tec­no­lo­gie di sicurezza, la funzione di hash. In questo articolo vi spie­ghia­mo quali sono le sue ca­rat­te­ri­sti­che e a cosa serve.

Il termine inglese “hash” significa “smi­nuz­za­re”. Tramite la funzione di hash, quindi, i dati vengono “smi­nuz­za­ti” e portati a una lunghezza uniforme, in­di­pen­den­te­men­te dalla di­men­sio­ne del valore di partenza. Questa funzione viene uti­liz­za­ta in molti ambiti della tec­no­lo­gia dell’in­for­ma­zio­ne. Tra di essi troviamo, ad esempio:

• La co­mu­ni­ca­zio­ne cifrata tra server web e browser, così come la creazione di ID di sessione per ap­pli­ca­zio­ni Internet e cache di dati (caching)
• La pro­te­zio­ne di dati sensibili come password, analisi web, metodi di pagamento
• La firma digitale dei messaggi di posta elet­tro­ni­ca
• L’in­di­vi­dua­liz­za­zio­ne di set di dati uguali o simili tramite funzioni di ricerca

Una funzione di hash deve sod­di­sfa­re dei requisiti definiti, in modo tale da avere le seguenti proprietà:

Non è possibile tornare al contenuto dei dati ori­gi­na­rio a partire dal valore di hash creato. Nell’esempio sopra rap­pre­sen­ta­to, non è quindi possibile risalire dal valore di hash creato “$P$Hv8rpLan­TSY­SA/2bP1xN.S6Mdk32.Z3” alla password “susi_562#alone”.

Non può accadere che a dati di origine diversa venga at­tri­bui­to lo stesso valore di hash. Ogni in­se­ri­men­to deve generare un nuovo valore di hash. Se questo viene garantito, si parla anche di una funzione di hash crit­to­gra­fi­ca. Nell’immagine qui sopra non sus­si­sto­no valori identici, quindi nemmeno col­li­sio­ni (“incidenti”) tra i dati creati. Per evitare tali col­li­sio­ni i pro­gram­ma­to­ri fanno uso di tec­no­lo­gie avanzate.

Se la tra­sfor­ma­zio­ne dei dati immessi in un valore di hash ri­chie­des­se molto tempo, la procedura andrebbe con­si­de­ra­ta inadatta. La funzione di hash deve quindi fun­zio­na­re in modo molto rapido. Nelle banche dati, i valori di hash vengono me­mo­riz­za­ti nelle co­sid­det­te tabelle di hash per garantire un accesso rapido.

Perciò il valore di hash è il risultato calcolato tramite la funzione di hash e un algoritmo di hash. Per indicare il valore di hash si utilizza anche il termine “fin­ger­print” a evi­den­zia­re l’unicità di ciascuno di questi, pa­ra­go­na­bi­le a quella di un’impronta digitale. Uti­liz­zan­do le lettere minuscole da “a” a “f” e i numeri da “0” a “9”, nel caso di un valore di hash della lunghezza di 64 caratteri, esistono 1.1579209e+77 pos­si­bi­li­tà di valori ot­te­ni­bi­li, ciò equivale a 70 seguito da 24 zeri. Questo va a di­mo­stra­re che anche stringhe non molto lunghe creano un’impronta digitale fruibile.

I valori di hash mostrati nell’esempio qui sopra possono essere fa­cil­men­te creati con poche righe di codice PHP.

Qui si utilizza l’algoritmo di cifratura "SHA256" per calcolare il valore di ingresso "apple". Il cor­ri­spon­den­te valore di hash o l’impronta digitale è sempre “3a42c503953909637f78dd8c99b3b85ddde362415585afc11901bdefe8349102“.

Le chiavi di sessione (Session ID) vengono generate da dati variabili di una visita a un sito web, come indirizzo IP e la va­li­da­zio­ne temporale, e trasmesse tramite URL. Tali ID di sessione sono ad esempio necessari per iden­ti­fi­ca­re in modo univoco il carrello di un utente su un e-commerce. Al giorno d’oggi, gli ID di sessione vengono raramente trasmessi at­tra­ver­so URL (vale a dire: www.domain.tld/index?sid=d4ccaf2627557c756a0762419a4b6695). È infatti molto più comune l’iden­ti­fi­ca­zio­ne nell’header del sito Internet tramite cookie.

Anche l’ar­chi­via­zio­ne tem­po­ra­nea di in­for­ma­zio­ni nelle cache avviene tramite valori di hash cifrati. In questo modo gli utenti che non ne hanno i diritti, una volta visionata la cache, non possono risalire ai siti Internet visitati o estrarre i dati di accesso o pagamento.

La co­mu­ni­ca­zio­ne tra server FTP e client funziona allo stesso modo quando si utilizza il pro­to­col­lo SFTP.

Dall’esempio della pagina di WordPress si deduce che una password è sempre cifrata prima di essere ar­chi­via­ta. In com­bi­na­zio­ne con le chiavi di sessione generate nel sistema si ottiene un elevato livello di sicurezza, im­por­tan­te so­prat­tut­to per pro­teg­ger­si dai co­sid­det­ti attacchi di forza bruta, nei quali un hacker prova varie com­bi­na­zio­ni uti­liz­zan­do una funzione di hash pro­gram­ma­ta au­to­no­ma­men­te, fino a rag­giun­ge­re una cor­ri­spon­den­za che permetta l’accesso. L’utilizzo di password lunghe con elevati standard di sicurezza rende il successo di questi attacchi meno probabile, poiché la potenza di calcolo richiesta è molto più elevata. Ancora un consiglio: non uti­liz­za­te password semplici e siate sicuri di pro­teg­ge­re le vostre in­for­ma­zio­ni di accesso e dati di qualsiasi tipo contro l’accesso non au­to­riz­za­to.

Di seguito come si svolge l’invio di un messaggio con firma digitale:

• Il mittente converte il suo messaggio in un valore di hash e lo codifica usando la sua chiave privata. Questo valore hash cifrato è la firma digitale.
• Il messaggio viene inviato al de­sti­na­ta­rio assieme al valore di hash cifrato.
• Il de­sti­na­ta­rio a sua volta genera un valore di hash del messaggio ricevuto usando la stessa funzione di hash. Inoltre, quest’ultimo de­co­di­fi­ca il valore di hash ricevuto con la chiave pubblica e li confronta tra loro.
• Se i due valori cor­ri­spon­do­no, il de­sti­na­ta­rio può dedurne che il messaggio non è stato ma­ni­po­la­to durante il percorso.

At­ten­zio­ne: una firma digitale non determina la cifratura del messaggio, bensì fornisce una di­mo­stra­zio­ne dell’integrità del messaggio stesso. I contenuti sensibili devono essere ul­te­rior­men­te cifrati.

La ricerca tra grandi quantità di dati è una procedura che richiede l’impiego di molte risorse. Im­ma­gi­na­te di avere una tabella che elenchi ogni abitante di una grande città, con molti campi diversi per ogni voce (nome, cognome, indirizzo, ecc.). Trovare un solo termine sarebbe molto di­spen­dio­so in termini di tempo e ri­chie­de­reb­be molta potenza di calcolo. Per sem­pli­fi­ca­re questo processo, ogni voce della tabella può essere con­ver­ti­ta in un unico valore di hash. Il termine di ricerca viene poi con­ver­ti­to anch’esso in un valore di hash. Questo limita il numero di lettere, cifre e simboli che devono essere con­fron­ta­ti, il che è molto più ef­fi­cien­te della ricerca in ogni campo che esiste nella tabella dei dati, ad esempio, di tutti i nomi che iniziano con “Ann”.