Identificatore di Crittografia

Modelli di firma utilizzati dall’identificatore

Basato sulla lunghezza (per hash codificati in esadecimale):

Le altre lunghezze, come SHA-224 con 56 caratteri esadecimali o SHA-384 con 96, non vengono riconosciute come hash (una stringa esadecimale di 56 o 96 caratteri viene classificata come Base64).

Basato sul prefisso (vengono riconosciuti solo i prefissi bcrypt):

• $2a$ $2b$ $2y$ bcrypt

Gli altri prefissi in stile crypt ($1$, $5$, $6$, $argon2i$, $argon2id$, $pbkdf2$) non vengono riconosciuti.

Basato sulla codifica:

• Tutti i caratteri in [A-Za-z0-9+/=] e lunghezza multipla di 4: probabile Base64.
• Tre segmenti separati da ., ciascuno con caratteri di [A-Za-z0-9_-]: JWT.

Gli involucri PEM, i blob OpenSSH ssh-rsa/ssh-ed25519 e le stringhe Base64url che contengono - o _ non vengono rilevati.

Cosa l’identificazione non può dirti

• Algoritmo esatto con il 100% di certezza. Una stringa di 64 caratteri esadecimali viene segnalata come SHA-256, ma potrebbe essere anche SHA3-256 o BLAKE2s; sono indistinguibili dal testo cifrato. Gli hash NTLM (anche loro di 32 caratteri esadecimali) sono identici a MD5.
• Forza della chiave. Un hash bcrypt mostra il fattore di costo nel suo prefisso ($2y$10$ = costo 10), ma non la forza della password sottostante.
• Se è salato. Gli hash delle password moderni (bcrypt, Argon2) sono sempre salati; quelli vecchi (MD5/SHA raw) potrebbero esserlo o meno.
• Il testo in chiaro. L’identificazione non inverte l’hash; il cracking è un processo separato, legale solo sui tuoi dati.

Quando l’identificatore è errato

• Token con prefissi personalizzati. Le app a volte avvolgono un hash con il proprio prefisso; rimuovi prima l’involucro.
• Doppia codifica. L’hash binario avvolto in Base64 verrà identificato erroneamente. Prova a decodificare una volta e riesegui.
• Lunghezze insolite. Gli hash troncati (i primi 16 caratteri di SHA-256 usati come ID) vengono mostrati come “Base64” perché le regole sui caratteri e sulla lunghezza si sovrappongono.
• Formati incapsulati o avvolti. I blocchi PEM, le chiavi OpenSSH e pbkdf2_sha256$... di Django non vengono riconosciuti; rimuovi l’involucro o il prefisso e riprova, oppure usa un parser dedicato.

Casi d’uso

• Audit di sicurezza: catalogazione dei tipi di hash in un codice sorgente prima di una migrazione crittografica.
• Sfide CTF: primo passaggio veloce su un blob sconosciuto.
• Risposta agli incidenti: identificazione del formato delle credenziali trapelate.
• Debugging del framework: capire quale codifica produce una libreria.

Promemoria etico

Identificare un formato di hash è ricerca passiva. Crackare l’hash di qualcun altro senza autorizzazione viola le leggi sul misuso informatico nella maggior parte delle giurisdizioni. Lavora solo su hash che possiedi o per cui sei autorizzato ad analizzare.