Šie išpuoliai gali būti naudojami prieš bet kokio tipo šifravimą, esant skirtingai sėkmingai. Brute force force išpuoliai tampa greitesni ir efektyvesni kiekvieną dieną, kai paleidžiama nauja, spartesnė kompiuterinė įranga.
Brute-Force pagrindai
Brute-force išpuoliai yra paprasti suprasti. Užpuolikas turi užšifruotą failą - tarkim, jūsų LastPass ar KeePass slaptažodžių duomenų bazę. Jie žino, kad šiame faile yra duomenų, kuriuos jie nori matyti, ir jie žino, kad yra užrakto kodo. Jei norite jį iššifruoti, jie gali pradėti išbandyti kiekvieną galimą slaptažodį ir sužinoti, ar tai sukelia iššifruotą failą.
Jie tai daro automatiškai, naudodamiesi kompiuterine programa, todėl greitis, kuriuo kas nors gali sugadinti šriftą, kai prieinama kompiuterinė įranga tampa greičiau ir sparčiau, gali atlikti daugiau skaičiavimų per sekundę. Prieš pereinant prie dviejų ženklų slaptažodžių, prieš paleidžiant dviženklius slaptažodžius greičiausiai bus pradėtas vienkartinių slaptažodžių naudojimas, ir išbandys visus galimus derinius, kol tas pats veiks.
"Žodyno ataka" yra panaši ir bando žodžius į žodyną (arba bendrų slaptažodžių sąrašą), o ne visus galimus slaptažodžius. Tai gali būti labai veiksminga, nes daugelis žmonių naudoja tokius silpnus ir įprastus slaptažodžius.
Kodėl atakuojantys žmonės negali naudotis neapykantos žiniatinklio paslaugomis?
Yra skirtumas tarp internetinių ir neprisijungusių brute-force atakų. Pavyzdžiui, jei užpuolikas nori griaudinti savo kelią į savo "Gmail" paskyrą, jie gali pradėti išbandyti kiekvieną galimą slaptažodį, tačiau "Google" greitai juos pašalins. Paslaugos, suteikiančios prieigą prie tokių sąskaitų, padės išvengti prieigos bandymų ir uždrausti IP adresus, kurie bando prisijungti tiek kartų. Taigi išpuolis prieš internetinę paslaugą neveikia pernelyg gerai, nes labai mažai bandymų galima atlikti prieš užpuolimo sustabdymą.
Pavyzdžiui, po kelių nesėkmingų prisijungimo bandymų, "Gmail" parodys jums "CATPCHA" vaizdą, kad patvirtintumėte, jog nesate kompiuteris, kuris automatiškai bando slaptažodžius. Jie greičiausiai sustabdys prisijungimo bandymus, jei sugebėsite tęsti pakankamai ilgai.
Maišymas
Stiprūs maišymo algoritmai gali sulėtinti brute-force išpuolius. Iš esmės, maišymo algoritmai atlieka papildomą matematinį darbą slaptažodžiu prieš saugodami iš disko esančio slaptažodžio reikšmę. Jei naudojamas lėtesnis maišos algoritmas, kiekvienam slaptažodžiui išbandyti reikės tūkstančius kartų daugiau matematinių darbų ir žymiai sulėtinti brute-force atakas. Tačiau kuo daugiau darbo reikia, tuo daugiau serverio ar kito kompiuterio turi dirbti kiekvieną kartą, kai vartotojas įveda savo slaptažodį. Programinė įranga turi susilaikyti nuo atsparumo grubių jėgų išpuolių su išteklių naudojimu.
Brute-Force Speed
Greitis priklauso nuo aparatūros. Žvalgybos agentūros gali kurti specializuotą įrangą tik už brute-force išpuolius, taip pat kaip "Bitcoin miners" kuria savo specializuotą įrangą, optimizuotą Bitcoin kasybai. Kalbant apie vartotojų techninę įrangą, efektyviausias aparatūros tipas brutalia jėgos atakoms yra grafikos plokštė (GPU). Kadangi vienu metu paprasta išbandyti daugybę skirtingų šifravimo raktų, daugelis lygiagrečių vaizdo plokščių yra idealūs.
2012 m. Pabaigoje "Ars Technica" pranešė, kad "25-GPU" klasteris gali sugadinti kiekvieną "Windows" slaptažodį iki 8 simbolių mažiau nei per šešias valandas. "Microsoft" naudojamas NTLM algoritmas nebuvo pakankamai lankstus. Tačiau, kai buvo sukurta NTLM, reikėjo daug ilgiau išbandyti visus šiuos slaptažodžius. Tai nebuvo laikoma pakankamai grėsme Microsoft, kad šifravimas būtų stipresnis.
Greitis didėja, ir per kelis dešimtmečius mes galime pastebėti, kad net stipriausius šifravimo algoritmus ir šifravimo raktus, kuriuos mes naudojame šiandien, gali greitai sugadinti kvantiniai kompiuteriai ar kokia kita įranga, kurią mes naudojame ateityje.
Jūsų duomenų apsauga nuo brute Force Attacks
Nėra galimybės visiškai apsisaugoti. Neįmanoma pasakyti, kiek greitai bus kompiuterinė įranga, ir ar kokie šifravimo algoritmai, kuriuos mes naudojame šiandien, turi trūkumų, kuriuos ateityje bus galima aptikti ir išnaudoti. Tačiau čia yra pagrindai:
- Saugokite savo šifruotus duomenis saugioje vietoje, kur užpuolikai negali prieiti prie jo. Kai tik jūsų duomenys bus nukopijuoti į jų techninę įrangą, jie galės laisvalaikiu išbandyti brute force strikes.
- Jei paleisite bet kurią paslaugą, kuri priima prisijungimus per internetą, įsitikinkite, kad ji riboja prisijungimo bandymus ir per trumpą laiką blokuoja žmones, kurie bando prisijungti naudodamiesi daugybe skirtingų slaptažodžių. Paprastai serverio programinė įranga yra išjungta, nes tai yra gera saugumo praktika.
- Naudokite stiprius šifravimo algoritmus, tokius kaip SHA-512. Įsitikinkite, kad nenaudojate senų šifravimo algoritmų su žinomais trūkumais, kuriuos lengva įtrūkti.
- Naudokite ilgus, saugius slaptažodžius. Visos šifravimo technologijos pasaulyje nesiruošia padėti, jei naudojate "slaptažodį" ar vis populiaresnį "hunter2".
Brute force force išpuoliai yra tai, kas yra susirūpinęs saugant jūsų duomenis, pasirinkus šifravimo algoritmus ir pasirinkus slaptažodžius. Jie taip pat yra pagrindas toliau kurti tvirtesnius kriptografinius algoritmus - šifravimas turi sutapti su tuo, kaip greitai ji yra neveiksminga nauja įranga.
