Serangan Brute-Force Dijelaskan: Bagaimana Semua Enkripsi Rentan

Serangan brute-force

cukup mudah dipahami, namun sulit untuk dilawan. Enkripsi adalah matematika, dan saat komputer menjadi lebih cepat dalam matematika, mereka menjadi lebih cepat dalam mencoba semua solusi dan melihat mana yang sesuai.

Serangan ini dapat digunakan untuk melawan segala jenis enkripsi, dengan berbagai tingkat keberhasilan. Serangan brute-force menjadi lebih cepat dan lebih efektif setiap harinya seiring dengan semakin baru, perangkat keras komputer yang lebih cepat dilepaskan.

Dasar-Dasar Brute-Force

Serangan brute-force mudah dimengerti. Seorang penyerang memiliki file terenkripsi - misalnya, database kata sandi LastPass atau KeePass Anda. Mereka tahu bahwa file ini berisi data yang ingin mereka lihat, dan mereka tahu bahwa ada kunci enkripsi yang bisa membukanya. Untuk mendekripsinya, mereka dapat mulai mencoba setiap kata kunci yang mungkin dan melihat apakah itu menghasilkan file yang didekripsi.

Mereka melakukan ini secara otomatis dengan program komputer, jadi kecepatan di mana seseorang bisa memodifikasi enkripsi secara brute-force saat perangkat keras komputer menjadi lebih cepat dan cepat, mampu melakukan perhitungan lebih banyak per detik. Serangan brute force kemungkinan akan dimulai dengan kata sandi satu digit sebelum beralih ke kata kunci dua digit dan seterusnya, mencoba semua kombinasi yang mungkin sampai seseorang berhasil.

Sebuah "serangan kamus" serupa dan mencoba kata-kata dalam kamus - atau daftar kata kunci umum - alih-alih semua kemungkinan kata kunci. Ini bisa sangat efektif, karena banyak orang menggunakan kata kunci yang lemah dan umum seperti itu.

Mengapa Penyerang Tidak Bisa Memerangi Layanan Web

Ada perbedaan antara serangan brute force secara online dan offline. Misalnya, jika penyerang ingin memaksa masuk ke akun Gmail Anda, mereka dapat mulai mencoba setiap kemungkinan kata kunci - namun Google akan segera memotongnya. Layanan yang menyediakan akses ke akun semacam itu akan mencekal upaya akses dan melarang alamat IP yang sering masuk berkali-kali. Dengan demikian, serangan terhadap layanan online tidak akan berjalan dengan baik karena sangat sedikit usaha yang bisa dilakukan sebelum serangan tersebut dihentikan.

Sebagai contoh, setelah beberapa usaha login gagal, Gmail akan menunjukkan gambar CATPCHA untuk memverifikasi bahwa Anda bukan komputer yang secara otomatis mencoba kata kunci. Mereka kemungkinan akan menghentikan usaha login Anda sepenuhnya jika Anda berhasil melanjutkan cukup lama.

Di sisi lain, katakanlah seorang penyerang menyambar file terenkripsi dari komputer Anda atau berhasil kompromi layanan online dan mendownload file terenkripsi tersebut. Penyerang sekarang memiliki data terenkripsi pada perangkat keras mereka sendiri dan dapat mencoba sebanyak mungkin kata kunci yang mereka inginkan pada waktu senggang mereka. Jika mereka memiliki akses ke data terenkripsi, tidak ada cara untuk mencegah mereka mencoba sejumlah besar kata sandi dalam waktu singkat. Sekalipun Anda menggunakan enkripsi yang kuat, ini bermanfaat bagi Anda agar data Anda tetap aman dan memastikan orang lain tidak dapat mengaksesnya.

Hashing

Algoritma hashing yang kuat dapat memperlambat serangan brute-force. Intinya, algoritma hashing melakukan pekerjaan matematika tambahan pada sebuah kata kunci sebelum menyimpan sebuah nilai yang berasal dari kata sandi pada disk. Jika algoritma hashing yang lebih lambat digunakan, diperlukan beberapa kali kerja matematika untuk mencoba setiap kata kunci dan secara dramatis memperlambat serangan brute force. Namun, semakin banyak pekerjaan yang dibutuhkan, semakin banyak pekerjaan yang harus dilakukan server atau komputer lain setiap saat karena pengguna masuk dengan kata sandinya. Perangkat lunak harus menyeimbangkan ketahanan terhadap serangan brutal dengan penggunaan sumber daya.

Kecepatan Brute-Force

Kecepatan semua tergantung pada perangkat keras. Badan intelijen dapat membangun perangkat keras khusus hanya untuk serangan brutal, seperti penambang Bitcoin yang membangun perangkat keras khusus mereka yang dioptimalkan untuk pertambangan Bitcoin. Ketika menyangkut perangkat keras konsumen, jenis perangkat keras yang paling efektif untuk serangan brute force adalah kartu grafis( GPU).Karena mudah untuk mencoba berbagai kunci enkripsi sekaligus, banyak kartu grafis yang berjalan secara paralel sangat ideal.

Pada akhir tahun 2012, Ars Technica melaporkan bahwa cluster 25-GPU dapat memecahkan setiap kata kunci Windows di bawah 8 karakter dalam waktu kurang dari enam jam. Algoritma NTLM yang digunakan Microsoft hanya tidak cukup ulet. Namun, ketika NTLM diciptakan, akan memakan waktu lebih lama untuk mencoba semua kata kunci ini. Ini tidak dianggap cukup mengancam bagi Microsoft untuk membuat enkripsi lebih kuat.

Kecepatan

meningkat, dan dalam beberapa dekade kita mungkin menemukan bahwa bahkan algoritma kriptografi terkuat dan kunci enkripsi yang kita gunakan saat ini dapat dengan cepat di-crack oleh komputer kuantum atau perangkat keras lain yang kita gunakan di masa depan.

Melindungi Data Anda Dari Serangan Brute-Force

Tidak ada cara untuk melindungi diri sepenuhnya. Tidak mungkin mengatakan seberapa cepat perangkat keras komputer akan didapat dan apakah algoritma enkripsi yang kita gunakan saat ini memiliki kelemahan yang akan ditemukan dan dieksploitasi di masa depan. Namun, berikut adalah dasar-dasarnya:

• Simpan data terenkripsi Anda dengan aman di mana penyerang tidak dapat mengaksesnya. Begitu data mereka disalin ke perangkat keras mereka, mereka dapat mencoba serangan brute force terhadapnya saat liburan mereka.
• Jika Anda menjalankan layanan yang menerima info masuk melalui Internet, pastikan perangkat tersebut membatasi upaya masuk dan memblokir orang yang mencoba masuk dengan banyak kata kunci berbeda dalam waktu singkat. Perangkat lunak server umumnya diatur untuk melakukan ini di luar kotak, karena ini adalah praktik keamanan yang baik.
• Gunakan algoritma enkripsi yang kuat, seperti SHA-512.Pastikan Anda tidak menggunakan algoritma enkripsi lama dengan kelemahan yang diketahui yang mudah dipecahkan.
• Gunakan password yang panjang dan aman. Semua teknologi enkripsi di dunia tidak akan membantu jika Anda menggunakan "kata sandi" atau "hunter2" yang selalu populer. Serangan brute-force

adalah sesuatu yang perlu diperhatikan saat melindungi data Anda, memilih algoritma enkripsi, dan memilih kata kunci. Mereka juga menjadi alasan untuk terus mengembangkan algoritma kriptografi yang lebih kuat - enkripsi harus sesuai dengan seberapa cepat kinerjanya tidak efektif oleh perangkat keras baru.

Image Credit: Johan Larsson di Flickr, Jeremy Gosney