19Aug
" brutalia jėga atakos yra gana paprasta suprasti, tačiau sunku apsaugoti.Šifravimas yra matematika, o kai kompiuteriai tampa greičiau matematikos srityje, jie greičiau stengiasi išbandyti visus sprendimus ir pamatyti, kuris iš jų tinka.
Šie išpuoliai gali būti naudojami prieš bet kokio tipo šifravimą, esant skirtingai sėkmingai. Brute force force išpuoliai tampa greitesni ir efektyvesni kiekvieną dieną, kai paleidžiama nauja, spartesnė kompiuterinė įranga.
Brute-Force Basics
Brute-force išpuoliai yra paprasti suprasti. Užpuolikas turi užšifruotą failą - tarkim, jūsų LastPass ar KeePass slaptažodžių duomenų bazę.Jie žino, kad šiame faile yra duomenų, kuriuos jie nori matyti, ir jie žino, kad yra užrakto kodo. Jei norite jį iššifruoti, jie gali pradėti išbandyti kiekvieną galimą slaptažodį ir sužinoti, ar tai sukelia iššifruotą failą.
Tai atliekama automatiškai naudojant kompiuterinę programą, todėl greitis, kuriuo kas nors gali sugadinti šriftą, padidėja, nes kompiuterio aparatūra tampa greitesnė ir greitesnė, ji gali atlikti daugiau skaičiavimų per sekundę.Prieš pereinant prie dviejų ženklų slaptažodžių, prieš paleidžiant dviženklius slaptažodžius greičiausiai prasidės vienkartiniai slaptažodžiai, bandydami visus įmanomus derinius, kol tas pats veiks.
"Žodyno ataka" yra panaši, o žodynuose - arba bendrų slaptažodžių sąraše - bandomi žodžiai, o ne visi galimi slaptažodžiai. Tai gali būti labai veiksminga, nes daugelis žmonių naudoja tokius silpnus ir įprastus slaptažodžius.
Kodėl užpuolikai negali užkrauti interneto paslaugų
Yra skirtumas tarp internetinių ir neprisijungusių brute-force atakų.Pavyzdžiui, jei užpuolikas nori griaudinti savo kelią į savo "Gmail" paskyrą, jie gali pradėti išbandyti kiekvieną galimą slaptažodį, tačiau "Google" greitai juos pašalins. Paslaugos, suteikiančios prieigą prie tokių sąskaitų, padės išvengti prieigos bandymų ir uždrausti IP adresus, kurie bando prisijungti tiek kartų.Taigi išpuolis prieš internetinę paslaugą neveikia pernelyg gerai, nes labai mažai bandymų galima atlikti prieš užpuolimo sustabdymą.
Pavyzdžiui, po kelių nesėkmingų prisijungimo bandymų, "Gmail" parodys jums "CATPCHA" vaizdą, kad patikrintumėte, ar esate ne kompiuteris, automatiškai bandantis slaptažodžius. Jie greičiausiai sustabdys prisijungimo bandymus, jei sugebėsite tęsti pakankamai ilgai.
Kita vertus, tarkime, kad užpuolikas užstrigo šifruotą failą iš savo kompiuterio arba sugebėjo pakenkti internetinei paslaugai ir atsisiųsti tokius šifruotus failus. Užpuolikas dabar turi užšifruotus duomenis savo aparatinėje įrangoje ir gali išbandyti tiek slaptažodžių, kiek nori laisvalaikiu. Jei jie turi prieigą prie užkoduotų duomenų, tai nėra būdas užkirsti kelią jiems bandyti daugybę slaptažodžių per trumpą laiką.Net jei naudojate tvirtą šifravimą, jūsų nauda saugo duomenis ir užtikrina, kad kiti negali prieiti prie jos.
Hashing
Stiprūs maišymo algoritmai gali sulėtinti brute-force atakas. Iš esmės, maišymo algoritmai atlieka papildomą matematinį darbą slaptažodžiu prieš saugodami iš disko esančio slaptažodžio reikšmę.Jei naudojamas lėtesnis maišos algoritmas, kiekvienam slaptažodžiui išbandyti reikės tūkstančius kartų daugiau matematinių darbų ir žymiai sulėtinti brute-force atakas. Tačiau kuo daugiau darbo reikia, tuo daugiau serverio ar kito kompiuterio turi dirbti kiekvieną kartą, kai vartotojas įveda savo slaptažodį.Programinė įranga turi susilaikyti nuo atsparumo grubių jėgų išpuolių su išteklių naudojimu.
Brute-Force Speed
greitis priklauso nuo aparatūros.Žvalgybos agentūros gali kurti specializuotą įrangą tik už brute-force išpuolius, taip pat kaip "Bitcoin miners" kuria savo specializuotą įrangą, optimizuotą Bitcoin kasybai. Kalbant apie vartotojų techninę įrangą, efektyviausias aparatūros tipas brutalia jėgos atakoms yra grafikos plokštė( GPU).Kadangi vienu metu paprasta išbandyti daugybę skirtingų šifravimo raktų, daugelis lygiagrečių vaizdo plokščių yra idealūs.
2012 m. Pabaigoje "Ars Technica" pranešė, kad 25 "GPU" klasteris galėtų užrakinti bet kurį "Windows" slaptažodį iki 8 simbolių mažiau nei per šešias valandas."Microsoft" naudojamas NTLM algoritmas nebuvo pakankamai lankstus. Tačiau, kai buvo sukurta NTLM, reikėjo daug ilgiau išbandyti visus šiuos slaptažodžius. Tai nebuvo laikoma pakankamai grėsme Microsoft, kad šifravimas būtų stipresnis.
greitis didėja, o per keletą dešimtmečių mes galime pastebėti, kad net stipriausius šifravimo algoritmus ir šifravimo raktus, kuriuos mes naudojame šiandien, greitai gali sugadinti kvantiniai kompiuteriai ar kokia kita įranga, kurią mes naudojame ateityje.
Jūsų duomenų apsauga nuo brute-force Attacks
Nėra jokios galimybės visiškai apsaugoti save. Neįmanoma pasakyti, kiek greitai bus kompiuterinė įranga, ir ar kokie šifravimo algoritmai, kuriuos mes naudojame šiandien, turi trūkumų, kuriuos ateityje bus galima aptikti ir išnaudoti. Tačiau čia yra pagrindai:
- Saugokite savo šifruotus duomenis saugioje vietoje, kur prieglobos serveriai negali prieiti prie jo. Kai jie savo duomenis nukopijuos į savo techninę įrangą, jie galės laisvalaikiu išbandyti brute force attacks.
- Jei naudojate bet kurią paslaugą, kuri priima prisijungimus per internetą, įsitikinkite, kad ji riboja prisijungimo bandymus ir per trumpą laiką blokuoja žmones, kurie bando prisijungti naudodamiesi daugybe skirtingų slaptažodžių.Paprastai serverio programinė įranga yra išjungta, nes tai yra gera saugumo praktika.
- Naudokite stiprius šifravimo algoritmus, tokius kaip SHA-512.Įsitikinkite, kad nenaudojate senų šifravimo algoritmų su žinomais trūkumais, kuriuos lengva įtrūkti.
- Naudokite ilgus, saugius slaptažodžius. Visos šifravimo technologijos pasaulyje nesiruošia padėti, jei naudojate "slaptažodį" ar vis populiaresnį "hunter2".
Brutal force attacks - tai kažkas, dėl ko reikia apsaugoti savo duomenis, pasirinkti šifravimo algoritmus ir pasirinkti slaptažodžius. Jie taip pat yra pagrindas toliau kurti tvirtesnius kriptografinius algoritmus - šifravimas turi sutapti su tuo, kaip greitai ji yra neveiksminga nauja įranga.
Image Credit: Johan Larsson "Flickr", Jeremy Gosney