Атаките с груба сила са доста простиразбирам, но трудно за защита. Шифроването е математика и тъй като компютрите стават по-бързи по математика, те стават по-бързи при опитите на всички решения и да видят кое от тях е подходящо.
Тези атаки могат да се използват срещу всеки типкриптиране, с различна степен на успех. Бруталните атаки стават по-бързи и ефективни с всеки изминал ден, когато се освобождава по-нов, по-бърз компютърен хардуер.
Основи на грубата сила
Атаките с груба сила са лесни за разбиране. Нападателят има криптиран файл - да речем, вашата база данни с парола LastPass или KeePass. Те знаят, че този файл съдържа данни, които искат да видят, и знаят, че има ключ за криптиране, който го отключва. За да го дешифрират, те могат да започнат да изпробват всяка възможна парола и да видят дали това води до дешифриран файл.
Правят това автоматично с компютърпрограма, така че скоростта, с която някой може да извърши грубо криптиране, се увеличава, тъй като наличният компютърен хардуер става все по-бърз и по-бърз, способен да прави повече изчисления в секунда. Атаката с груба сила вероятно ще започне с едноцифрени пароли, преди да преминете към двуцифрени пароли и така нататък, опитвайки всички възможни комбинации, докато една не работи.
„Атака на речник“ е подобна и опитва думив речник - или списък с често срещани пароли - вместо всички възможни пароли. Това може да бъде много ефективно, тъй като много хора използват такива слаби и общи пароли.
Защо нападателите не могат да използват групови уеб услуги
Има разлика между онлайн и офлайнбрутални атаки. Например, ако нападател иска да си навлече грубо в акаунта в Gmail, той може да започне да изпробва всяка възможна парола - но Google бързо ще ги отреже. Услугите, които предоставят достъп до такива акаунти, ще ограничат опитите за достъп и ще забранят IP адресите, които се опитват да влязат толкова много пъти. По този начин, атака срещу онлайн услуга няма да работи твърде добре, тъй като могат да бъдат направени много малко опити, преди атаката да бъде спряна.
Например след няколко неуспешни опита за влизане,Gmail ще ви покаже изображение CATPCHA, за да потвърди, че не сте компютър, който автоматично изпробва пароли. Те вероятно ще спрат напълно вашите опити за вход, ако сте успели да продължите достатъчно дълго.
От друга страна, да речем, че нападател е бил забиткриптиран файл от вашия компютър или успя да компрометира онлайн услуга и да изтегли такива криптирани файлове. Сега нападателят разполага с криптирани данни на собствения си хардуер и може да опита толкова пароли, колкото иска в свободното си време. Ако имат достъп до криптираните данни, няма начин да им попречите да опитат голям брой пароли за кратък период от време. Дори ако използвате силно криптиране, е от ваша полза да пазите данните си и да гарантирате, че другите нямат достъп до тях.
хеширане
Силните алгоритми за хеширане могат да се забавятбрутални атаки. По същество, алгоритмите за хеширане извършват допълнителна математическа работа върху парола, преди да запазят стойност, получена от паролата на диска. Ако се използва по-бавен алгоритъм на хеширане, ще е необходимо хиляди пъти повече математическа работа, за да се опита всяка парола и драстично да се забавят атаките с груба сила. Въпреки това, колкото повече работа се изисква, толкова повече работа трябва да свърши сървър или друг компютър всеки път, когато потребителят влезе с паролата си. Софтуерът трябва да балансира устойчивостта срещу брутални атаки с използване на ресурси.
Брута сила
Скоростта всичко зависи от хардуера. Разузнавателните агенции могат да изграждат специализиран хардуер само за атаки с груба сила, точно както миньорите на Bitcoin изграждат собствен специализиран хардуер, оптимизиран за добив на биткойн. Когато става дума за потребителски хардуер, най-ефективният тип хардуер за груби сили атаки е графична карта (GPU). Тъй като е лесно да изпробвате много различни ключове за криптиране наведнъж, много графични карти, работещи успоредно, са идеални.
В края на 2012 г. Ars Technica съобщи, че a25-GPU клъстер може да напука всяка парола за Windows под 8 знака за по-малко от шест часа. Използваният алгоритъм на NTLM Microsoft не беше достатъчно еластичен. Когато обаче беше създаден NTLM, щеше да отнеме много повече време, за да се изпробват всички тези пароли. Това не се счита за достатъчно заплаха за Microsoft, за да засили криптирането.
Скоростта се увеличава и след няколко десетилетия можемоткрийте, че дори най-силните криптографски алгоритми и ключове за криптиране, които използваме днес, могат да бъдат бързо пробити от квантовите компютри или какъвто и да е друг хардуер, който използваме в бъдеще.
Защита на вашите данни от брутални атаки
Няма начин да се защитите напълно. Невъзможно е да се каже колко бързо ще се получи хардуерът на компютъра и дали някой от алгоритмите за криптиране, които използваме днес, има слабости, които ще бъдат открити и използвани в бъдеще. Ето обаче основните положения:
- Пазете своите криптирани данни на сигурно място, където нападателите не могат да получат достъп до тях. След като копират вашите данни на техния хардуер, те могат да изпробват груби атаки срещу него в свободното си време.
- Ако стартирате някоя услуга, която приема входИнтернет, гарантирайте, че ограничава опитите за влизане и блокира хората, които се опитват да влязат с много различни пароли за кратък период от време. Обикновено сървърният софтуер е настроен да прави това извън кутията, тъй като това е добра практика за сигурност.
- Използвайте силни алгоритми за криптиране, като SHA-512. Уверете се, че не използвате стари алгоритми за криптиране с известни слабости, които са лесни за разбиване.
- Използвайте дълги, сигурни пароли. Цялата технология за криптиране в света няма да помогне, ако използвате „парола“ или все по-популярния „ловец2“.
Атаките с груба сила са нещо, за което трябва да се безпокоиотносно защитата на вашите данни, избора на алгоритми за криптиране и избора на пароли. Те също са причина да продължават да разработват по-силни криптографски алгоритми - криптирането трябва да бъде в крак с това колко бързо се прави неефективно от новия хардуер.
Кредитна снимка: Йохан Ларсон в Flickr, Джеръми Госни
