Οι βίαιες επιθέσεις είναι αρκετά απλέςκατανοούν, αλλά είναι δύσκολο να προστατευθούν. Η κρυπτογράφηση είναι μαθηματικά και καθώς οι υπολογιστές γίνονται ταχύτεροι στα μαθηματικά, γίνονται ταχύτεροι στο να δοκιμάζουν όλες τις λύσεις και να βλέπουν ποιοι ταιριάζουν.
Αυτές οι επιθέσεις μπορούν να χρησιμοποιηθούν εναντίον οποιουδήποτε τύπουκρυπτογράφησης, με διαφορετικούς βαθμούς επιτυχίας. Οι βίαιες επιθέσεις γίνονται ταχύτερες και πιο αποτελεσματικές με κάθε μέρα που περνάει, καθώς απελευθερώνεται πιο γρήγορα και πιο γρήγορα το υλικό του υπολογιστή.
Βασικά στοιχεία βίαιης δύναμης
Οι βίαιες επιθέσεις είναι απλές στην κατανόηση. Ένας εισβολέας έχει ένα κρυπτογραφημένο αρχείο - ας πούμε, τη βάση δεδομένων του LastPass ή του KeePass. Ξέρουν ότι αυτό το αρχείο περιέχει δεδομένα που θέλουν να δουν και ξέρουν ότι υπάρχει ένα κλειδί κρυπτογράφησης που το ξεκλειδώνει. Για να το αποκρυπτογραφήσουν, μπορούν να αρχίσουν να δοκιμάζουν κάθε πιθανό κωδικό πρόσβασης και να δουν αν αυτό έχει ως αποτέλεσμα ένα αποκρυπτογραφημένο αρχείο.
Το κάνουν αυτόματα με έναν υπολογιστήέτσι ώστε η ταχύτητα με την οποία κάποιος μπορεί να αποκαταστήσει την κρυπτογράφηση αυξάνεται καθώς το διαθέσιμο υλικό του υπολογιστή γίνεται γρηγορότερο και ταχύτερο, ικανό να κάνει περισσότερους υπολογισμούς ανά δευτερόλεπτο. Η επίθεση βίαιων δυνάμεων πιθανότατα θα ξεκινούσε σε μονοψήφιους κωδικούς πρόσβασης πριν μετακινηθούν σε διψήφιοι κωδικοί πρόσβασης και ούτω καθεξής, προσπαθώντας όλους τους πιθανούς συνδυασμούς μέχρι να δουλέψει κάποιος.
Μια "επίθεση λεξικού" είναι παρόμοια και προσπαθεί να λέεισε ένα λεξικό - ή μια λίστα με κοινούς κωδικούς πρόσβασης - αντί όλων των πιθανών κωδικών πρόσβασης. Αυτό μπορεί να είναι πολύ αποτελεσματικό, καθώς πολλοί άνθρωποι χρησιμοποιούν τόσο αδύναμους και κοινούς κωδικούς πρόσβασης.
Γιατί οι επιτιθέμενοι δεν μπορούν να βλάψουν τις υπηρεσίες Web
Υπάρχει μια διαφορά μεταξύ διαδικτύου και εκτός σύνδεσηςβίαιες επιθέσεις. Για παράδειγμα, εάν ένας εισβολέας θέλει να βγάλει βίαια το δρόμο του στον λογαριασμό σας Gmail, μπορεί να ξεκινήσει να δοκιμάζει κάθε πιθανό κωδικό πρόσβασης - αλλά το Google θα τα κόψει γρήγορα. Οι υπηρεσίες που παρέχουν πρόσβαση σε αυτούς τους λογαριασμούς θα γκρεμίσουν τις προσπάθειες πρόσβασης και θα απαγορεύσουν τις διευθύνσεις IP που επιχειρούν να συνδεθούν τόσες φορές. Έτσι, μια επίθεση εναντίον μιας ηλεκτρονικής υπηρεσίας δεν θα λειτουργούσε πολύ καλά επειδή πολύ λίγες προσπάθειες μπορούν να γίνουν πριν την επίθεση θα σταματήσει.
Για παράδειγμα, μετά από μερικές αποτυχημένες προσπάθειες σύνδεσης,Το Gmail θα σας δείξει μια εικόνα CATPCHA για να επαληθεύσετε ότι δεν είστε ένας υπολογιστής που προσπαθεί να κάνει αυτόματους κωδικούς πρόσβασης. Ενδεχομένως να σταματήσουν τελείως τις προσπάθειες σύνδεσης σας αν κατορθώσετε να συνεχίσετε για αρκετό καιρό.
Από την άλλη πλευρά, ας πούμε ότι ένας επιτιθέμενος χτύπησεένα κρυπτογραφημένο αρχείο από τον υπολογιστή σας ή κατάφερε να θέσει σε κίνδυνο μια ηλεκτρονική υπηρεσία και να μεταφορτώσει τέτοια κρυπτογραφημένα αρχεία. Ο επιτιθέμενος έχει τώρα τα κρυπτογραφημένα δεδομένα για το δικό του υλικό και μπορεί να δοκιμάσει όσους κωδικούς πρόσβασης θέλει στον ελεύθερο χρόνο τους. Εάν έχουν πρόσβαση στα κρυπτογραφημένα δεδομένα, δεν υπάρχει κανένας τρόπος να αποφευχθεί η προσπάθειά τους να δοκιμάσουν μεγάλο αριθμό κωδικών πρόσβασης σε σύντομο χρονικό διάστημα. Ακόμη και αν χρησιμοποιείτε ισχυρή κρυπτογράφηση, είναι προς όφελός σας να διατηρείτε τα δεδομένα σας ασφαλή και να διασφαλίσετε ότι δεν μπορούν να έχουν πρόσβαση σε άλλα άτομα.
Hashing
Ισχυροί αλγόριθμοι κατακερματισμού μπορούν να επιβραδυνθούνβίαιες επιθέσεις. Ουσιαστικά, οι αλγόριθμοι κατακερματισμού εκτελούν πρόσθετη μαθηματική εργασία σε έναν κωδικό πρόσβασης πριν αποθηκεύσουν μια τιμή που προέρχεται από τον κωδικό πρόσβασης στο δίσκο. Εάν χρησιμοποιείται ένας αργότερος αλγόριθμος κατακερματισμού, θα απαιτηθεί χιλιάδες φορές περισσότερη μαθηματική εργασία για να δοκιμάσετε κάθε κωδικό πρόσβασης και να μειώσετε δραματικά τις επιθέσεις βίαιης δύναμης. Ωστόσο, όσο περισσότερο απαιτείται εργασία, τόσο περισσότερο χρειάζεται να κάνει ένας διακομιστής ή άλλος υπολογιστής κάθε φορά που ο χρήστης συνδέεται με τον κωδικό πρόσβασής του. Το λογισμικό πρέπει να εξισορροπήσει την ανθεκτικότητα έναντι των επιθέσεων βίαιης δύναμης με τη χρήση των πόρων.
Brute-Force Speed
Η ταχύτητα εξαρτάται από το υλικό. Οι οργανισμοί συλλογής πληροφοριών μπορούν να δημιουργήσουν εξειδικευμένο υλικό μόνο για βίαιες επιθέσεις, όπως ακριβώς οι ανθρακωρύχοι Bitcoin κατασκευάζουν το δικό τους εξειδικευμένο υλικό που βελτιστοποιείται για την εξόρυξη Bitcoin. Όταν πρόκειται για τον καταναλωτικό εξοπλισμό, ο πιο αποτελεσματικός τύπος υλικού για επιθέσεις βίαιης δύναμης είναι μια κάρτα γραφικών (GPU). Επειδή είναι εύκολο να δοκιμάσετε ταυτόχρονα πολλά διαφορετικά κλειδιά κρυπτογράφησης, πολλές κάρτες γραφικών που λειτουργούν παράλληλα είναι ιδανικές.
Στα τέλη του 2012, η Ars Technica ανέφερε ότι: αΤο σύμπλεγμα 25-GPU θα μπορούσε να σπάσει κάθε κωδικό πρόσβασης των Windows κάτω από 8 χαρακτήρες σε λιγότερο από έξι ώρες. Ο αλγόριθμος NTLM που χρησιμοποίησε η Microsoft δεν ήταν αρκετά ανθεκτικός. Ωστόσο, όταν δημιουργήθηκε το NTLM, θα χρειαζόταν πολύς χρόνος για να δοκιμάσετε όλους αυτούς τους κωδικούς πρόσβασης. Αυτό δεν θεωρήθηκε αρκετά απειλή για τη Microsoft να κάνει την κρυπτογράφηση ισχυρότερη.
Η ταχύτητα αυξάνεται και μέσα σε λίγες δεκαετίες μπορούμεανακαλύψτε ότι ακόμη και οι ισχυρότεροι κρυπτογραφικοί αλγόριθμοι και τα κλειδιά κρυπτογράφησης που χρησιμοποιούμε σήμερα μπορούν να ραγιστούν γρήγορα από κβαντικούς υπολογιστές ή οποιοδήποτε άλλο υλικό που χρησιμοποιούμε στο μέλλον.
Προστασία των δεδομένων σας από βίαιες επιθέσεις
Δεν υπάρχει τρόπος να προστατευθείτε εντελώς. Είναι αδύνατο να πούμε πόσο γρήγορα θα αποκτηθεί το υλικό του υπολογιστή και αν κάποιος από τους αλγόριθμους κρυπτογράφησης που χρησιμοποιούμε σήμερα έχει αδυναμίες που θα ανακαλυφθούν και θα αξιοποιηθούν στο μέλλον. Ωστόσο, εδώ είναι τα βασικά:
- Διατηρήστε τα κρυπτογραφημένα δεδομένα σας ασφαλή, όταν οι εισβολείς δεν μπορούν να έχουν πρόσβαση σε αυτά. Μόλις τα δεδομένα σας αντιγραφούν στο υλικό τους, μπορούν να δοκιμάσουν επιθέσεις βίαιης δύναμης εναντίον της κατά την αναψυχή τους.
- Εάν εκτελέσετε οποιαδήποτε υπηρεσία που δέχεται συνδέσειςτο Διαδίκτυο, βεβαιωθείτε ότι περιορίζει τις προσπάθειες σύνδεσης και εμποδίζει τα άτομα που επιχειρούν να συνδεθούν με πολλούς διαφορετικούς κωδικούς πρόσβασης σε σύντομο χρονικό διάστημα. Το λογισμικό διακομιστή είναι γενικά ρυθμισμένο να το κάνει αυτό έξω από το κουτί, καθώς είναι μια καλή πρακτική ασφάλειας.
- Χρησιμοποιήστε ισχυρούς αλγόριθμους κρυπτογράφησης, όπως το SHA-512. Βεβαιωθείτε ότι δεν χρησιμοποιείτε παλιούς αλγόριθμους κρυπτογράφησης με γνωστές αδυναμίες που είναι εύκολες στη ρωγμή.
- Χρησιμοποιήστε μακρούς, ασφαλείς κωδικούς πρόσβασης. Όλη η τεχνολογία κρυπτογράφησης στον κόσμο δεν πρόκειται να βοηθήσει αν χρησιμοποιείτε τον "κωδικό πρόσβασης" ή τον ολοένα και δημοφιλέστερο "κυνηγό2".
Οι επιθέσεις βίαιων δυνάμεων είναι κάτι που πρέπει να ανησυχείςσχετικά με την προστασία των δεδομένων σας, την επιλογή αλγορίθμων κρυπτογράφησης και την επιλογή κωδικών πρόσβασης. Είναι επίσης λόγος να συνεχίσουμε να αναπτύσσουμε ισχυρότερους κρυπτογραφικούς αλγορίθμους - η κρυπτογράφηση πρέπει να συμβαδίζει με το πόσο γρήγορα γίνεται αναποτελεσματική από το νέο υλικό.
Image Credit: Ο Johan Larsson στο Flickr, ο Jeremy Gosney
