Напади грубом силом прилично су једноставниразумети, али је тешко заштитити од. Шифровање је математика, а како рачунари постају бржи у математици, бржи су у испробавању свих решења и утврђивању које се уклапа.
Ови напади се могу користити против било које врстешифровање, са различитим степеном успеха. Напади грубе силе постају све бржи и ефикаснији сваким даном како се новији, бржи рачунарски хардвер издаје.
Основе бруталне силе
Напади грубе силе су једноставни за разумевање. Нападач има шифровану датотеку - рецимо, вашу базу података лозинке ЛастПасс или КееПасс. Знају да ова датотека садржи податке које желе да виде и знају да постоји кључ за шифровање који је откључава. Да би је дешифровали, могу почети да испробавају сваку могућу лозинку и видети да ли то резултира дешифрованом датотеком.
То раде аутоматски помоћу рачунарапрограма, тако да се брзина којом неко може грубом силом шифровати повећава како доступни рачунарски хардвер постаје све бржи и способнији да врши више прорачуна у секунди. Напад грубом силом вероватно би започео једноцифреним лозинкама пре него што пређе на двоцифрене лозинке и тако даље, покушавајући све могуће комбинације док једна не успе.
„Речник напада“ је сличан и покушава речиу речнику - или на листи уобичајених лозинки - уместо свих могућих лозинки. Ово може бити врло ефикасно, јер многи људи користе тако слабе и уобичајене лозинке.
Зашто нападачи не могу да брутирају веб-услуге
Постоји разлика између онлајн и офлајннапади грубе силе. На пример, ако нападач жели грубо да уђе на ваш Гмаил налог, може почети да искушава све могуће лозинке - али Гоогле ће их брзо прекинути. Услуге које пружају приступ таквим налозима зауставиће покушаје приступа и забранити ИП адресе које покушавају да се пријаве толико пута. Дакле, напад на онлајн услугу не би функционисао превише добро, јер се може предузети врло мало покушаја пре него што напад буде заустављен.
На пример, након неколико неуспелих покушаја пријаве,Гмаил ће вам показати ЦАТПЦХА слику да би потврдио да нисте рачунар који аутоматски испробава лозинке. Вероватно ће у потпуности зауставити ваше покушаје пријаве ако сте успели да наставите довољно дуго.
С друге стране, рецимо да се нападач закачиошифровану датотеку са рачунара или успели да угрозе услугу на мрежи и преузму такве шифроване датотеке. Нападач сада има шифриране податке на властитом хардверу и у слободно вријеме може испробати онолико лозинки колико жели. Ако имају приступ шифрованим подацима, не постоји начин да им се спречи да у кратком временском периоду испробају велики број лозинки. Чак и ако користите јаку енкрипцију, у вашу корист је да заштитите своје податке и осигурате да други не могу да им приступе.
Хасхинг
Јаки алгоритми хеширања могу успоритинапади грубе силе. У основи, алгоритми хеширања изводе додатни математички рад на лозинци пре него што на диску сачувају вредност изведену из лозинке. Ако се користи спорији алгоритам хеширања, биће потребно хиљаде пута више математичког рада да би се испробала свака лозинка и драматично успорило нападе грубе силе. Међутим, што је више посла потребно, више посла мора да уради сервер или други рачунар сваки пут када се корисник пријави са лозинком. Софтвер мора уравнотежити отпорност против напада грубом силом и коришћењем ресурса.
Брзина брзине
Брзина зависи од хардвера. Обавештајне агенције могу да направе специјализовани хардвер само за нападе грубе силе, као што и рудари биткоина граде свој специјализовани хардвер оптимизован за рударење биткоина. Што се тиче потрошачког хардвера, најефикаснија врста хардвера за грубе нападе је графичка картица (ГПУ). Како је лако испробати више различитих кључева за шифровање одједном, многе графичке картице које раде паралелно су идеалне.
Крајем 2012. године, Арс Тецхница је известила да је аКластер од 25 ГПУ могао би да разбије сваку Виндовс лозинку краћу од 8 знакова за мање од шест сати. НТЛМ алгоритам који је Мицрософт користио једноставно није био довољно еластичан. Међутим, када је створен НТЛМ, требало би много дуже да се испробају све ове лозинке. Ово се није сматрало довољном претњом за Мицрософт да ојача шифрирање.
Брзина се повећава, а за неколико деценија можемооткријте да и најјачи криптографски алгоритми и кључеви за шифровање које данас користимо могу брзо да се разбију од квантних рачунара или било ког другог хардвера који користимо у будућности.
Заштита ваших података од бруталних напада
Не постоји начин да се у потпуности заштитите. Немогуће је рећи колико ће брзо рачунарски хардвер добити и да ли било који алгоритам шифровања који данас користимо има слабости које ће се открити и искористити у будућности. Међутим, ево основа:
- Заштитите своје шифроване податке тамо где нападачи не могу да им приступе. Једном када копирају ваше податке на свој хардвер, у слободно време могу покушати да их нападну грубом силом.
- Ако покренете било коју услугу која прихвата пријавуИнтернет, осигурајте да ограничава покушаје пријављивања и блокира људе који се покушавају пријавити са много различитих лозинки у кратком временском периоду. Сервер софтвер је обично постављен да то ради одмах, јер је то добра безбедносна пракса.
- Користите јаке алгоритме за шифровање, као што је СХА-512. Уверите се да не користите старе алгоритме за шифровање са познатим слабостима које је лако решити.
- Користите дуге, сигурне лозинке. Сва технологија шифровања на свету неће вам помоћи ако користите „лозинку“ или увек популарни „ловац2“.
Напади грубе силе су оно што треба забринутио заштити података, одабиру алгоритама за шифровање и одабиру лозинки. Они су такође разлог да наставе да развијају јаче криптографске алгоритме - енкрипција мора да прати колико брзо нови хардвер чини неефикасним.
Заслуга за слику: Јохан Ларссон на Флицкр-у, Јереми Госнеи
