Brute-Force-hyökkäykset selittivät, miten kaikki salaus on haavoittuva

Brute-force-hyökkäykset ovat melko yksinkertaisia, mutta niitä on vaikea suojata. Salaus on matematiikkaa, ja koska tietokoneet nopeutuvat matematiikassa, ne tulevat nopeammin kokeilemaan kaikkia ratkaisuja ja näkemään, mikä niistä sopii.

Näitä hyökkäyksiä voidaan käyttää mitä tahansa salausta vastaan, vaihtelevalla menestyksellä. Brute-force-hyökkäykset tulevat nopeammin ja tehokkaammin päivittäisiksi päiviksi uudemmiksi, nopeammiksi tietokoneohjelmiksi.

Brute-Force-perusteet

Brute-force -hyökkäykset on helppo ymmärtää. Hyökkääjällä on salattu tiedosto - esimerkiksi LastPass- tai KeePass-salasanatietokanta. He tietävät, että tämä tiedosto sisältää tietoja, joita he haluavat nähdä, ja he tietävät, että salausavain avaa sen. Sen salauksen purkamiseksi he voivat alkaa kokeilla kaikkia mahdollisia salasanoja ja nähdä, johtaako se dekoodattuun tiedostoon.

He tekevät tämän automaattisesti tietokoneohjelman avulla, joten nopeus, jolla joku voi käyttää raakaa voimaa, lisääntyy, kun käytettävissä oleva tietokonelaitteisto muuttuu nopeammin ja nopeammin, mikä pystyy tekemään enemmän laskelmia sekunnissa. Brute-force-hyökkäys aloittaisi todennäköisesti yhden numeroisen salasanan, ennen kuin siirrytään kaksinumeroisiin salasanoihin ja niin edelleen, kokeilla kaikkia mahdollisia yhdistelmiä, kunnes yksi toimii.

Sanakirjahyökkäys on samanlainen ja yrittää sanoja sanakirjasta - tai tavallisten salasanojen luettelosta - kaikkien mahdollisten salasanojen sijasta. Tämä voi olla erittäin tehokasta, sillä monet ihmiset käyttävät tällaisia ​​heikkoja ja yhteisiä salasanoja.

Miksi hyökkääjät eivät voi Brute-Force -verkkopalveluja

Online- ja offline-väkivaltaisten hyökkäysten välillä on eroa. Jos hyökkääjä haluaa esimerkiksi tuoda väkivaltaa Gmail-tilillesi, he voivat alkaa kokeilla kaikkia mahdollisia salasanoja - mutta Google katkaisee ne nopeasti. Palvelut, jotka tarjoavat pääsyn tällaisiin tileihin, ohjaavat pääsykokeita ja kieltävät IP-osoitteet, jotka yrittävät kirjautua sisään niin monta kertaa. Näin ollen hyökkäys online-palvelua vastaan ​​ei toimi liian hyvin, koska hyvin vähän yrityksiä voidaan tehdä ennen hyökkäyksen pysäyttämistä.

Esimerkiksi muutaman epäonnistuneen sisäänkirjautumisyrityksen jälkeen Gmail näyttää CATPCHA-kuvan, jolla varmistat, että et ole tietokone, joka yrittää automaattisesti salasanoja. Ne pysäyttävät kirjautumisyritystesi kokonaan, jos onnistut jatkamaan tarpeeksi kauan.

Toisaalta sanotaan, että hyökkääjä tarttui salattuun tiedostoon tietokoneeltasi tai onnistui vaarantamaan verkkopalvelun ja lataamaan salatut tiedostot. Hyökkääjällä on nyt salatut tiedot omalla laitteistollaan ja he voivat kokeilla niin monta salasanaa kuin he haluavat vapaa-ajallaan. Jos heillä on pääsy salattuihin tietoihin, ei ole mitään keinoa estää heitä kokeilemasta paljon salasanoja lyhyessä ajassa. Vaikka käytätkin vahvaa salausta, sinun kannattaa pitää tietosi turvassa ja varmistaa, että muut eivät pääse siihen.

hajautusta

Voimakkaat hajautusalgoritmit voivat hidastaa raa'an voiman hyökkäyksiä. Pohjimmiltaan hajautusalgoritmit suorittavat ylimääräistä matemaattista työtä salasanalla ennen kuin tallennetaan salasanasta johdettu arvo levylle. Jos käytetään hitaampaa hajautusalgoritmia, se vaatii tuhansia kertoja niin paljon matemaattista työtä, että jokainen salasana yritetään kokeilla ja hidastaa voimakkaasti hyökkäyksiä. Mitä enemmän työtä tarvitaan, sitä enemmän palvelimella tai muulla tietokoneella on tehtävä aina, kun käyttäjä kirjautuu sisään salasanallaan. Ohjelmiston on tasapainotettava joustavuutta voimakkaita hyökkäyksiä vastaan.

Brute-Force-nopeus

Nopeus riippuu laitteistosta. Tiedonvälitystoimistot voivat rakentaa erikoislaitteita vain brute-force-hyökkäyksiin, kuten Bitcoinin kaivostyöntekijät rakentavat omaa erikoislaitteistoa, joka on optimoitu Bitcoinin kaivostoimintaan. Kuluttajalaitteistojen osalta tehokkain tyyppi brute-force-hyökkäyksille on grafiikkakortti (GPU). Koska on helppo kokeilla monia eri salausavaimia kerralla, monet rinnakkain toimivat grafiikkakortit ovat ihanteellisia.

Vuoden 2012 lopussa Ars Technica kertoi, että 25-GPU-klusteri voisi murtaa jokaisen Windows-salasanan alle 8 merkin alle alle kuuden tunnin. Microsoftin käyttämä NTLM-algoritmi ei ollut riittävän joustava. Kun NTLM luotiin, kaikkien näiden salasanojen kokeileminen olisi kestänyt paljon kauemmin. Tätä ei pidetty riittävänä uhkana Microsoftille salauksen vahvistamiseksi.

Nopeus kasvaa, ja muutaman vuosikymmenen aikana voimme havaita, että kvanttitietokoneet tai mitä tahansa muuta laitteistoa, jota käytämme tulevaisuudessa, voivat jopa nopeasti purkaa nykyisin käyttämämme vahvimmat salausalgoritmit ja salausavaimet..

Tietojen suojaaminen Brute-Force-hyökkäyksiltä

Ei ole mitään keinoa suojata itseäsi kokonaan. On mahdotonta sanoa, kuinka nopeasti tietokonelaitteisto saa ja onko mikään nykyisin käytetyistä salausalgoritmeista heikkouksia, jotka löydetään ja hyödynnetään tulevaisuudessa. Tässä on kuitenkin perusasiat:

• Pidä salatut tiedot turvallisina, jos hyökkääjät eivät pääse siihen. Kun heidät on kopioitu laitteistoonsa, he voivat kokeilla raakoja hyökkäyksiä sitä vastaan.
• Jos käytät palvelua, joka hyväksyy sisäänkirjautumisen Internetin kautta, varmista, että se rajoittaa kirjautumisyrityksiä ja estää ihmisiä, jotka yrittävät kirjautua sisään useilla eri salasanoilla lyhyessä ajassa. Palvelinohjelmisto on yleensä asetettu tekemään se pois laatikosta, koska se on hyvä turvallisuuskäytäntö.
• Käytä vahvoja salausalgoritmeja, kuten SHA-512. Varmista, että et käytä vanhoja salausalgoritmeja, joiden tunnettuja heikkouksia on helppo murtaa.
• Käytä pitkiä, suojattuja salasanoja. Kaikki salaustekniikka maailmassa ei aio auttaa, jos käytät salasanaa tai suosittu "metsästäjä2".

Brute-force-hyökkäykset ovat huolenaiheita tietojesi suojaamisessa, salausalgoritmien valinnassa ja salasanojen valinnassa. Ne ovat myös syy kehittää edelleen vahvempia salausalgoritmeja - salauksen on pysyttävä ajan tasalla siitä, kuinka nopeasti se on tehoton uudella laitteistolla.

Kuvaluotto: Johan Larsson Flickrissä, Jeremy Gosney