Brute-Force támadások magyarázata Az All Encryption sérülékeny

A brute-force támadások meglehetősen egyszerűek, de nehezen védhetők. A titkosítás matematika, és mivel a számítógépek gyorsabbá válnak a matematikában, gyorsabbá válnak az összes megoldás kipróbálásában, és látni, hogy melyik illik.

Ezeket a támadásokat bármilyen típusú titkosítással lehet használni, változó sikerességgel. A brute-force támadások gyorsabbá és hatékonyabbá válnak minden nap, mint újabb, gyorsabb számítógépes hardverek kiadásakor.

Brute-Force alapjai

A brute-force támadások egyszerűen megérthetők. A támadónak titkosított fájlja van - mondjuk a LastPass vagy a KeePass jelszó adatbázis. Tudják, hogy ez a fájl olyan adatokat tartalmaz, amelyeket látni akar, és tudják, hogy van egy titkosítási kulcs, amely feloldja azt. A dekódoláshoz elkezdhetik minden egyes lehetséges jelszó megpróbálását, és megnézhetik, hogy ez egy dekódolt fájlt eredményez-e.

Ezt automatikusan elvégzik egy számítógépes program segítségével, így az a sebesség, amellyel valaki képes a brutális erő titkosítására, növekszik, mivel a rendelkezésre álló számítógépes hardver gyorsabb és gyorsabb lesz, így több másodpercenként több számítást végezhet. A brutális erőkifejtés valószínűleg egyjegyű jelszavakkal kezdődik, mielőtt kétjegyű jelszóra költözik, és így tovább, minden lehetséges kombináció megpróbálkozásáig, amíg az egyik nem működik.

A „szótár-támadás” hasonló, és az összes lehetséges jelszó helyett a szótárban vagy a közös jelszavak listájában próbál szavakat keresni. Ez nagyon hatékony lehet, mivel sokan használnak ilyen gyenge és közös jelszavakat.

Miért nem támadhatnak a Brute-Force Web Services

Van különbség az online és az offline brutális erő támadások között. Például, ha egy támadó brutális erővel akarja eljutni a Gmail-fiókjába, elkezdhetik minden egyes lehetséges jelszó megpróbálását - de a Google gyorsan levágja őket. Azok a szolgáltatások, amelyek hozzáférést biztosítanak ezekhez a fiókokhoz, a hozzáférési kísérleteket fojtogatják, és tiltják az olyan IP-címek használatát, amelyek olyan sokszor próbálnak bejelentkezni. Így az online szolgáltatás elleni támadás nem működne túl jól, mert nagyon kevés kísérlet történhet a támadás megállítása előtt.

Például néhány sikertelen bejelentkezési kísérlet után a Gmail egy CATPCHA képet jelenít meg, hogy ellenőrizze, hogy nem számítógép automatikusan próbál jelszavakat. Valószínűleg leállítják a bejelentkezési kísérleteket, ha sikerült elég hosszú ideig folytatni.

Másrészt azt mondjuk, hogy egy támadó titkosított fájlt húzott le a számítógépről, vagy sikerült veszélyeztetnie az online szolgáltatást, és letöltött egy ilyen titkosított fájlt. A támadónak most a saját hardverén van a titkosított adata, és megpróbálhat annyi jelszót, amennyit csak akar. Ha hozzáférnek a titkosított adatokhoz, nem lehet megakadályozni, hogy rövid idő alatt nagy számú jelszót próbáljanak ki. Még akkor is, ha erős titkosítást használ, előnye, hogy biztonságban tartja az adatait, és biztosítsa, hogy mások ne férhessenek hozzá.

hashelés

Az erõs hasítás algoritmusok lelassíthatják a nyers erõ támadásokat. Alapvetően a hash-algoritmusok további matematikai munkát végeznek a jelszó előtt, mielőtt a jelszóból származó értéket tárolnák a lemezen. Ha lassabb hasítási algoritmust alkalmaznak, ez többször is annyi matematikai munkát igényel, hogy minden jelszót kipróbálnánk, és drasztikusan lelassítaná a nyers erő támadásokat. Azonban minél több munka szükséges, annál jobban kell dolgozni egy szerver vagy más számítógép minden alkalommal, amikor a felhasználó bejelentkezik a jelszóval. A szoftvernek ki kell egyenlítenie az erőforrás-felhasználással szembeni ellenálló képességet a brutális erőkkel szemben.

Brute-Force Speed

A sebesség minden függ a hardvertől. A hírszerző ügynökségek csak a brutális erők támadására alkalmas speciális hardvereket építhetnek, ahogy a Bitcoin bányászok saját, a Bitcoin bányászatra optimalizált hardverét építik. A fogyasztói hardverek esetében a brutális erő támadások leghatékonyabb eszköze a grafikus kártya (GPU). Mivel egyszerre sok különböző titkosítási kulcsot kipróbálhat, sok párhuzamosan futó grafikus kártya ideális.

2012 végén Ars Technica arról számolt be, hogy egy 25 GPU-s klaszter kevesebb, mint 8 óra alatt képes minden Windows-jelszót hat óránál rövidebb idő alatt feltörni. A Microsoft által használt NTLM algoritmus nem volt elég rugalmas. Az NTLM létrehozásakor azonban sokkal hosszabb időt vett volna igénybe, ha ezeket a jelszavakat kipróbálnánk. Ez nem tekinthető elégségesnek a Microsoft számára a titkosítás erősebbé tételére.

A sebesség növekszik, és néhány évtizeden belül felfedezhetjük, hogy még a legerősebb kriptográfiai algoritmusok és titkosítási kulcsok is gyorsan elpusztulhatnak a kvantum számítógépekkel vagy bármilyen más, a jövőben használt hardverrel..

Az adatok védelme a Brute-Force támadásokkal szemben

Nincs mód arra, hogy teljesen megvédje magát. Nem lehet megmondani, hogy a számítógépes hardver milyen gyorsan fog kapni, és hogy a ma használt titkosítási algoritmusoknak vannak-e olyan gyengeségei, amelyeket a jövőben felfedeznek és kihasználnak. Azonban itt vannak az alapok:

• Tartsa titkosított adatait biztonságban, ahol a támadók nem férhetnek hozzá. Miután az adatok átmásolódtak a hardverükhöz, kipróbálhatják a nyugalmi erőszakos támadásokat.
• Ha olyan szolgáltatást futtat, amely az interneten keresztül fogadja a bejelentkezéseket, győződjön meg róla, hogy korlátozza a bejelentkezési kísérleteket és blokkolja azokat, akik rövid időn belül sok különböző jelszóval jelentkeznek be. A kiszolgálószoftver általában úgy van beállítva, hogy ezt tegye ki a dobozból, mivel ez egy jó biztonsági gyakorlat.
• Használjon erős titkosítási algoritmusokat, például SHA-512-et. Győződjön meg róla, hogy nem használ olyan régi titkosítási algoritmusokat, amelyek ismert, gyenge pontjaival könnyen feltörhető.
• Használjon hosszú, biztonságos jelszavakat. A világ minden titkosítási technológiája nem fog segíteni, ha „jelszót” vagy az egyre népszerűbb „vadász2” -et használ..

A brutális erő támadások az adatok védelmében, a titkosítási algoritmusok kiválasztásában és a jelszavak kiválasztásában aggódnak. Ők is oka annak, hogy tovább fejlesszék az erősebb kriptográfiai algoritmusokat - a titkosításnak lépést kell tartania azzal, hogy az új hardver milyen gyorsan hatástalanítja azt.

Képhitel: Johan Larsson a Flickr-en, Jeremy Gosney