Брутална атака обяснява как всичко криптира

Атаките с груба сила са доста прости за разбиране, но са трудни за защита. Криптирането е математическо и тъй като компютрите стават по-бързи в математиката, те стават по-бързи в изпробването на всички решения и виждат кой се вписва.

Тези атаки могат да бъдат използвани срещу всеки тип криптиране, с различна степен на успех. Бруталните атаки стават по-бързи и по-ефективни с всеки изминал ден, когато се пуска по-нов компютърен хардуер.

Основи на грубата сила

Бруталните атаки са лесни за разбиране. Нападателят има криптиран файл - да речем, вашата база данни за пароли LastPass или KeePass. Те знаят, че този файл съдържа данни, които искат да видят, и знаят, че има ключ за шифроване, който го отключва. За да го дешифрират, те могат да започнат да изпробват всяка възможна парола и да видят дали това води до дешифриран файл.

Те правят това автоматично с компютърна програма, така че скоростта, с която някой може да извърши грубото криптиране, се увеличава, тъй като наличният компютърен хардуер става по-бърз и по-бърз, способен да прави повече изчисления в секунда. Бруталната атака вероятно ще започне от едноцифрени пароли, преди да се премине към двуцифрени пароли и така нататък, като се изпробват всички възможни комбинации, докато един не работи.

"Речникова атака" е подобна и изпробва думи в речник - или списък с общи пароли - вместо всички възможни пароли. Това може да бъде много ефективно, тъй като много хора използват такива слаби и общи пароли.

Защо атакуващите не могат да използват уеб услугите

Има разлика между онлайн и офлайн атаки с груба сила. Например, ако атакуващият иска да пробие пътя си в профила ви в Gmail, те могат да започнат да изпробват всяка възможна парола - но Google бързо ще ги прекъсне. Услугите, които предоставят достъп до такива акаунти, ще ограничават опитите за достъп и ще забраняват IP адреси, които се опитват да влязат толкова много пъти. Така, атака срещу онлайн услуга няма да работи твърде добре, защото много малко опити могат да бъдат направени преди атаката да бъде спряна.

Например, след няколко неуспешни опита за влизане, Gmail ще ви покаже изображение от CATPCHA, за да потвърдите, че не сте компютър, който автоматично се опитва пароли. Вероятно ще спрат напълно опитите ви за влизане, ако успеете да продължите достатъчно дълго.

От друга страна, нека да кажем, че един хакер е хванал криптиран файл от вашия компютър или е успял да компрометира онлайн услуга и да изтегли такива криптирани файлове. Нападателят вече има криптирани данни на собствения си хардуер и може да опита толкова пароли, колкото искат в свободното си време. Ако имат достъп до шифрованите данни, няма начин да им попречи да опитат голям брой пароли за кратък период от време. Дори ако използвате силно кодиране, е добре да запазите данните си в безопасност и да се уверите, че други хора нямат достъп до тях.

хеширане

Силните алгоритми за хеширане могат да забавят атаките с груба сила. По същество алгоритмите за хеширане извършват допълнителна математическа работа върху парола, преди да съхранят стойност, извлечена от паролата на диска. Ако се използва по-бавен алгоритъм за хеширане, той ще изисква хиляди пъти повече математическа работа, за да се опита всяка парола и драстично да се забавят атаките с груба сила. Въпреки това, колкото повече работа се изисква, толкова повече работа трябва да прави всеки сървър или друг компютър всеки път, когато потребителят влезе с паролата си. Софтуерът трябва да балансира устойчивостта срещу груби атаки с използване на ресурси.

Брутална скорост

Скоростта зависи от хардуера. Службите за разузнаване могат да изграждат специализиран хардуер само за атаки с груба сила, точно както миньорите от Bitcoin създават свой собствен специализиран хардуер, оптимизиран за добив на Bitcoin. Когато става въпрос за потребителски хардуер, най-ефективният тип хардуер за груби атаки е графична карта (GPU). Тъй като е лесно да опитате много различни ключове за криптиране наведнъж, много графични карти, работещи паралелно, са идеални.

В края на 2012 г. Ars Technica съобщи, че клъстер от 25 GPU може да премахне всяка парола за Windows под 8 символа за по-малко от шест часа. Алгоритъмът на NTLM, който Microsoft използваше, не беше достатъчно устойчив. Когато обаче се създаде NTLM, щеше да отнеме много повече време, за да изпробва всички тези пароли. Това не се смяташе за достатъчно заплаха за Microsoft, за да направи кодирането по-силно.

Скоростта се увеличава и след няколко десетилетия може да открием, че дори най-силните криптографски алгоритми и ключовете за шифроване, които използваме днес, могат бързо да бъдат разбити от квантовите компютри или какъвто и да е друг хардуер, който използваме в бъдеще..

Защита на вашите данни от атаки с груба сила

Няма начин да се защитите напълно. Невъзможно е да се каже колко бърз ще бъде компютърният хардуер и дали някой от алгоритмите за шифроване, които използваме днес, има слабости, които ще бъдат открити и използвани в бъдеще. Въпреки това, тук са основните неща:

• Пазете криптираните си данни безопасно, когато атакуващите не могат да получат достъп до нея. След като данните ви бъдат копирани на хардуера, те ще могат да опитат атаки срещу него в свободното си време.
• Ако стартирате която и да е услуга, която приема данни за влизане през Интернет, уверете се, че ограничава опитите за влизане и блокира хората, които се опитват да влязат с много различни пароли за кратък период от време. Сървърният софтуер обикновено е настроен да прави това извън полето, тъй като това е добра практика за сигурност.
• Използвайте силни алгоритми за криптиране, като SHA-512. Уверете се, че не използвате стари алгоритми за криптиране с известни слабости, които лесно се разбиват.
• Използвайте дълги, сигурни пароли. Цялата технология за шифроване в света няма да помогне, ако използвате „парола“ или все по-популярния „hunter2“.

Бруталните атаки са нещо, за което трябва да се грижите, когато защитавате данните си, избирате алгоритми за шифроване и избирате пароли. Те също са причина да продължават да се развиват по-силни криптографски алгоритми - шифроването трябва да следи колко бързо се превръща в неефективно от новия хардуер.

Автор на снимката: Йохан Ларсон на Flickr, Джереми Госни