Brute force-támadások

A brute force-támadásokat olyan hackerek hajtják végre, akik úgy próbálják feltörni a jelszót, hogy egyszerűen különböző karakterkombinációkat próbálnak ki gyors egymásutánban. Az algoritmus nagyon egyszerű, és a lehető legtöbb karakterkombináció kipróbálására korlátozódik, ezért is nevezik "kimerítő keresésnek". A támadó általában egy nagy teljesítményű számítógépet használ, amely másodpercenként nagyszámú számítást végez, és ennek megfelelően a lehető legrövidebb idő alatt nagyszámú kombinációt tud kipróbálni.

A módszert a gyakorlatban gyakran sikerrel alkalmazzák, mivel sok felhasználó rövid jelszavakat használ, amelyek gyakran csak az ábécé betűiből állnak, ez pedig drasztikusan csökkenti a lehetséges kombinációk számát, és megkönnyíti a jelszó kitalálását.

Jelszavak visszafejtése

A Distributed.net szervezet RC5 projektje megmutatja, milyen gyorsan lehet jelszavakat visszafejteni. A projekt célja egy 72 bites kulccsal titkosított üzenet visszafejtése. Ehhez az összes lehetséges kulcsot kipróbálják, amíg meg nem találják a megfelelőt. Mivel több felhasználó is rendelkezésre bocsátja számítógépes kapacitását a projekthez, jelenleg (2012. május 8-án) másodpercenként több mint 800 milliárd kulcs generálható. A szervezet régebbi projektjei 250 nap alatt törtek fel egy 56 bites kulcsot, egy 64 bites kulcsot pedig 1757 nap alatt.

A jelszó kombinációja és hossza

Néhány számítási példa szemlélteti a hosszúság és a felhasznált karakterek fontosságát a jelszó biztonsága szempontjából. A számítási példákban 2 milliárd kulcsot generálunk másodpercenként, mivel ez nagyjából ez felel meg egy rendkívül erős számítógép sebességének.

Jelszó létrehozásakor általában a következő karakterek állnak rendelkezésre:

• Számok (10 különböző: 0-9)
• Betűk (52 különböző: A-Z és a-z)
• Különleges karakterek (32 különböző).

A lehetséges kombinációk számát a következő képlettel számoljuk ki:

Lehetséges kombinációk = lehetséges karakterek száma^{Jelszó hossza}

Ez a következő számítási példákat eredményezi, más tényezők, például szótáras támadások figyelembevétele nélkül:

Jól látható, hogy a jelszó hossza és a különböző karaktertípusok használata milyen hatással van a jelszó biztonságára.

Védelem a brute force-támadások ellen

A brute force-támadások ellen csak úgy védekezhet, ha elég hosszú, összetett főjelszót használ, amely betűk, különleges karakterek, számok és kis- és nagybetűs elemek kombinációjából áll. Minél összetettebb és hosszabb a jelszava, annál kisebb a valószínűsége annak, hogy a használt szoftver véletlenül "kitalálja" az Ön által választott kombinációt, amint azt a fenti számítási példákból is láthatja.

Amikor új jelszót hoz létre a Password Depot-ban, vagy automatikusan generálja azt a Jelszógenerátor segítségével, látni fogja, hogy mennyi időbe telne feltörni a jelszót. A Password Depot nemcsak a fenti tényezőket veszi figyelembe, vagyis például a karakterek számát, hanem más sebezhetőségeket is, például a szótári támadásokkal szembeni sebezhetőséget.

Egy másik módja a brute force-támadások megnehezítésének, ha meghosszabbítjuk a két bejelentkezési kísérlet közötti időt (a jelszó helytelen megadása után). Ennek eredményeként a hacker nagy teljesítményű számítógépe lelassulhat annak ellenére, hogy elméletileg másodpercenként hatalmas mennyiségű számításra képes. Ezért van az, mert a Password Depot-ban a főjelszó párbeszédpanel néhány másodpercre lezár, ha helytelen főjelszót ír be. A hibás jelszavak megadásának növekvő gyakoriságával ez a várakozási idő is növekszik.