کرک کردن رمزعبور چیست، انواع آن کدامند و حمله Dictionary چیست؟

در این مطلب می‌‌خوانیم که کرک کردن رمزعبور به چه معنی است، انواع آن کدام است و یکی از روش‌های کرک کردن رمزعبور را توضیح می‌دهیم.

هدف از این مطلب آشنایی با روش‌های بدست آوردن رمزعبور کاربران اینترنت توسط خرابکاران است. باید در نظر داشته باشیم که با آشنایی با این روش‌ها است که می‌توانیم تهدید‌های آنلاین را بشناسیم و امنیت خود و اطرافیانمان را حفظ کنیم. ابزارها و برنامه‌ های امنیتی مانند شمشیر دو لبه هستند. به این معنی که هم برای اهداف خوب بکار می‌روند و هم اهداف بد. توصیه می‌کنیم شدیدا از فعالیت‌های مخرب دوری کنید و از دانشتان در جهت اهداف خوب بهره ببرید.

کرک کردن رمزعبور به چه معنی است؟

هکر‌ها برای نفوذ به حساب‌های آنلاین یا دستگاه‌های الکترونیک از کرک کردن رمزعبور استفاده می‌کنند. کرک کردن رمزعبور به معنی بازیابی رمزعبور از روش‌های نا متعارف و احتمالا غیر اخلاقی از داده‌های ذخیره شده است.

اگر خرابکارها به رمزعبور کاربری دست پیدا کنند، دیگر نیاز به پیدا کردن آسیب پذیری در سیستم یا روش‌های دیگر ندارند. با داشتن رمز عبور می‌توانند وارد حساب‌ها شده و به اطلاعات کاربران دست پیدا کنند.

اما برای آشنایی با کرک کردن رمزعبور و انواع آن، بهتر است قبلا با روش‌های ذخیره رمزعبور آشنا باشیم. 

به چه دلایلی از کرک کردن رمزعبور استفاده می‌شود : 

هم خوب و هم بد. برای ارزیابی امنیتی رمزعبورها ممکن است شروع به کرک کردن آن کنیم. همچنین اگر رمزعبورمان را فراموش کنیم و راهی برای بازگرداندن آن نباشد شاید بتوان از کرک کردن استفاده کرد. یکی از دلایل مخرب کرک کردن رمزعبور، دستیابی به اطلاعات سایر کاربران است که توسط خرابکاران و مجرمان اینترنتی صورت می‌گیرد. 

به احتمال زیاد هنگام کرک کردن، IP شما یا رنج IP سرویس دهنده اینترنت‌تان (ISP) بلاک می‌شود. حتی اگر قادر به تغییر دادن IP تان باشید تا عمل کرک کردن را ادامه دهید باید بدانید که کرک کردن رمزعبور به هر دلیلی که صورت گیرد، یک عمل مخرب و خلاف قانون است. در صورت شناسایی، کاربر خاطی حتما تحت پیگرد قانونی قرار می‌گیرد.

انواع کرک کردن رمزعبور

برای کرک کردن رمزعبور چندین روش وجود دارد :

• حمله Dictionary یا لغت‌نامه‌ای
• حمله Brute Force یا جستجوی فراگیر
• حمله Hybrid
• جدول Rainbow یا رنگین کمان
• SALTS

در ادامه به حمله لغت‌نامه‌ای می‌پردازیم و در آینده سعی می‌کنیم روش‌های دیگر را نیز توضیح دهیم. 

حمله Dictionary یا لغت‌نامه‌ای :

همانطور که از نام این روش مشخص است، این روش نیاز به یک لیست از رمزعبورها دارد. به این لیست کلمات، Dictionary یا همان لغت‌نامه می‌گویند. هر هکری احتمالا لیست مخصوص به خودش را دارد. هر چند برخی این لیست‌ها را برای سرویس‌ها و کاربران مشخصی، سفارشی می‌کنند. به این معنی که اگر کاربری مد نظرشان باشد، لیست رمزعبورها را بر اساس اطلاعاتی که از کاربر بدست آورده‌اند مرتب می‌کنند. مثال دیگر: اگر سرویس یا دستگاهی رمزعبورهای بیشتر از  ۷ کاراکتر را قبول می‌کند، خرابکارها لیست خودشان را تغییر می‌دهند تا رمزعبورهای زیر ۷ حرف را امتحان نکنند. اما مطمئنا در لیست کلمات هر هکری، رمزعبورهای رایج را می‌توان پیدا کرد.

روش کار بدین صورت است : خرابکار هر رمزعبور را تست می‌کند تا ببیند کدام یک صحیح است. هر چه رمزعبور کاربر ضعیف‌تر باشد، این روش موفق‌تر است. به دلیل اینکه برخی کاربران هنوز از رمزعبورهای ساده مانند شماره شناسنامه، کارت ملی، نام همسر، رمزعبورهای رایج و غیره استفاده می‌کنند، این روش سریع، پیشتاز و موفق است. 

 لیستی که برای رمزعبور‌ها استفاده می‌شود، یک فایل ساده متنی (txt) است. این لیست را می‌توانید خودتان تهیه کنید و یا از لیست‌های دیگران که در اینترنت به اشتراک ميگذارند نیز استفاده کنید. رمزعبورها در فایل به فرمت <password> ذخیره می‌شوند. مانند :

admin
123456
admin
admin123

اگر بخواهیم بصورت دستی، تک تک این رمزعبورها را امتحان کنیم، به زمان زیادی نیاز خواهیم داشت. برنامه ها و ابزارهای متفاوتی برای حمله Dictionary در دسترس هستند که سرعت را افزایش می‌دهند. یکی از معروفترین آنها John the Ripper است. اما شما برای تست می‌توانید از برنامه Brutus نیز استفاده کنید. 

چگونه رمزعبورهایمان را در برابر حمله Dictionary مقاوم کنیم؟

• هرگز از رمزعبور‌های ساده، قابل حدس و رایج استفاده کنید.
• احراز هویت دو مرحله‌ای حساب‌های آنلاینتان را فعال کنید
• برای هر حسابتان یک رمزعبور منحصر بفرد و پیچیده داشته باشید.
• از نام، نام خانوادگی، شماره شناسنامه، نام حیوان خانگی و موارد دیگر که به شما مربوط هستند استفاده نکنید.
• برای به خاطر سپاری رمزعبورهای پیچیده و طولانی می‌توانید از ابزارهای مدیریت رمزعبور استفاده کنید. 
• برای ساختن رمزعبور‌هایتان، علاوه بر ابزارهای مدیریت رمزعبور می‌توانید از روش تاس بهره ببرید. 
• در ساختن رمزعبور هرگز از الگو پیروی نکنید

برای شروع می‌توانید برای خود یک آزمایشگاه امنیتی فراهم کنید. منظور از آزمایشگاه امنیتی داشتن یک فضا در اینترنت (vps, host) و راه‌ انداختن یک وب‌سایت با CMS‌های مختلف است تا بررسی‌های امنیتی خود را روی آن انجام دهید.