حمله Brute Force : یکی دیگر از روش‌های کرک کردن رمزعبور

15
1397
حمله Brute Force : یکی دیگر از روش‌های کرک کردن رمزعبور

 در مطلب گذشته، ما در مورد کرک کردن رمزعبور، انواع آن و حمله Dictionary خواندیم، در این مطلب که ادامه انواع کرک کردن رمزعبور است به حمله Brute Force می‌پردازیم. با ما باشید تا ببینیم در این حمله چه اتفاقی می‌افتد, چه مواقعی از آن استفاده می‌شود و چگونه می‌توانیم در برابر آن از اطلاعاتمان محافظت کنیم.

هدف از این مطلب آشنایی با روش‌های بدست آوردن رمزعبور کاربران اینترنت توسط خرابکاران است. باید در نظر داشته باشیم که با آشنایی با این روش‌ها است که می‌توانیم تهدید‌های آنلاین را بشناسیم و امنیت خود و اطرافیانمان را حفظ کنیم. ابزارها و برنامه‌ های امنیتی مانند شمشیر دو لبه هستند. به این معنی که هم برای اهداف خوب بکار می‌روند و هم اهداف بد. توصیه می‌کنیم شدیدا از فعالیت‌های مخرب دوری کنید و از دانشتان در جهت اهداف خوب بهره ببرید.

حمله Brute Force یا جستجوی فراگیر چیست ؟ 

این حمله یکی از روش‌های پر هزینه کرک کردن رمزعبور است. در این حمله هکر باید تمام احتمال‌های یک رنج مشخص را تست کند تا به رمزعبور اصلی برسد. در این روش هکر ممکن است فایل Hash رمزعبور‌ها را داشته باشد که بصورت آفلاین، Hash احتمال‌های ممکن را با فایل موجود مقایسه می‌کند یا بصورت آنلاین در فرم‌‌های ورود، رمزعبورهای احتمالی را تست می‌کند.

 برای توضیح ساده‌تر این روش، یک مکعب روبیک را در نظر بگیرید. حمله Brute Force همان حرکت دست‌های شما برای سعی در یک رنگ کردن تمام وجه‌های این مکعب با در نظر گرفتن تمام احتمالات ممکن است. هنگامی که مکعب روبیک حل شود یعنی به رمزعبور دست پیدا کرده‌‌اید. این روش کرک کردن مطمئنا با امتحان تمام حالت‌های ممکن به رمزعبور می‌رسد. اما موضوع مهم، در اختیار داشتن زمان و منابع است.

 

در حمله Brute Force شما باید رنج‌های مختلف حروف را امتحان کنید. مطمئنا بدون ابزار کار بسیار سخت و فوق‌العاده زمانبری است. ابزارهای معروف زیادی برای این نوع حمله در دسترس هستند. اگر از سیستم عامل ویندوز استفاده می کنید، برنامه Brutus -این ابزار برای کرک کردن آنلاین رمزعبور است- انتخاب خوبی است. با استفاده از این برنامه گزینه های زیر را در اختیار خواهید داشت : 

  • Numerical : اعداد ۰ تا ۹ 
  • Lowercase Alpha : حروف کوچک
  • Uppercase Alpha : حروف بزرگ
  • Mixed Alpha : هم حروف بزرگ و هم کوچک
  • Alphanumeric : حروف بزرگ، حروف کوچک و اعداد ۰ تا ۹
  • Full Keyspace : تمام موارد بالا به همراه حروف خاص
  • Custom Range : این گزینه مربوط به زمانی می‌شود که شما می‌دانید در رمزعبور هدف چه حروفی وجود دارند. 

هر رنج حروفی که در بالا لیست شده است، احتمالات زیادی دارند. در مثال زیر می‌بینیم که چه احتمالاتی در هر رنج برای یک رمزعبور با طول ۶ حرف وجود دارند: 

  • Numerical :تعداد ۱،۱۱۱،۱۱۰ رمزعبور با طول ۶ حرف با اعداد ۰ تا ۹ می‌توان ساخت.
  • Lowercase Alpha :تعداد ۳۲۰،۲۷۲،۴۰۶ رمزعبور
  • Uppercase Alpha :تعداد ۳۲۰،۲۷۲،۴۰۶ رمزعبور
  • Mixed Alpha :تعداد ۲۰,۱۵۸,۲۶۸,۶۷۶ رمزعبور 
  • Alphanumeric :تعداد ۵۷,۷۳۱,۳۸۶,۹۸۶ رمزعبور
  • Full Keyspace : تعداد ۶۹۷,۲۸۷,۷۳۵,۶۹۰ رمزعبور 

همانطور که می‌بینید در یک رمزعبور با طول ۶ حرف – اگر تمام حروف صفحه کلید را در نظر بگیریم – بیشتر از ۶۰۰ میلیار رمزعبور باید امتحان شوند تا به رمزعبور اصلی برسیم. اگر طول رمزعبور از ۶ حرف به ۷ حرف تغییر کند، تعداد احتمال‌ها به ۶۵,۵۴۵,۰۴۷,۱۵۴,۹۵۵ می‌رسد، یعنی بیش از ۶۵ تریلیون احتمال! 

محاسبه احتمال‌ها : 

اعداد بالا چگونه بدست آمدند؟ برای یک رمزعبور با طول ۶ حرف که در آن فقط از اعداد ۰ تا ۹ استفاده شود، تعداد حالت‌های ممکن ۱۰۶ می‌شود.  به بیان دیگر ۶ جایگاه داریم که در هر یک، اعداد ۰ تا ۹ (۱۰ عدد) با تکرار می‌توانند قرار بگیرند. بدین ترتیب تعداد احتمال‌ها برابر است با :  ۱۰*۱۰*۱۰*۱۰*۱۰*۱۰ = ۱۰۶    = ۱۰۰۰۰۰۰ رمزعبور مختلف.

اما نکته مهم اینجاست : طول رمز تا ۶ حرف است! یعنی ممکن است ۶، ۵ …۲ و ۱ حرف داشته باشد، یعنی: ۱۰۶ +  ۱۰۵ +  ۱۰۴ +  ۱۰۳ +  ۱۰۲ + ۱۰۱   = ۱۱۱۱۱۱۰ رمزعبور مختلف.

چه مواقعی از روش Brute Force استفاده می‌شود: 

هنگامی که رمزعبور را با هیچ کدام از روش‌های کرک کردن رمزعبور یا روش های مهندسی اجتماعی نتوانستند پیدا کنند به سراغ Brute Force می‌آیند. همانطور که در مثال بالا دیدیم هر چه طول رمز بیشتر باشد، تعداد احتمال‌ها بیشتر و رسیدن به رمزعبور سخت‌تر می‌شود. بنابراین این روش برای رمزعبورهای کوتاه بهتر جواب می‌دهد.

چگونه در برابر حمله Brute Force از رمزعبور و کاربرهایمان محافظت کنیم؟

  • رمزعبور‌های خود را طولانی، غیر قابل حدس و تصادفی با ترکیب حروف بزرگ، کوچک، خاص و اعداد بسازید. 
  • اگر برنامه نویس هستید: می توانید در فرم Login وب‌سایت یا سرویس‌هایتان از کپچا استفاده کنید.
  • اگر مدیر سرور هستید: تعداد رمزعبورهای اشتباه وارد شده در بازه زمانی کوتاه را محدود کنید. همچنین می‌توانید برای امنیت بیشتر، IP‌ یا رنج IPهایی که در بازه زمانی کوتاه رمزعبور اشتباه وارد می‌کنند را مسدود کنید.

 

مقاله قبلیکرک کردن رمزعبور چیست، انواع آن کدامند و حمله Dictionary چیست؟
مقاله بعدی۱۰ قدم تا انتشار نسخه امن دروپال

مقالات مرتبطمطالب پر بازدید

15 نظر

نظر بدهید

لطفا نظر خود را بنویسید
لطفا نام خود را اینجا وارد کنید

این سایت از اکیسمت برای کاهش هرزنامه استفاده می کند. بیاموزید که چگونه اطلاعات دیدگاه های شما پردازش می‌شوند.