Internetni kraji: napadi brutalne sile in kako jih ustaviti

Internet kramp

Napad z grobo silo, imenovan tudi izčrpno iskanje ključev, je v bistvu igra ugibanja in ga je mogoče izvesti proti kateri koli vrsti avtentikacijskega sistema.

Šifrirni ključi so še posebej ranljivi za napade s silovito silo, saj ni mogoče preprosto omejiti števila ugibanj, ki jih napadalec lahko zlomi. Zato je mogoče vnesti vsako posamezno geslo, dokler se ne zgodi pravilnega.

Preproste številčne šifre

Dolžina in zapletenost gesla nam omogočata, da izračunamo, koliko ugibanj bi potrebovali, da bi ga zlomili.

Na primer, tipična štirimestna koda vrat bi imela 10.000 različnih kombinacij, od 0000 do 9999. Preprosto je izračunati, da če vnesete gesla naključno, obstaja pravilna koda vrat za 50% možnosti, da se jih uvede v 5000 poskusov.

Čeprav je morda človeško vnesti toliko različnih tipk za človeka, bi lahko sestavili malo robotko, da bi to storili za nas, ali celo našli način, da vnesemo kode po elektronski poti. Če bo za našo malo robot potrebovala eno sekundo, da vnesemo kodo, bi lahko vsa taka vrata odprli v 167 minutah - manj kot tri ure.

zaščita pred grobo siloOmejitev števila dovoljenih ugibanj za geslo.

Varnost sistema z omejevanjem števila ugibanj

Obstaja nekaj načinov, kako omenjena vrata narediti bolj varna. Dovolili bi na primer samo tri ugibanja, preden se čitalnik kod vrat zaklene v škatlo, za katero je potreben fizični ključ. Možnost pravilnega ugibanja prave kode vrat bi se nato zmanjšala na 0,3%, kar je dovolj majhno, da upajo odbiti napadalca.

Bančne kartice pogosto uporabljajo ta mehanizem; po določenem številu neuspelih poskusov bo bankomat obdržal uporabnikovo kartico.

Telefonske kartice SIM pogosto dovolijo le omejeno število ugibanj gesla, po katerih je za dostop do kartice potreben precej daljši ključ za odklepanje PIN (PUK)..

Slaba stran tega je nevšečnost. S sistemom sekundarne šifre bo zaklepanje vrat, bančna kartica ali telefon nekaj časa neuporaben. Če PUK ni varno shranjen, lahko predstavlja popolnoma novo varnostno tveganje.

Nadomestni sistem je dovoljenje le določenega števila ugibanj gesla na minuto. Če lahko na primer prej poskusite odklepati prej omenjena vrata enkrat na minuto, traja do 167 ur. To je skoraj točno teden dni in najverjetneje dovolj, da se napadalec ne bi trudil poskušati - ali dovolj dolgo, da lahko pravi lastniki zaznajo napad.

Nič ne more omejiti števila ugibanj za šifrirne ključe

Omejevanje poskusov z geslom je izvedljivo samo za napravo ali spletno storitev. Če ima napadalec dostop do šifrirane datoteke ali pa je napadalec prestregel vaše šifrirane komunikacije, nič ne more omejiti števila ugibanj.

Edina možnost v takih primerih je povečati dolžino gesla in tako narediti bolj varno. Za vsako dodano številko gesla postane ugibanje desetkrat bolj zamudno. Šestmestno kodo vrat, na primer, bi potrebovalo skoraj 12 dni, da bi se pri enem uganku na sekundo pokvarilo.

Izdelava daljših šifrantov pa je dražja, saj si jih težje zapomnimo. Ko gre za čisto ugibanje, računalniki z lahkoto ugibajo milijardo številk na sekundo, zato morajo biti gesli izjemno dolgi. 18-mestna gesla bi v računalniku potrebovala več kot eno leto, a si lahko tako dolgo zapomnite kodo?

Kompleksnost je prav tako pomembna kot dolžina

Dovoljenje za bolj zapletene kode za kode močno izboljša varnost. Če dovolimo samo številke, je na voljo le deset možnih vnosov na številko (0-9). Nadaljnje dovoljenje malih črk poveča to na 36 vnosov na številko (0-9, a-z). Če dodate velike črke, se poveča na 62 vnosov na številko (0-9, a-z, A-Z).

Z uporabo izvirne tabele Unicode (latinični niz) bi vsaka številka še povečala na 95 možnih vnosov. Dovoljenje za druge skripte, kot sta arabščina ali grščina, hitro poveča še več.

V trenutnem nizu Unicode je več kot 120.000 znakov, simbolov in emojisov - vsi pa jih lahko uporabimo za dobro geslo. Samo uporaba katerega koli od teh dveh znakov skupaj ustvari geslo z več kot 14 milijardami različnih možnosti. Če dodate tretjino, to pomeni štiri milijardne možnosti.

Če predpostavimo, da lahko računalnik ugane milijardo geslov na sekundo, bi potrebovali več kot milijon sekund, da bi s pomočjo Unicode-ja našli tri-znakovno geslo - približno 12 dni. Boljša zapletenost gesel je tako močna, kot da bi jih podaljšali, vendar jih je na splošno veliko lažje zapomniti.

uporabite skrbnik geslaLjudje niso sposobni biti naključni.

Naključje je pomembno, ljudje pa so naključno slabi

V resnici so gesla redko naključna. Ljudje sistematično ne pridejo do resnično naključnih gesel, zaradi česar so nekatere različice napada z grobo silo izvedljive.

Na primer, lahko izberemo posamezne priljubljene besede, ko jih zahtevamo, da ustvarite geslo in tako znatno zmanjšamo kompleksnost gesel. Čeprav je za šestčrkovno geslo možnih 300 milijonov kombinacij, tudi če dovolimo samo male črke, bodo napadalci začeli z najpogosteje uporabljenimi angleškimi besedami, kar pogosto prinese rezultate. Tak napad se imenuje a slovarski napad.

Napad slovarja je pogosto kombiniran z znanjem najpogosteje uporabljenih gesel. Poznamo priljubljenost določenih gesel iz prejšnjih kršitev gesla. Geslo 1234 na primer odklene več kot 10% vseh telefonov. Gesla 1111 in 0000, nadaljnjih 8%.

Glede na tri poskuse zlomka gesla je v teoriji 0,3% pokvarjanja gesla, v praksi pa je bližje 18%.

Močno bi povečala zapletenost gesla, ko se nekatere črke zamenjajo s posebnimi znaki, kot je "Pa $$ w0rd". Vendar pa je način, kako ljudje nadomeščajo te črke, dokaj predvidljiv in ne dodaja veliko naključnosti. Zlahka je uganiti priljubljene nadomestke, na primer e -> 3, a -> @, o -> 0 ali s -> $, nato pa preverite za te. Temu se pogosto reče zamenjava znakov.

Če ima računalnik ali napadalec možnost, da se seznani z uporabnikom, lahko to znatno zmanjša število poskusov, da se pokvari geslo. Številni ljudje geslom dodajo rojstne datume ali rojstna leta. Drugi uporabljajo ime svojega zakonca, otroka ali hišnega ljubljenčka. Nekateri znaki lahko uporabljajo velike črke ali preprosto vključijo URL spletnega mesta, za katerega uporabljajo to geslo - stvari, ki jih napadalec zlahka ugane.

Pogosta formula gesla je beseda, ki se začne z veliko začetnico, ki ji sledi številka in se konča s posebnim znakom, EG Word1111 !. Če napadalec pridobi nekaj znanja o svoji tarči, lahko uporabi ta vzorec, vsebino pa nadomesti z informacijami, ki so pomembne za žrtev. To se imenuje preverjanje vzorca.

Najboljša zaščita je močno, naključno geslo

Če omejite število ugibanj na sekundo ali skupno število ugibanj, preden se račun zaklene, gre daleč, da vas zaščiti pred napadi grobe sile..

S šifrirnimi ključi takšne omejitve niso možne, zato je najboljši način za obrambo pred napadom grobe sile uporaba naključnega generatorja geslov bodisi kot samostojno orodje bodisi kot del upravitelja gesel. Uporabite lahko tudi tehniko Diceware.

Internetni kraji: napadi brutalne sile in kako jih ustaviti
admin Author
Sorry! The Author has not filled his profile.