Bár az Apple soha nem erősítette meg hivatalosan, feltételezzük, hogy 2014-ben a technológiai óriás egy kicsi, de katasztrofális áldozat volt, biztonsági rés az iCloud tárolási szolgáltatáson. Bizonyos okokból feltételezhetjük, hogy a nyers erőszakos támadások elleni védelem hiánya lehetővé tette a különféle hírességek magánfotóinak ellopását, ami elégséges volt ahhoz, hogy az Apple röviddel a támadások után védelmi intézkedéseket hajtson végre. Azóta a biztonsági mechanizmus abból áll, hogy a felhasználóknak legfeljebb tíz próbálkozásuk van írd be a jelszavad; ha nem, akkor a számlát letiltjuk, és értesítjük a számlatulajdonost. A fényképek kiszivárogtatása előtt nem volt korlát a helytelen jelszavak beírására, ezért a durva erő támadásának kialakítása csak idő kérdése volt.

erőszakos támadások

Mi is pontosan a durva erő?

A nyers erő kifejezés durva erőre utal, és a számítógépes tudomány, a rejtjelezés és a játékelmélet területén felmerülő problémák megoldásának módszerére utal. A nyers erő módszer ezt a nevet kapja, mert azon alapul próbáld ki az összes vagy sok lehetséges megoldást, kimerítő keresés néven is ismert, és különösen akkor alkalmazzák, amikor más algoritmusok nem állnak rendelkezésre. Ezt a technikát a hackerek a jelszavak feltörésére és így a külső adatokhoz való hozzáférésre használják. Ehhez egy egyszerű algoritmust tartalmazó szoftvert használnak, amely végrehajtja a karakterek különböző kombinációit, amelyek számokból, szóközökből és betűkből állnak, egy meghatározott maximális hosszúságig.

Minél rövidebbek a jelszavak, annál gyorsabban fedezik fel őket nyers erővel. Ezért általában ajánlott olyan jelszavakat használni, amelyek különböző karaktereket tartalmaznak, és ezért a legtöbb jelszó-titkosító rendszer nagyon hosszú kulcsokat használ. Mivel a brutális erőszakos támadások technikai követelményei egyre könnyebben teljesíthetők, lehetséges több végrehajtása is próbálkozások száma időegységenként, mi teszi szükségessé az úgynevezett durva erő elleni támadások elleni védelmi rendszert.

Miért nem szabad könnyedén venni a nyers erő támadásokat?

Tekintettel a módszer primitív jellegére, megfelelő biztonsági intézkedések alkalmazását várhatnánk, sajnos ez nem mindig így van. Potenciálisan, bármely, az internethez csatlakoztatott rendszert veszélyeztethetnek ezek a támadások. Miután egy hacker észrevétlen maradt és bekapcsolódott egy rendszerbe (ami gyorsabban megtörténhet, mint gondolná), a jelszavak feltörése nem lesz nehéz. A legtöbb operációs rendszer olyan fájlokat és adatbázisokat futtat, ahol felhasználói azonosítókat és jelszavakat tárolnak. Például Windows rendszereken, a jelszavakat megtalálhatók a .sam fájlban és az unixoid rendszereken a .psswd vagy .shadow fájlban.

Bár ezekben a fájlokban a jelszavak nem szöveges formátumban vannak, mivel korábban titkosítási algoritmusok segítségével kódolták őket, a támadó hozzáférhet a fájlokhoz, ha nincsenek védve az illetéktelen hozzáféréstől. Létrehozhat egy másolatot a fájlból, és különböző durva erőszakos támadásokat hajthat végre az ellen, anélkül, hogy fenn kellene tartania a kapcsolatot a rendszerrel. Jelenleg elvileg csak három olyan változó van, amely megkönnyíti a támadó küldetésének teljesítését:

  • A az egyes ellenőrzési lépések időtartama
  • A hossz Jelszó
  • A bonyolultság Jelszó

Az egyes ellenőrzési lépések időtartama, vagyis az egyes lehetséges jelszavak megkísérléséhez szükséges idő függ a számítási teljesítmény hogy a támadó rendelkezésére áll. Minél nagyobb az erő, annál gyorsabb az egymás utáni próbálkozás. A hosszúság és a bonyolultság határozza meg a lehetséges karakterkombinációk számát, amelyek jelszót alkothatnak, és ennélfogva az opciók számát, amelyeket fel kell használni a durva erő támadása során. Íme egy példa arra, hogy a jelszó hossza és összetettsége hogyan befolyásolja az időtartamot:

Karakterek száma Karaktertípus A jelszó maximális hossza Lehetséges kombinációk Számítási teljesítmény A kimerítő kutatás hossza
26 karakter 72 karakter
Kisbetűs Nagy- és kisbetűk, speciális karakterek, számok
8 karakter 8 karakter
Kb. 209 millió Kb. 722 milliárd
Kb. 100 millió hash funkció másodpercenként Kb. 100 millió hash funkció másodpercenként
Kb. 35 perc Kb. 83 nap

A táblázat azt mutatja, hogy egy egyszerű jelszóval és 26 karakter használatával egy modern számítógép Minden lehetséges kombinációt 35 perc alatt ellenőriznék. Ha a sorozat 72 karakterre terjed ki, azonos számítási erővel, a durva erő módszerének végrehajtása körülbelül 83 napot vesz igénybe. Nem tanácsos azonban bízni, mivel a feltörési módszerek, mint pl szótári támadás (szóösszetételek) vagy a szivárvány deszkák (a jelszavak összefüggő sorozata) felgyorsíthatja a durva erő támadásának időtartamát.

Hogyan lehet megvédeni ezeket a támadásokat?

Függetlenül attól, hogy egy brutális erőszakos támadás célozza-e meg a rendszer központi jelszófájlját, vagy, mint az iCloud esetében, a támadó rendelkezik az áldozat Apple ID-jével, az előzmények bizonyítják, hogy fontos védeni ezt az átfogó módszert. Általában a legtöbb felhasználó tudja alapelvei hozzon létre erős jelszavakat: különféle karakterekből álló kombinációkat kell használni; a legjobb esetekben használjon nagy- és kisbetűt, valamint számokat és speciális karaktereket. És természetesen, minél hosszabb a jelszó, annál nehezebb feltörni.

A táj az alkotáshoz jelszavak az online szolgáltatásokhoz Kicsit bonyolultabb, mivel a szolgáltató által meghatározott feltételek vonatkoznak rá. A tipikus követelmények maximális hossza nyolc-tíz karakter, és gyakran a korlátozott számú szám és betű, valami, ami a további biztonsági intézkedések nélkül nem túl kielégítő. Ezekben az esetekben szükséges, hogy tisztában legyen a webprojekt üzemeltetőinek óvintézkedéseivel és intézkedéseivel a nyers erőszakos támadásokkal kapcsolatban. Ha Ön egy bejelentkezési mechanizmussal rendelkező webhely rendszergazdája, akkor ez a felelősség a vállára esik. Ehhez két lehetséges megközelítésed van:

  • A jelszómechanizmus védelmének biztosítása
  • A többtényezős hitelesítési módszer

A jelszómechanizmus védelmének a hozzáférési maszkok standard elemének kell lennie, azonban, amint azt a fent említett iCloud-botrány is mutatja, ez nem mindig így van. Ez a védelmi folyamat olyan stratégiák megvalósítására utal, amelyek megnehezítik a brute force szoftver működését. Így abban az esetben, ha a felhasználó vagy a támadó helytelen jelszót ír be, az újabb jelszó megadásának lehetősége csak rövid idő elteltével jelenik meg. A várakozási idő növelhető a sikertelen kísérletek számának növekedésével is. Még egy lépéssel tovább, ahogy az Apple tette a támadás után, bizonyos számú regisztrációs kísérlet után teljesen lezárható a felhasználó fiókja.

A többtényezős hitelesítési módszereket sok szolgáltató gyakran opcióként kínálja. Ezekkel kissé megnehezíti a regisztráció folyamatát, mert a jelszó mellett szükséges, hogy a felhasználó megadjon egy további összetevőt. Ez az összetevő lehet egy titkos kérdésre adott válasz, PIN-kód vagy az úgynevezett captcha. Az utóbbiak apró tesztek, amelyek lehetővé teszik a bejelentő hatóság számára, hogy megállapítsa, emberi felhasználóról van-e szó, vagy - mint a durva erőszakos támadásoknál jellemző - robot.

Egyesítsd erőinket a nyers erő ellen

A fent említett intézkedéseken kívül vannak további trükkök a durva erő támadásainak megakadályozására. Általánosságban elmondható, hogy az összes brute force szoftver különböző azonosítási mintákkal működik, ami akadályt jelent, például mikor a hibaüzenetek A szabványokat nem küldjük vissza a böngészőbe, hanem egy külső rendszerre irányítjuk (pl. egy másik weboldalra). Egy másik tényező, amely problémákat jelenthet néhány hacker eszköz számára, az használjon különböző neveket a mezőkhöz és a szövegekhez amelyek sikertelen bejelentkezési kísérlet után jelennek meg. Mindenesetre, ha növelni szeretné webhelye és jelszavai biztonságát, mindig ajánlatos egyszerre több védelmi intézkedést végrehajtani a nyers erőszakos támadások ellen.

Egyes platformokhoz és alkalmazásokhoz speciális pluginok vagy kiterjesztések vannak a durva erőszakos támadások megelőzésére. A Jetpack add on, amely elvileg megkönnyíti a weboldalak adminisztrációját a WordPress-ben, integrálta például, egy modul, amely megakadályozza Veszélyes támadások, amelyek a blokkolt IP-címek listáján alapulnak. Az ebben a listában gyűjtött IP-címek valamilyen módon kapcsolódnak a WordPress webhelyein végrehajtott összes durva erő támadásához.