Neid rünnakuid saab kasutada igasuguse krüptimisega, erineva edukusega. Brute-force rünnakud muutuvad kiiremaks ja efektiivsemaks iga päevaga, kuna uuem, kiirem arvuti riistvara vabastatakse.
Brute-Force põhitõed
Rikutud rünnakud on lihtsalt mõistetavad. Ründajal on krüptitud fail - näiteks teie LastPassi või KeePassi parooli andmebaas. Nad teavad, et see fail sisaldab andmeid, mida nad soovivad näha, ja nad teavad, et see avab krüpteerimisvõtme. Selle dekrüpteerimiseks saavad nad proovida kõiki võimalikke paroole ja näha, kas see tulemuseks on dekrüpteeritud fail.
Nad teevad seda automaatselt arvutiprogrammiga, nii et kiirus, millega keegi saab jõuga krüpteerimist suurendada, muutub olemasoleva arvuti riistvaraga kiiremaks ja kiiremaks, on võimeline tegema rohkem arvutusi sekundis. Enne kahe numbri paroolide liigutamist hakkab rünne rünnak tõenäoliselt alustama ühekohaliste paroolidega ja proovib kõiki võimalikke kombinatsioone, kuni üks neist töötab.
Sõnastiku rünnak on sarnane ja proovib sõnu sõnastikus või tavaliste paroolide loendist - kõigi paroolide asemel. See võib olla väga tõhus, kuna paljud inimesed kasutavad selliseid nõrku ja tavalisi paroole.
Miks ründajad ei saa Web-teenuseid kuritarvitada?
Seal on vahe online-ja off-line rüht-force rünnakuid. Näiteks kui ründaja soovib teie Gmaili kontolt jõupingutusi, saavad nad hakata proovima kõiki võimalikke paroole - aga Google kustutab need kiiresti. Teenused, mis võimaldavad juurdepääsu sellisele kontodele, võimaldavad juurdepääsu juurdepääsu katsetele ja keelavad IP-aadressid, mis üritavad logida nii mitu korda. Seega ei mõjuta võrguteenuse rünnak liiga hästi, sest rünnaku peatamiseks on võimalik teha vähe katseid.
Näiteks pärast mõnda ebaõnnestunud sisselogimise katset näitab Gmail teile CATPCHA-pilti, mis kinnitab, et te pole arvuti automaatselt paroolide proovimisel. Nad peatavad teie sisselogimise katkemise tõenäoliselt täies ulatuses, kui suudate pikkusega jätkata.
Hashing
Tugevad räsimisalgoritmid võivad aeglustada jõuvõtete rünnakuid. Sisuliselt toimivad räsimisalgoritmid paroolis enne mälukaartide täiendavat matemaatilist tööd enne ketta paroolist tuletatud väärtuse salvestamist. Kui kasutatakse aeglasemat räsimisalgoritmi, nõuab iga salasõna katsetamiseks tuhandeid kordi nii palju matemaatilist tööd kui ka jõuliselt rünnakute dramaatiline aeglustamine. Kuid seda, kui palju tööd vaja on, seda rohkem töötab server või muu arvutiga iga kord, kui kasutajad salvestavad parooli. Tarkvara peab tasakaalustama resistentsuse rünnakute vastu ressursside kasutamisel.
Brute-Force Speed
Kiirus sõltub riistvarast. Luureagentuurid võivad ehitada spetsialiseeritud riistvara lihtsalt rünnakute tõrjumiseks, nagu ka Bitcoin mineraalid ehitavad oma spetsiaalse riistvara, mis on optimeeritud Bitcoini kaevandamise jaoks. Tarbija riistvara puhul on kõige efektiivsem röövimisharjumuste riistvaraline riistvara graafikakaart (GPU). Kuna korraga on lihtne proovida mitmesuguseid krüpteerimisvõtmeid, on paljud paralleelselt töötavad videokaardid ideaalsed.
2012. aasta lõpus teatas Ars Technica, et 25-GPU-klastreid võiks alla laadida alla kaheksa tähemärki vähem kui kuus tundi. Microsoft kasutatav NTLM-i algoritm just polnud piisavalt vastupidav. NTLMi loomise korral oleks kõigi paroolide proovimiseks kulunud palju pikem aega. Seda ei peetud piisavalt ohtuks, et Microsofti krüpteering oleks tugevam.
Kiirus kasvab ja mõne aastakümne jooksul võib avastada, et isegi kõige tugevamaid krüpteerimisalgoritme ja krüpteerimisvõtmeid, mida me tänapäeval kasutavad, saab kiiresti kvantifitseeritud arvutite või mis tahes muu riistvara abil, mida kasutame tulevikus.
Andmete kaitsmine rütmisjõudude rünnakute eest
Pole võimalik end täielikult kaitsta. On võimatu öelda, kui kiiresti arvuti riistvara saab ja kas tänapäeval kasutusel olevad krüpteerimisalgoritmid on tulevikus leitud ja kasutatavad puudused. Kuid siin on põhitõed:
- Hoidke krüpteeritud andmed turvaliselt, kui ründajad ei pääse sellele juurde. Kui nad oma andmed oma riistvarale kopeerivad, saavad nad vabal ajal proovida rünnakut rünnakute vastu.
- Kui käitate mis tahes teenust, mis võtab Interneti kaudu sisse logisid, veenduge, et see piiraks sisselogimise katsed ja blokeerib inimesi, kes püüavad lühikese ajaga sisse logida paljude erinevate paroolidega. Tavaliselt on serveritarkvara seda teha kastist välja, kuna see on hea turvatöö.
- Kasutage tugevaid krüpteerimisalgoritme, nagu SHA-512. Veenduge, et te ei kasuta vanu krüpteerimisalgoritme teadaolevate nõrkade külgedega, mida on lihtne murda.
- Kasutage pikki, turvalisi paroole. Kogu maailma krüpteerimistehnoloogia ei aita, kui kasutate parooli või üha populaarsemat "hunter2".
Rütmisjõudude rünnakud on murettekitavad teie andmete kaitsmisel, krüpteerimisalgoritmide valimisel ja paroolide valimisel. Nad on ka põhjus, et hoida tugevamaid krüptograafilisi algoritme - krüptimine peab olema kooskõlas sellega, kui kiiresti see uue riistvara abil ei toeta.
