بنیانگذار انجمن تخصصی فناوری اطلاعات ایران ، هکر کلاه خاکستری ، کارشناس امنیت اطلاعات و ارتباطات
حمله بروت فورس ( Brute Force ) چیست؟
شما هم احتمالا در فیلم هایی که در مورد هک و هکرهاست دیده اید که یک سری اعداد و ارقام و علامات پشت سر هم تست می شوند و در نهایت اجازه دسترسی به یک سری اطلاعات محرمانه داده می شود.
دوره های شبکه، برنامه نویسی، مجازی سازی، امنیت، نفوذ و ... با برترین های ایران
سرفصل های این مطلب
این در واقع همان چیزی است که در دنیای واقعی به آن حمله Brute Force می گوییم. با این تفاوت که در هالیوود حملات متفاوت تر از دنیای واقعی هستند.
اما واقعا حمله Brute Force چیست و چگونه انجام می شود؟ حمله Brute Force یک حمله آزمون و خطایی است که روشی برای دستیابی به اطلاعات محرمانه و رمزگشایی اطلاعات با پیدا کردن رمز و کلید رمزگشایی به حساب می آید.
به زبان ساده تر در این روش ، همه احتمال های ممکن برای پیدا کردن یک رمز عبور توسط کامپیوتر تست می شود و در نهایت کلید رمزگشایی شکسته می شود. مهمترین کاربرد حملات Brute Force در کرک کردن یا شکستن کلید پسوردها و به دست آوردن کلید رمزگشایی آنها است.
اما حملات Brute Force غیر از بحث حمله به پسوردها یا رمزهای عبور در بحث شکستن کلیدهای SSH Login و حتی API ها نیز مورد استفاده قرار می گیرند. حتی اگر پارامترهای امنیتی در وب سایت ها رعایت نشده باشد ، احتمال استفاده از Brute Force در هک کردن پسورد وب سایت ها نیز بالاست.
قطعا حملات Brute Force با استفاده از اسکریپت ها ، ربات ها و نرم افزارهایی که بصورت خودکار پسوردها را تست می کنند بر روی صفحات لاگین وب سایت ها و ... انجام می شود و یک فرآیند دستی در این میان وجود ندارد.
برخلاف سایر روشهای کرک پسورد در واقع حمله Brute Force یک حمله ساده تر به نظر می رسد !! در واقع اصلا استراتژی عجیب و غریبی در این حملات وجود ندارد بلکه فقط هر چیزی که ممکن است به عنوان پسورد وجود داشته باشد ، تست می شود !! از شیر مرغ تا جون آدمیزاد !!
احتمال وجود هر ترکیب اعداد ، حروف ، علامات و ... که ممکن است در یک پسورد وجود داشته باشد بررسی می شود. برای مثال ساده تر ، فکر کنید یک دزد قرار است کلید گاوصندوق رمزدار شما را تست کند که می تواند 1000 رمز عبور مختلف داشته باشد ، خوب اگر فرصت مناسب را به او بدهید کافیست 1000 احتمال را تست کند تا رمز دقیق را پیدا کند ، این دقیقا همان حمله Brute Force است.
نقاط ضعف و قوت حمله بروت فورس ( Brute Force ) در چیست؟
مهمترین نقطه قوت حمله Brute Force این است که اگر زمان مورد نیاز برای کرک کردن پسورد را داشته باشید ، حمله بروت فورس قطعا نتیجه می دهد و در این شکی نیست ، همچنین انجام این حمله به نسبت سایر حملات بسیار ساده تر است.
هر نوع الگوریتم و هر نوع سیستمی که مبتنی بر پسورد و رمز عبور باشد با استفاده از حمله Brute Force قابل هک شدن است . اما خوب این موضوع که چقدر زمان برای کرک کردن پسورد مورد نیاز است به پارامترهای متنوعی بستگی دارد. از طرفی دیگر حملات بروت فورس بسیار کند هستند زیرا قرار است هر نوع احتمالی برای پیدا کردن پسوردها تست شود.
همه کاراکترها ، همه اعداد و حروف و علامات و ترکیب های آنها باید آزمایش شوند و با هم ترکیب و تست شوند. هر چقدر که طول پسورد هدف شما بزرگتر باشد ، ترکیب اعداد و علامات و حروف بزرگ و کوچک و ... باشد ، کرک کردن آن با استفاده از حمله Brute Force کار سنگین تری خواهد بود .
برای مثال کرک کردن یک پسورد 4 کاراکتری زمانی به نسبت بسیار طولانی تر از کرک کردن پسورد 3 کاراکتری نیاز دارد و به همین تناسب پسورد 5 کاراکتری زمان بسیار بسیار بیشتری به نسب پسورد 3 کاراکتری نیاز دارد. حتی وجود یک کاراکتر در بین پسوردها می تواند مدت زمان کرک کردن پسورد را بسیار بالاتر ببرد.
برخی اوقات مدت زمان هک کردن یک پسورد با استفاده از حمله Brute Force ممکن است غیر قابل پذیرش باشد !! ممکن است یک هدف حمله Brute Force روزها ، ماه ها و شاید سالها زمان برای کرک کردن پسورد نیاز داشته باشد.
در نتیجه امروزه که استفاده کردن از پسوردهای قوی و طولانی در همه جا توصیه می شود ، با رعایت کردن چنین قوانینی ، حملات Brute Force سخت تر انجام می شوند. بدیهی است که اگر حملات Brute Force به درستی انجام نشود ، مهاجمین از روشهای جایگزینی مثل مهندسی اجتماعی و حملات مشابه آن برای پیدا کردن رمزهای عبور استفاده می کنند.
راه مقابله با حملات Brute Force چیست؟
اگر انتخاب کردن پسوردهای قوی ، طولانی و حرفه ای را جزو قسمت هایی از روشهای مقابله با حمله بروت فورس بگذاریم که کاربران باید رعایت کنند ، روشهای دیگری هم وجود دارد که برنامه نویس ها می توانند در نرم افزارهای خود برای جلوگیری از حملات بروت فورس قرار بدهند تا احتمال این حمله به حداقل برسد. از مهمترین این روشها می توانیم به موارد زیر اشاره کنیم :
- استفاده از پسوردهای قوی برای کاربران را الزامی کنید
- امکان تولید پسوردهای تصادفی از طریق سایت را ایجاد کنید
- از قبول کردن پسورد اشتباه بیشتر از 3 بار از هر آدرس IP جلوگیری کنید
- پس از وارد کردن 3 بار پسورد اشتباه ، اکانت یا آیپی مورد نظر را برای مدت زمانی مسدود کنید
- از مکانیزم احراز هویت دو مرحله ای یا Two Factor Authentication استفاده کنید
- ترجیجا برای هر سرویسی از پسورد اختصاصی همان سرویس استفاده کنید
- و ...
البته قطعا این نوع حفاظت در برابر حمله Brute Force زمانی کاربرد دارد که شما بصورت انلاین می خواهید از این حملات استفاده کنید ، این حمله در حملات Offline عملا فقط با قدرت پسورد می تواند راه مقابله داشته باشد.