强力攻击说明:所有加密如何受到攻击

键锁定

暴力攻击是相当简单的理解,但很难防范。 加密是数学 ,而作为电脑成为数学更快,他们成为尝试所有的解决方案,看哪个最适合速度更快。

这些攻击可以用于任何类型的加密,具有不同程度的成功。 随着更新,更快的计算机硬件的发布,暴力攻击变得更快更有效。

强力基础

暴力攻击很容易理解。 攻击者有一个加密的文件-比如,你的LastPass的KeePass的密码数据库。 他们知道这个文件包含他们想要看到的数据,他们知道有一个加密密钥解锁它。 要解密它,他们可以开始尝试每一个可能的密码,看看是否导致解密的文件。

他们使用计算机程序自动执行此操作,因此,可用的计算机硬件速度更快,速度更快,每秒可以执行更多的计算。 暴力攻击可能会从一位密码开始,然后移动到两位数密码等等,尝试所有可能的组合,直到一个工作。

“字典攻击”是类似的,并尝试字典中的单词或常用密码列表,而不是所有可能的密码。 这可以是非常有效的,因为许多人使用这种弱和共同的密码。

为什么攻击者不能蛮力强制Web服务

在线和线下暴力攻击有一个区别。 例如,如果攻击者想要强制进入您的Gmail帐户,他们可以开始尝试每一个可能的密码,但Google会很快将其关闭。 提供访问这些帐户的服务将限制访问尝试,并禁止尝试登录这么多次的IP地址。 因此,对在线服务的攻击将不会工作得很好,因为在攻击停止之前可以进行很少的尝试。

例如,在几次登录尝试失败后,Gmail会向您显示CATPCHA图片,以验证您不是计算机自动尝试密码。 如果您设法继续了足够长的时间,他们可能会完全停止您的登录尝试。

gmail-captcha

另一方面,假设攻击者从您的计算机上劫持加密文件,或者管理妥协在线服务并下载这样的加密文件。 攻击者现在拥有自己硬件上的加密数据,可以随意尝试尽可能多的密码。 如果他们有权访问加密的数据,就无法阻止他们在短时间内尝试大量的密码。 即使您使用的是强加密,为了您的利益,保护您的数据安全,并确保其他人无法访问。

散列

强散列算法可以减慢暴力攻击。 本质上,散列算法在将从密码导出的值存储在磁盘上之前对密码执行附加的数学工作。 如果使用较慢的散列算法,它将需要数千次的数学工作来尝试每个密码,并显着减慢暴力攻击。 但是,所需的工作越多,服务器或其他计算机每次在用户使用其密码登录时都需要执行的工作越多。 软件必须平衡弹性与暴力攻击与资源使用。

强力速度

速度都取决于硬件。 智能机构可以为暴力攻击构建专用硬件,就像比特币矿工构建自己的针对比特币挖掘而优化的专用硬件一样。 当涉及消费者硬件时,用于暴力攻击的最有效的硬件类型是显卡(GPU)。 由于很容易一次尝试许多不同的加密密钥,许多并行运行的显卡是理想的。

在2012年底, Ars Technica的报道 ,一个25-GPU集群能够在不到六个小时,使其8个字符,每一个破解Windows密码。 微软使用的NTLM算法没有足够的弹性。 但是,当创建NTLM时,尝试所有这些密码需要更长的时间。 这被认为不足以威胁Microsoft使加密更强。

速度在增长,在几十年中,我们可能会发现,即使我们今天使用的最强大的加密算法和加密密钥也可以被量子计算机或我们将来使用的其他任何硬件快速破解。

25-gpu-password-cracking-cluster

保护您的数据免受暴力攻击

没有办法完全保护自己。 不可能说计算机硬件将获得多快以及我们今天使用的任何加密算法是否具有将来会被发现和利用的弱点。 但是,这里是基本:

  • 保护您的加密数据安全,攻击者无法访问它。 一旦他们把你的数据复制到他们的硬件,他们可以尝试暴力攻击他们休闲。
  • 如果您运行任何接受通过Internet登录的服务,请确保它限制登录尝试,并阻止在短时间内尝试使用许多不同密码登录的人。 服务器软件通常设置为开箱即用,因为它是一个很好的安全实践。
  • 使用强加密算法,如SHA-512。 确保您不使用旧的加密算法与已知的弱点,容易破解。
  • 使用长,安全的密码。 所有的加密技术在世界上不会帮助,如果你使用“密码”或常用的“hunter2”。

暴力攻击是保护您的数据,选择加密算法和选择密码时关注的问题。 他们也是一个继续开发更强大的加密算法的原因 - 加密必须跟上新硬件使它无法有效的速度。

图片来源: 约翰·拉尔森在Flickr上杰里米Gosney

赞 (0)
分享到:更多 ()