Brute Force

Czym jest Brute Force?

Brute Force to stara, prosta metoda polegająca na próbowaniu wszystkiego w celu złamania hasła, klucza lub frazy dostępowej. Skrypt zgaduje kolejne kombinacje, aż coś zadziała. Można to porównać do próbowania każdego klucza na ogromnym breloku tylko że brelok zrobiony jest z matematyki.

Jak działa Brute Force

Oto plan działania, bez żadnej magicznej sztuczki z filmów:

• Cel: Atakujący wybiera login, zaszyfrowany plik portfela lub wiadomość do odszyfrowania.
• Zgadywanie: Oprogramowanie generuje typowane hasła czasem inteligentnie, używając list słów i modyfikacji, czasem całkowicie losowo.
• Informacja zwrotna: Każda próba kończy się sukcesem lub porażką, a skrypt dopasowuje strategię albo po prostu kontynuuje próby.
• Zmiana taktyki: Jeśli serwis ogranicza tempo żądań, atakujący może przejść do pracy na kopii offline, np. na skradzionym hashu lub keystore.
• Wynik: Silna fraza dostępu spowalnia Brute Force, krótka lub powtarzana zostaje złamana.

Tak, naprawdę może być aż tak proste.

Dlaczego Brute Force ma znaczenie

To ważne, bo zgadywanie haseł może opróżnić portfele, zmienić wystawienia NFT lub przejąć konta na giełdach. Kilka punktów do zapamiętania:

• Korzyść: Znajomość działania Brute Force pomaga wybrać zabezpieczenia, które rzeczywiście mają wpływ.
• Perspektywa: Większość ataków to nie sztuczki z filmów to powtarzane użycie haseł albo ktoś wykorzystujący słabe ustawienia.
• Zastosowanie: Spotkasz to przy logowaniach na giełdach, frazach dostępowych portfeli, kluczach walidatorów i panelach administracyjnych dApps.

Główne cechy Brute Force

Szybkie wskazówki, że masz do czynienia z tą metodą:

• Wyczerpujące: Testuje wiele prób bez zwracania uwagi na znaczenie kombinacji.
• Czas: Obrona zależy od długości frazy i jej losowości, a nie od intuicji.
• Szybkość: Prędkość online jest ograniczana, natomiast offline może być bardzo wysoka przy użyciu GPU.
• Sygnały: Skoki nieudanych logowań lub pojawiające się captcha sugerują atak Brute Force na stronie.

Jak oblicza się Brute Force?

Można oszacować pracę na podstawie rozmiaru zbioru możliwych znaków oraz liczby prób na sekundę, które sprzęt może wykonać.

Całkowita liczba kombinacji dla zadanego zestawu znaków i długości:

Combinations = S^L

gdzie S to rozmiar zbioru, a L to długość. Średnia liczba prób do powodzenia to około połowa wszystkich kombinacji.

Szacowany czas:

Time = Combinations / GuessesPerSecond

Przykład: litery i cyfry to około 62 znaki. Długość 10 daje 62^10 kombinacji, co jest ogromne, więc nawet szybki sprzęt potrzebuje więcej czasu niż ludzka koncentracja.

Warianty

Różne odmiany, ten sam cel, różne kompromisy:

1. Słownikowe: Najpierw próbuje popularnych słów i wyciekłych haseł, by działać szybciej.
2. Poświadczeń: Odtwarza pary email/hasło z wycieków, żeby sprawdzić, co nadal działa.
3. Odwrotne: Wybiera popularne hasło i stosuje je do wielu nazw użytkowników.
4. Maska: Ogranicza próby do wzorca, np. zaczyna się wielką literą i kończy cyframi.
5. Hybrydowe: Łączy słowa ze słownika z regułami, np. dodawanie lat lub symboli.

Przykład

Bot atakuje stronę logowania tysiącami prób, zostaje ograniczony przez limity żądań, a potem przełącza się na testowanie skradzionego pliku portfela offline na maszynach z GPU.

Ciekawostka

Brute Force jest starszy niż kryptowaluty, ale GPU sprawiły, że dla słabych haseł to weekendowy projekt. Twoja karta do gier może zgadywać szybciej niż sala starych serwerów.

Podsumowanie

Długa, unikalna fraza dostępu, ustawienia utrudniające Brute Force i drugi czynnik to wszystko pozwoli ci spać spokojniej.