Brute Force

O que é Brute Force?

Brute Force é o método clássico de tentar tudo para quebrar uma senha, chave ou frase de acesso. Um script adivinha uma combinação após outra até algo abrir. Pense nisso como experimentar todas as chaves de um anel de chaves gigante, só que o anel é feito de matemática.

Como o Brute Force funciona

Eis o plano de ação, sem truques de cinema:

• Alvo: O atacante escolhe um início de sessão, um ficheiro de carteira cifrado ou uma mensagem para decifrar.
• Adivinhação: O software gera tentativas de senha, por vezes com listas de palavras e ajustes, por vezes totalmente ao acaso.
• Feedback: Cada tentativa tem sucesso ou falha, e o script ajusta-se ou continua a tentar.
• Mudança de rumo: Se o site limitar a taxa de tentativas, podem mudar para uma cópia offline, como um hash roubado ou um keystore.
• Resultado: Uma frase de acesso forte trava o Brute Force, uma curta ou reutilizada é quebrada.

Sim, pode mesmo ser assim tão simples.

Por que o Brute Force importa

Deve preocupar-se porque as tentativas podem esvaziar carteiras, inverter listagens de NFT ou sequestrar contas em exchanges. Alguns pontos a ter em conta:

• Vantagem: Saber como o Brute Force funciona ajuda a escolher defesas que realmente fazem diferença.
• Perspetiva: A maioria dos ataques não é magia de cinema; são reutilização de senhas ou alguém a explorar configurações fracas.
• Relevância: Verá isto em inícios de sessão de exchanges, frases de acesso de carteiras, chaves de validadores e painéis de administração de dApps.

Principais características do Brute Force

Sinais rápidos de que está perante este método:

• Exaustivo: Testa muitas tentativas sem se preocupar com sentido.
• Tempo: A defesa depende do comprimento e da aleatoriedade da frase de acesso, não de intuições.
• Velocidade: A velocidade online é limitada, offline pode ser muito elevada com GPUs.
• Sinais: Picos de falhas de início de sessão ou pedidos de captcha indicam Brute Force num site.

Como se calcula o Brute Force?

Pode estimar o trabalho pelo tamanho do conjunto de possibilidades e pelo número de tentativas por segundo que um sistema consegue fazer.

Combinações totais para um conjunto de caracteres e comprimento dados:

Combinations = S^L

onde S é o tamanho do conjunto e L é o comprimento. Em média são precisas cerca de metade das combinações para ter sucesso.

Estimativa de tempo:

Time = Combinations / GuessesPerSecond

Exemplo: letras e dígitos somam cerca de 62 caracteres. Um comprimento de 10 dá 62^10 combinações, o que é enorme, por isso mesmo hardware rápido demora mais do que a capacidade de concentração humana.

Variações

Diferentes abordagens, mesmo objetivo, compromissos diferentes:

1. Dicionário: Tenta palavras comuns e senhas vazadas primeiro para maior rapidez.
2. Credenciais: Reutiliza pares de email e senha de violações para ver o que ainda funciona.
3. Inverso: Seleciona uma senha comum e testa-a em muitos nomes de utilizador.
4. Máscara: Limita as tentativas a um padrão, por exemplo começa com maiúscula e termina com dígitos.
5. Híbrido: Mistura palavras de dicionário com regras, como acrescentar anos ou símbolos.

Exemplo

Um bot bombardeia uma página de início de sessão com milhares de tentativas, é sujeito a limitação de taxa, e depois muda para testar um ficheiro de carteira roubado offline com rigs de GPU.

Curiosidade

Brute Force é mais antigo do que as criptomoedas, mas as GPUs transformaram-no num projeto de fim de semana para senhas fracas. A sua placa de gaming pode adivinhar mais rápido do que uma sala cheia de servidores antigos.

Resumo

Frase de acesso longa e única, definições resistentes ao Brute Force e um segundo fator, e dorme mais descansado.