What is Brute Force?
Brute Force คือวิธีลองทุกอย่างแบบเดิมๆ เพื่อแครปพาสเวิร์ด กุญแจ หรือ passphrase สคริปต์จะเดาคำชุดต่อคำชุดไปจนกระทั่งมีบางอย่างเปิดออก ลองนึกถึงการลองกุญแจทุกดอกบนพวงกุญแจขนาดใหญ่ แต่พวงกุญแจนั้นทำจากคณิตศาสตร์
Brute Force ไม่ใช่เสมอไปที่เป็นหายนะทันที ออนไลน์ล็อกอินมักบล็อกการเดาอย่างรวดเร็ว แต่ไฟล์ออฟไลน์อย่างการสำรอง wallet สามารถถูกบรรจุกระทบด้วยความเร็วบ้าคลั่งถ้าพาสเวิร์ดเป็นแบบอ่อน
How Brute Force works
นี่คือ playbook ไม่ต้องมีเวทมนตร์จากภาพยนตร์:
- Target: ผู้โจมตีเลือกการเข้าสู่ระบบ ไฟล์ wallet ที่เข้ารหัส หรือข้อความที่ต้องถอดรหัส
- Guessing: ซอฟต์แวร์สร้างการเดาพาสเวิร์ด บางครั้งฉลาดด้วย wordlists และการปรับแต่ง บางครั้งก็สุ่มอย่างเดียว
- Feedback: ทุกความพยายามจะสำเร็จหรือล้มเหลว และสคริปต์จะปรับตัวหรือแค่เดินหน้าต่อไป
- Pivot: หากเว็บไซต์มี rate limit พวกเขาอาจเปลี่ยนไปใช่สำเนาออฟไลน์อย่าง hashing ที่ถูกขโมยหรือ keystore
- Outcome: พาสเวิร์ดที่แข็งแรงจะชะลอ Brute Force ส่วนพาสเวิร์ดสั้นหรือถูกใช้ซ้ำก็ถูกถอดรหัสได้
ใช่ มันจริงๆ อาจง่ายขนาดนั้น
Why Brute Force Matters
คุณใส่ใจเพราะการเดาอาจทำให้กระเป๋าสตางค์ว่างเปล่า เปลี่ยนรายการ NFT หรือขโมยบัญชี exchange ได้ ข้อควรพิจารณาบางประการ:
- Benefit: การรู้ว่า Brute Force ทำงานอย่างไรช่วยให้คุณเลือกใช้นโยบายป้องกันที่จริงจังต่อการเปลี่ยนแปลง
- Perspective: ส่วนใหญ่การแฮ็กไม่ใช่เวทมนตร์ระดับภาพยนตร์ พวกเขาใช้การรีใช้งานพาสเวิร์ดหรือใครบางคน exploiting ตั้งค่าที่อ่อน
- Relevance: คุณจะเห็นสิ่งนี้ในการเข้าสู่ระบบ exchange, passphrase ของ wallet, คีย์ validator และแผงผู้ดูแลสำหรับ dApps
เปิดใช้งาน Multi Factor Authentication (MFA) สำหรับ exchange ทั้งหมด แอปwallet และอีเมลที่เกี่ยวกับ crypto สาเหตุปัจจัยที่สองทำให้การ Brute Force อย่างรวดเร็วเกือบทั้งหมดล้มเหลว
Key Characteristics of Brute Force
สัญญาณเร็วๆ ที่บอกคุณว่าเผชิญกับวิธีนี้:
- Exhaustive: ทดสอบการเดามากมายโดยไม่สนความหมาย
- Time: ป้องกันจะขยายตามความยาว passphrase และความสุ่ม ไม่ใช่บรรยากาศ
- Speed: ความเร็วออนไลน์ถูกจำกัด ความเร็วออฟไลน์สามารถสูงมากด้วย GPU
- Signals: สัญญาณพุ่งสูงของการล็อกอินล้มเหลวหรือ captcha ชี้ถึง Brute Force บนเว็บไซต์
How is Brute Force calculated?
คุณสามารถประมาณงานโดยขนาดของ search space และจำนวนการเดาต่อวินาทีที่ rig สามารถทำได้
Total combinations for a given character set and length:
Combinations = S^L where S is the set size and L is length. Average tries to succeed is about half the combinations.
Time estimate:
Time = Combinations / GuessesPerSecond Example: letters and digits is about 62 characters. A length of 10 gives 62^10 combos, which is enormous, so even fast gear takes longer than a human attention span.
Variations
Different flavors, same goal, different tradeoffs:
- Dictionary: Tries common words and leaked passwords first for speed.
- Credential: Replays email and password pairs from breaches to see what still works.
- Reverse: Picks a common password and splashes it across many usernames.
- Mask: Limits guesses to a pattern, like starts with a capital and ends with digits.
- Hybrid: Mixes dictionary words with rules, like adding years or symbols.
A twelve word seed with true randomness is not a casual Brute Force target. The math puts it far beyond everyday hardware.
Example
บอทยิงหน้าเข้าสู่ระบบด้วยการเดาหลายพันครั้ง ถูก rate limit แล้วจึงเปลี่ยนไปทดสอบไฟล์ wallet ที่ขโมยมาแบบออฟไลน์ด้วย GPU rigs
Fun Fact
Brute Force มีมาตั้งแต่ก่อน crypto แต่ GPUs ทำให้มันกลายเป็นโปรเจ็กต์สุดสัปดาห์สำหรับรหัสผ่านที่อ่อนแอ การ์ดเกมของคุณสามารถเดาได้เร็วกว่าห้องเซิร์ฟเวอร์เก่าๆ หนึ่งห้อง
Wrap-Up
Passphrase ที่ยาวและไม่ซ้ำกัน การตั้งค่าที่ทนทานต่อ Brute Force และการมีปัจจัยที่สอง จะทำให้คุณนอนหลับสบายขึ้น