Brute Force

Brute Force là gì?

Brute Force là phương pháp thử mọi khả năng để bẻ khóa mật khẩu, khóa, hoặc cụm mật khẩu. Một đoạn mã đoán từng tổ hợp một cho đến khi có cái mở được. Hãy tưởng tượng như thử mọi chìa trên một móc chìa khổng lồ, chỉ khác là móc chìa ấy được tạo bằng toán học.

Brute Force hoạt động như thế nào

Đây là quy trình, không có chiêu phim ảnh đâu:

• Mục tiêu: Kẻ tấn công chọn một tài khoản đăng nhập, tệp ví được mã hóa, hoặc tin nhắn để giải mã.
• Đoán: Phần mềm tạo ra các đoán mật khẩu, đôi khi thông minh với danh sách từ và điều chỉnh, đôi khi hoàn toàn ngẫu nhiên.
• Phản hồi: Mỗi lần thử thành công hoặc thất bại, và mã sẽ điều chỉnh hoặc tiếp tục thử.
• Chuyển hướng: Nếu trang giới hạn tốc độ, họ có thể chuyển sang bản sao ngoại tuyến như hash bị đánh cắp hoặc keystore.
• Kết quả: Một cụm mật khẩu mạnh làm chậm Brute Force, còn một cụm ngắn hoặc dùng lại sẽ bị bẻ khóa.

Đúng, thực sự có thể đơn giản như vậy.

Tại sao Brute Force đáng lưu ý

Bạn nên quan tâm vì các lần đoán có thể làm rỗng ví, thay đổi danh sách NFT, hoặc chiếm đoạt tài khoản trên sàn. Một vài điểm cần lưu ý:

• Lợi ích: Hiểu cách Brute Force hoạt động giúp bạn chọn biện pháp phòng vệ thực sự hiệu quả.
• Nhìn chung: Hầu hết vụ tấn công không phải là các chiêu cao siêu như phim, mà là do dùng lại mật khẩu hoặc ai đó lợi dụng cài đặt kém bảo mật.
• Tính liên quan: Bạn sẽ thấy điều này ở các đăng nhập sàn, cụm mật khẩu ví, khóa validator, và bảng quản trị cho dApps.

Đặc điểm chính của Brute Force

Dấu hiệu nhanh cho thấy bạn đang gặp phương pháp này:

• Thử toàn diện: Nó thử nhiều khả năng mà không quan tâm đến ý nghĩa.
• Thời gian: Khả năng phòng thủ tăng theo độ dài và tính ngẫu nhiên của cụm mật khẩu, chứ không phụ thuộc vào cảm tính.
• Tốc độ: Tốc độ trực tuyến bị giới hạn, tốc độ ngoại tuyến có thể rất cao với GPU.
• Dấu hiệu: Tăng đột biến trong đăng nhập thất bại hoặc yêu cầu captcha báo hiệu có Brute Force trên trang.

Brute Force được tính như thế nào?

Bạn có thể ước tính công việc bằng kích thước không gian tìm kiếm và số lần đoán trên giây mà một hệ thống có thể thực hiện.

Tổng số tổ hợp cho một tập ký tự và độ dài cụ thể:

Combinations = S^L

trong đó S là kích thước tập ký tự và L là độ dài. Trung bình số lần thử để thành công bằng khoảng một nửa tổng tổ hợp.

Ước tính thời gian:

Time = Combinations / GuessesPerSecond

Ví dụ: chữ cái và chữ số khoảng 62 ký tự. Độ dài 10 cho 62^10 tổ hợp, con số rất lớn, vì vậy ngay cả thiết bị nhanh cũng mất lâu hơn thời gian chú ý của con người.

Các biến thể

Nhiều biến thể, cùng mục tiêu, mỗi loại có đánh đổi riêng:

1. Từ điển: Thử các từ phổ biến và mật khẩu bị rò rỉ trước nhằm tăng tốc.
2. Thông tin đăng nhập: Tái sử dụng cặp email và mật khẩu từ các vụ rò rỉ để xem còn hiệu lực.
3. Ngược: Chọn một mật khẩu phổ biến và thử trên nhiều tên người dùng.
4. Mặt nạ: Giới hạn các đoán theo mẫu, ví dụ bắt đầu bằng chữ hoa và kết thúc bằng chữ số.
5. Kết hợp: Trộn từ điển với quy tắc, ví dụ thêm năm hoặc ký tự đặc biệt.

Ví dụ

Một bot bắn vào trang đăng nhập với hàng nghìn lần đoán, bị giới hạn tốc độ, sau đó chuyển sang thử tệp ví bị đánh cắp ngoại tuyến bằng dàn GPU.

Sự thật thú vị

Brute Force ra đời trước crypto, nhưng GPU biến nó thành dự án cuối tuần cho các mật khẩu yếu. Card chơi game của bạn có thể đoán nhanh hơn một phòng đầy máy chủ cũ.

Tổng kết

Cụm mật khẩu dài và duy nhất, cài đặt chống Brute Force, và yếu tố thứ hai sẽ giúp bạn yên tâm hơn.