حمله‌ی بروت‌فورس یا همان “جست‌وجوی فراگیر” از آزمون و خطا برای حدس‌زدن اطلاعات ورود، کلیدهای رمزگذاری‌شده، یا برای یافتن یک صفحه‌ی وب پنهان‌شده استفاده می‌کند. هکرها با امید رسیدن به حدس صحیح، تمامی ترکیب‌های ممکن را یکی‌یکی استفاده می‌کنند. این حملات با استفاده از «brute force» انجام می‌شوند، به این معنا که از روش‌های به شدت قوی در تلاش برای «force یا همان تحمیل» دسترسی به حساب(های) خصوصی استفاده می‌کنند.
این روش، یک روش حمله‌ی قدیمی بوده، ولی هم‌چنان برای هکرها موثر و پرطرفدار است. البته به خاطر وابستگی به میزان پیچیدگی کلمه عبور، به دست آوردن آن ممکن است از چند ثانیه تا چندین سال طول بکشد.
هکرها از حمله‌های جست‌وجوی فراگیر چه به دست می‌آورند؟
مهاجمانی که از جست‌وجوی فراگیر استفاده می‌کنند برای نتیجه‌دادن آن باید کمی زحمت بکشند. با این که فناوری این کار را کمی آسان‌تر کرده، اما ممکن است بپرسید:
چرا کسی باید چنین کاری کند؟
هکرها ممکن است به چندین دلیل حمله‌های جست‌وجوی فراگیر را ترتیب دهند.
سودبردن از تبلیغات یا جمع‌آوری داده مربوط به فعالیت: هکرها می‌توانند در کنار یکدیگر یک وبسایت را اکسپلویت کنند تا کمیسیون‌های تبلیغاتی دریافت کنند (کمیسیون‌های مالی). راه‌های پرطرفدار برای این کار عبارتنداز:
- قراردادن تبلیغات ناخواسته بر وبسایت‌های پربازدید با قصد کسب درآمد در هر بار کلیک‌شدن یا دیده‌شدن تبلیغ.
- هدایت ترافیک وبسایت به سایت‌های تبلیغاتی سفارشی.
- آلوده کردن یک سایت یا کاربران آن به بدافزار ردیاب فعالیت- معمولا جاسوس‌افزار. که در این صورت داده‌ها بدون رضایت شما به نهادهای تبلیغاتی فروخته می‌شوند تا به آن‌ها در ارتقای بازاریابی‌شان کمک کنند.
دزدیدن اطلاعات شخصی و دارایی‌های ارزشمند: دستیابی به حساب‌های شخصی می‌تواند مانند باز کردن گاوصندوق یک بانک باشد: همه‌چیز از حساب‌های بانکی گرفته تا اطلاعات مالیاتی را می‌توان در اینترنت پیدا کرد. تمام کاری که یک مجرم باید برای دزدیدن هویت و پول شما یا فروش اطلاعات هویتی خصوصی شما برای کسب سود انجام دهد، تنها یک ورود غیرمجاز به حساب درست است. گاهی اوقات ممکن است طی یک نفوذ به داده‌ها در سطح تجاری، پایگاه‌های داده‌ی حساس کل یک سازمان در معرض خطر سرقت داده‌ها قرار گیرند.
گسترش بدافزار صرفاً برای ایجاد اختلال: اگر یک هکر بخواهد مشکل ایجاد کرده یا تمرین مهارتی کند، ممکن است ترافیک یک وبسایت را به سایت‌های مخرب هدایت کند. هم‌چنین ممکن است یک سایت را مستقیماً به یک بدافزار پنهان آلوده کند تا روی رایانه‌ی بازدیدکنندگان نصب شود.
در اختیار گرفتن کنترل سیستم شما برای فعالیت‌های خرابکارانه: وقتی یک دستگاه کافی نباشد، هکرها برای سرعت‌بخشیدن به کارشان ارتشی از دستگاه‌های غیرمشکوک به اسم بات‌نت (botnet) را به کار می‌گیرند. بدافزار ممکن است به رایانه، دستگاه تلفن همراه، یا حساب‌های آنلاین شما برای انتشار هرزنامه، حمله‌های جست‌وجوی فراگیر بهبودیافته و استفاده‌های دیگر نفوذ کند. اگر یک سیستم آنتی‌ویروس نداشته باشید، ممکن است در معرض خطر آلودگی قرار بگیرید.
از بین بردن وجهه‌ی یک وبسایت: اگر گرداننده‌ی یک وبسایت باشید و هدف تخریب‌گرایی (Vandalism) واقع شوید، یک مجرم سایبری ممکن است تصمیم بگیرد سایت شما را به محتوای ناپسند آلوده کند. این محتوا ممکن است شامل متن، تصویر و صوت خشن، مستهجن یا حاوی توهین نژادی باشد.
انواع حمله‌های جست‌وجوی فراگیر
هر حمله‌ی جست‌وجوی فراگیر می‌تواند از روش‌های متفاوتی برای دستیابی به داده‌های حساس شما استفاده کند. ممکن است در معرض هر کدام از این روش‌های پرطرفدار زیر برای حمله‌ی جست‌وجوی فراگیر قرار گیرید:
حملات جست‌وجوی فراگیر ساده
هکرها سعی می‌کنند – کاملاً بدون کمک‌گرفتن از ابزارهای نرم‌افزاری یا واسطه‌های دیگر – حدسی منطقی از اطلاعات هویتی شما بزنند. این حمله‌ها می‌توانند کلمه‌های عبور و پین‌های به شدت ساده را بیابند. برای مثال، کلمه‌ی عبوری که «guest12345» قرار داده شده باشد.
حملات دیکشنری
در یک حمله‌ی استاندارد، یک هکر هدفی را انتخاب کرده و کلمه‌های عبور ممکن را برای آن نام کاربری امتحان می‌کند. این حمله‌ها با عنوان حملات دیکشنری شناخته می‌شوند. حمله‌های دیکشنری پایه‌ای‌ترین ابزار در حمله‌های جست‌وجوی فراگیر هستند. با این که این حمله‌ها به خودی خود لزوماً حملات جست‌وجوی فراگیر نیستند، عمدتاً به عنوان بخشی مهم از این حملات در یافتن کلمه‌های عبور استفاده می‌شوند. برخی هکرها از دیکشنری‌های خلاصه‌نشده استفاده کرده و کلمه‌های دارای کاراکترهای خاص و اعداد را به آن‌ها اضافه کرده یا از دیکشنری‌هایی خاص از کلمات استفاده می‌کنند، ولی این نوع حمله‌ی مرحله به مرحله، پیچیده و از لحاظ پردازشی، سنگین است.
حملات جست‌وجوی فراگیر هیبریدی
این حملات در تلاش برای ورود غیرمجاز، ابزارهای خارجی را با حدس‌های منطقی ترکیب می‌کنند. یک حمله‌ی هیبریدی معمولاً حملات دیکشنری و جست‌وجوی فراگیر را با هم ترکیب می‌کند. این حملات برای یافتن کلمه‌های عبور ترکیبی استفاده می‌شوند که ترکیبی از کلمات معمولی و کاراکترهای تصادفی هستند. یک حمله‌ی جست‌وجوی فراگیر، کلمات عبوری مثل NewYork1993 و Spike1234 را پوشش می‌دهد.
حملات جست‌وجوی فراگیر معکوس
همانطور که از نام آن برمی‌آید، یک حمله‌ی جست‌وجوی فراگیر معکوس با شروع از یک رمز عبور معلوم استراتژی حمله را معکوس می‌کند. هکرها با دانستن رمز عبور، میلیون‌ها نام کاربری را جست‌جو می‌کنند تا یک مطابقت بیابند. بسیاری از این مجرمان با کلمات عبور لو رفته‌ای شروع می‌کنند که از نفوذهای داده‌ی موجود در اینترنت قابل دسترسی هستند.
پرکردن اطلاعات هویتی
اگر یک هکر، یک ترکیب نام کاربری-کلمه‌ی عبور را داشته باشد که برای یک وبسایت کار می‌کند، این ترکیب را در چندین وبسایت دیگر نیز امتحان می‌کند. از آنجایی که رفتار کاربران نشان داده که از اطلاعات ورود یکسانی در چندین وبسایت استفاده می‌کنند، تنها کاربران اهداف چنین حمله‌ای هستند.
به خدمات مشاوره امنیت نیازمندید؟
ابزارهای کمکی برای جست‌وجوی فراگیر
حدس‌زدن کلمه‌ی عبور یک کاربر یا سایت خاص ممکن است زمان زیادی طول بکشد، به همین خاطر هکرها ابزارهایی برای انجام سریع‌تر این کار توسعه داده‌اند.
ابزارهای خودکار به حمله‌های جست‌وجوی فراگیر کمک می‌کنند. این ابزارها از حدس‌زنی بسیار سریع استفاده می‌کنند که برای ایجاد همه‌ی کلمات عبور ممکن و امتحان آن‌ها ساخته شده‌اند. نرم‌افزارهای هک جست‌جوی فراگیر می‌توانند یک رمز عبور متشکل از یک کلمه از دیکشنری را، ظرف یک ثانیه بیابند.
در چنین ابزارهایی روش‌های جایگزین ابداعی قرار گرفته تا:
- در مقابل بسیاری از پروتکل‌های کامپیوتری کار کنند (مثل FTP، MySQL، SMPT، و Telnet).
- هکرها را قادر به شکستن قفل مودم‌های بی‌سیم کنند.
- کلمات عبور ضعیف را شناسایی کنند.
- کلمات عبور در یک حافظه‌ی رمزگذاری شده را رمزگشایی کنند.
- کلمات را به زبان لیت (عدد-واژه) ترجمه کنند – برای «don’thackme» به «d0n7H4cKm3» تبدیل می‌شود.
- تمام ترکیب‌های ممکن از کاراکترها را امتحان کنند.
- حملات دیکشنری را اجرا کنند.
برخی ابزارها، جدول‌های رنگین کمانی از پیش محاسبه‌شده را اسکن می‌کنند و به دنبال ورودی‌ها و خروجی‌های توابع هش شناخته‌شده می‌گردند. این «توابع هش» روش‌هایی مبتنی بر الگوریتم برای رمزگذاری هستند که برای ترجمه‌ی کلمات عبور به دنباله‌هایی بسیار طولانی و با طول ثابت از حروف و اعداد به کار می‌روند. به عبارت دیگر، جدول‌های رنگین‌کمانی سخت‌ترین بخش حمله‌ی جست‌وجوی فراگیر را حذف و فرایند را تسریع می‌کنند.
پردازنده‌ی گرافیکی جست‌وجوی فراگیر را سرعت می‌بخشد
حجم بسیار زیادی از قدرت پردازش رایانه‌ای برای اجرای نرم‌افزار جست‌وجوی فراگیر، برای کلمه‌ی عبور نیاز است. متاسفانه، هکرها راهکار‌هایی سخت‌افزاری اندیشیده‌اند تا این بخش از کار را بسیار آسان‌تر کنند.
ترکیب پردازنده مرکزی و واحد پردازش گرافیکی (GPU) قدرت محاسباتی را افزایش می‌دهد. اضافه‌کردن هزاران هسته‌ی محاسباتی موجود در پردازنده‌ی گرافیکی برای پردازش، سیستم را قادر می‌سازد هم‌زمان به چندین وظیفه بپردازد. پردازش با استفاده از پردازنده‌ی گرافیکی برای تحلیل، مهندسی و دیگر نرم‌افزارهای سنگین محاسباتی استفاده می‌شود. هکرها با استفاده از این روش می‌توانند کلمات عبور را 250 برابر سریع‌تر از یک پردازنده‌ی مرکزی تنها به دست آورند.
با این اوصاف، به دست آوردن یک کلمه‌ی عبور چقدر طول می‌کشد؟ برای نمونه، یک کلمه‌ی عبور شش کاراکتری که شامل اعداد باشد تقریباً 2 میلیارد ترکیب دارد. به دست آوردن آن با یک پردازنده مرکزی قوی که هر ثانیه 30 کلمه‌ی عبور را امتحان می‌کند بیش از دو سال طول می‌کشد. اضافه کردن یک کارت گرافیک قدرتمند همان کامپیوتر را قادر می‌سازد در هر ثانیه 7100 کلمه‌ی عبور را امتحان کرده و کلمه‌ی عبور را در 3.5 روز به دست آورد.
گاهی هکرها با شناختی که از شما دارند، پسورد شما را حدس می‌زنند!
گام‌های حفاظت از کلمه‌ی عبور برای متخصصان
برای ایمن نگه داشتن خودتان و شبکه‌تان، باید احتیاط‌های لازم را به عمل آورده و به دیگران نیز در انجام این کار کمک کنید. رفتار کاربر و سیستم‌های امنیت شبکه هر دو نیاز به بهبود دارند.
برای متخصصان فناوری اطلاعات و کاربرانی از این دست، باید چند توصیه‌ی عمومی سرلوحه‌ی کار قرار گیرند:
- از یک نام کاربری و کلمه‌ی عبور پیشرفته استفاده کنید. با اطلاعات هویتی قوی‌تر از admin و password1234 از خود حفاظت کنید تا از ورود مهاجمان جلوگیری کنید. هرچه رمز قوی‌تر باشد، نفوذ به آن برای هرکسی دشوارتر می‌شود.
- هر حساب کاربری بلااستفاده با مجوزهای سطح بالا را حذف کنید. این حساب‌ها معادل درهای سایبری با قفل‌های ضعیف هستند که ورود بی‌اجازه را آسان می‌کنند. حساب‌های رهاشده نقطه‌ضعف‌هایی هستند که نباید خطر وجودشان را بپذیرید. به محض امکان آن‌ها را از بین ببرید.
حفاظت‌های غیرفعال (پسیو) بک‌اند از کلمه‌ی عبور
نرخ بالای رمزگذاری: برای سخت‌تر کردن موفقیت حمله‌های جست‌وجوی فراگیر، سرپرست‌های سیستم باید اطمینان حاصل کنند که رمزگذاری کلمه‌های عبور سیستم‌هایشان با بالاترین نرخ‌های رمزگذاری ممکن، مثل رمزگذاری 256 بیت انجام شده باشد. هرچه تعداد بیت‌ها در طرح رمزگذاری بیشتر باشد، یافتن کلمه‌ی عبور سخت‌تر است.
اضافه کردن نمک به هش! : سرپرست‌ها هم‌چنین باید با اضافه کردن یک رشته‌ی تصادفی از حروف و اعداد (که نمک نامیده می‌شود) به خود کلمه‌ی عبور، هش‌های کلمه‌های عبور را تصادفی کنند. این رشته باید در یک پایگاه داده‌ی جداگانه ذخیره شده و پیش از هش‌شدن کلمه‌ی عبور دریافت‌شده و به آن اضافه شود. با اضافه کردن نمک به هش، کاربران با کلمه‌ی عبور یکسان، هش‌های متفاوتی خواهند داشت.
احراز هویت دو عاملی (2 factor): به علاوه، سرپرستان می‌توانند احراز هویت دومرحله‌ای را الزامی کرده و یک سیستم تشخیص ورود بی‌مجوز نصب کنند که حملات جست‌وجوی فراگیر را شناسایی می‌کند. این امر مستلزم آن است که کاربران واردکردن اطلاعات ورود را با عامل ثانویه‌ای مانند یک کلید فیزیکی USB یا اسکن بیومتریک اثر انگشت همراه کنند.
تعداد دفعات تلاش برای ورود را محدود کنید: محدودکردن تعداد دفعات اقدام برای ورود نیز آسیب‌پذیری نسبت به حملات جست‌وجوی فراگیر را کاهش می‌دهد. برای مثال، مجاز بودن “تنها سه بار ورود کلمه‌ی عبور” پیش از قطع دسترسی کاربر به مدت چندین دقیقه، می‌تواند تاخیرهای قابل ملاحظه‌ای ایجاد کرده و باعث شود هکر به سراغ اهداف ساده‌تری برود.
مسدودکردن حساب پس از چندین بار اقدام برای ورود: حتی پس از قطع دسترسی موقت، اگر یک هکر بتواند بدون محدودیت به امتحان کردن کلمه‌های عبور ادامه دهد، می‌تواند بازگردد و دوباره امتحان کند. قفل‌کردن حساب و ملزم‌کردن کاربر به تماس با بخش فناوری اطلاعات برای برداشتن قفل، از این عمل جلوگیری می‌کند. تایمرهای کوتاه‌مدت قطع دسترسی برای استفاده‌ی کاربران راحت‌تر هستند، ولی راحتی استفاده می‌تواند نقطه‌ضعف باشد. برای متعادل کردن این دو امر، می‌توانید در صورتی که تعداد زیادی ورود ناموفق انجام گرفت، پس از یک دوره کوتاه مدت قطع دسترسی، یک دوره بلند مدت دسترسی نیز در نظر بگیرید.
تعداد ورودهای مجدد را محدود کنید: شما می‌توانید با فاصله دادن بین هر اقدام جداگانه برای ورود، تلاش‌های مهاجم را با وقفه‌ی بیشتری روبه‌رو کنید. وقتی یک ورود ناموفق بود، یک تایمر می‌تواند تا گذشت یک بازه‌ی زمانی کوتاه از ورود جلوگیری کند. این کار برای تیم نظارت بی‌درنگ شما (real-time) فرصتی ایجاد می‌کند که این تهدید را شناسایی کرده و روی متوقف‌کردن آن کار کنند. برخی از هکرها، اگر هدف برایشان ارزش صبرکردن نداشته باشد دست از تلاش می‌کشند.
الزامی کردن کپچا (CAPTCHA) پس از اقدام‌های متوالی برای ورود: اعتبارسنجی دستی از دستیابی ربات‌ها به داده‌های شما از طریق جست‌وجوی فراگیر جلوگیری می‌کند. کپچا انواع بسیار متنوعی دارد، از جمله تایپ مجدد نوشته‌ی داخل یک عکس، تیک‌زدن یک مربع، یا تشخیص اشیای داخل تصاویر. فارغ از مدلی که از آن استفاده می‌کنید، می‌توانید از این روش پیش از اولین ورود و پس از هر بار ورود ناموفق برای حفاظت بیشتر استفاده کنید.
از لیست سیاه IP برای مسدودکردن دسترسی مهاجمان استفاده کنید. اطمینان حاصل کنید که این لیست به طور مداوم توسط افراد ذی‌ربط به‌روزرسانی شود.
حفاظت‌های فعال پشتیبانی فناوری اطلاعات از کلمه‌های عبور
آموزش‌دهی در خصوص کلمه عبور:
رفتار کاربر بخشی اساسی از امنیت کلمه‌ی عبور است. کاربران را در خصوص اعمال و ابزارهای امن آموزش دهید و از این راه به آن‌ها کمک کنید از کلمه‌های عبور خود نگهداری کنند. خدماتی مانند مدیر کلمه‌ی عبور کسپرسکی (Kaspersky Password Manager) کاربران را قادر می‌سازند کلمات عبور پیچیده‌ی خود را که به راحتی فراموش می‌شوند، به جای این که روی برگه‌های یادداشت فاقد امنیت بنویسند، در یک «گاوصندوق» رمزگذاری‌شده ذخیره کنند. از آنجایی که کاربران معمولا ایمنی خود را در ازای راحتی استفاده به خطر می‌اندازند، اطمینان حاصل کنید که به آن‌ها در استفاده از ابزارهایی راحت که آن‌ها را ایمن نگه می‌دارند، کمک کنید.
به صورت بی‌درنگ فعالیت مشکوک حساب‌ها را تحت نظر داشته باشید:
ورود از مکان‌های عجیب، تعداد زیاد اقدام برای ورود و مواردی از این دست. تلاش کنید الگوهای فعالیت‌های غیرمعمول را بیابید و تمهیداتی لحاظ کنید که دسترسی هرگونه مهاجم بالقوه را در لحظه مسدود کنید. حواس‌تان به مسدودسازی آدرس IP و مسدودشدن حساب کاربری باشد، و با کاربران تماس بگیرید تا بتوانید تعیین کنید، فعالیت (در صورتی که مشکوک به نظر می‌رسد) از سوی کاربرِ اصلی بوده یا خیر.
کاربران چگونه می‌توانند کلمه‌های عبور را در برابر حمله‌های جست‌وجوی فراگیر تقویت کنند؟
به عنوان یک کاربر، می‌توانید اقدامات زیادی برای حفاظت از خودتان در دنیای دیجیتال انجام دهید. بهترین دفاع در برابر حملات با هدف سرقت کلمه عبور، این است که اطمینان حاصل کنید کلمه‌های عبور شما تا حد امکان قوی هستند.
حملات جست‌وجوی فراگیر برای به دست آوردن کلمه عبور شما متکی به زمان هستند. پس هدف شما این است که مطمئن شوید کلمه‌ی عبور شما تا جایی که ممکن است این حملات را کند می‌کنند، چون نفوذ آن‌قدر طولانی می‌شود که دیگر ارزش زمان صرف‌شده را ندارد… بیشتر مهاجمان تسلیم شده و حساب شما را رها می‌کنند.
از این چند روش می‌توانید این کار را انجام دهید:
کلمه‌های عبور طولانی‌تر با انواع مختلف کاراکتر: هرگاه ممکن بود، کاربران باید کلمه‌های عبور 10 کاراکتری انتخاب کنند که شامل چند علامت یا عدد باشد. انجام این کار 171.3 کوانتیلیون (1020×1.71) امکان متفاوت ایجاد می‌کند. با استفاده از یک پردازنده گرافیکی که در هر ثانیه 10.3 میلیارد هش را امتحان می‌کند، به دست آوردن کلمه عبور حدود 526 سال طول می‌کشد. اگرچه، یک ابررایانه می‌تواند ظرف چند هفته آن را به دست آورد. با در نظر گرفتن این منطق، با استفاده از کاراکترهای بیشتر، به دست آوردن کلمه عبور شما حتی سخت‌تر هم می‌شود.
عبارت‌های عبور پرجزئیات: همه‌ی سایت‌ها چنین کلمه‌های عبور طولانی را نمی‌پذیرند، که به این معناست که باید به جای کلمات جداگانه، عبارت‌های عبور پیچیده انتخاب کنید. حمله‌های دیکشنری به طور ویژه برای عبارت‌های تک‌کلمه‌ای ساخته شده‌اند و نفوذی تقریباً بی‌زحمت را ممکن می‌سازند. عبارت‌های عبور – کلمه‌های عبور متشکل از چندین کلمه یا بخش – باید پر از کاراکترهای اضافی و انواع کاراکترهای خاص باشند.
برای ساخت کلمه‌های عبورتان قانون بگذارید: بهترین کلمه‌های عبور آن‌هایی هستند که می‌توانید به یاد آورید ولی برای هر کس دیگری که آن‌ها را بخواند بی‌معنی هستند. وقتی از روش عبارت عبور استفاده می‌کنید، استفاده از کلمات کوتاه‌شده را نیز در نظر داشته باشید، مثلا «wood» را با «wd» جایگزین کنید تا رشته‌ای از حروف تولید کنید که فقط برای شما معنی‌دار باشد. مثال‌های دیگر می‌توانند شامل حذف یک هجا یا تنها استفاده از دو حرف اول هر کلمه باشند.
از کلمه‌های عبور پرکاربرد دوری کنید: مهم است که از انتخاب کلمه‌های عبور رایج اجتناب کرده و کلمه‌های عبور را به صورت مداوم عوض کنید.
برای هر سایتی که استفاده می‌کنید کلمه‌ی عبور جداگانه استفاده کنید: برای اجتناب از قربانی‌شدن در حمله‌ی پرکردن اطلاعات هویتی، هیچ‌گاه نباید از یک کلمه‌ی عبور در دو جا استفاده کنید. اگر می‌خواهید امنیت خود را از این هم بیشتر کنید، برای هر سایت یک نام کاربری جداگانه استفاده کنید. در صورتی که یکی از حساب‌های شما مورد نفوذ واقع شد، می‌توانید دیگر حساب‌های خود را از خطرات حفظ کنید.
از یک نرم‌افزار مدیریت کلمات عبور استفاده کنید: نصب یک نرم‌افزار مدیریت کلمات عبور، ساخت و نگهداری از اطلاعات ورود اینترنتی شما را به صورت خودکار درمی‌آورد. این کار شما را قادر می‌سازد با ورود به نرم‌افزار مدیریت کلمات عبور به تمامی حساب‌های خود دسترسی پیدا کنید. سپس می‌توانید برای همه‌ی سایت‌هایی که از آن‌ها بازدید می‌کنید، کلمات عبور به شدت طولانی و پیچیده ایجاد کرده، آن‌ها را به طور ایمن ذخیره کنید، و تنها نیاز دارید یک کلمه‌ی عبور اصلی را به یاد داشته باشید.
