Brute Force Saldırıları Tüm Şifrelemenin Hassas Olduğunu Açıkladı
Kaba kuvvet saldırıları anlaşılması oldukça basittir, ancak korunmaları zordur. Şifreleme matematiktir ve bilgisayarlar matematikte daha hızlı hale geldikçe, tüm çözümleri denemek ve hangisinin uygun olduğunu görmek için daha hızlı hale gelirler..
Bu saldırılar, değişik derecelerde başarıya sahip her türlü şifrelemeye karşı kullanılabilir. Yeni, daha hızlı bilgisayar donanımı piyasaya sürüldükçe, kaba kuvvet saldırıları her geçen gün daha hızlı ve daha etkili hale geliyor.
Kaba kuvvet temelleri
Kaba kuvvet saldırıları anlaşılması kolaydır. Bir saldırganda şifreli bir dosya var - örneğin, LastPass veya KeePass şifre veritabanınızı. Bu dosyanın görmek istedikleri verileri içerdiğini biliyorlar ve kilidini açan bir şifreleme anahtarı olduğunu biliyorlar. Şifresini çözmek için, mümkün olan her bir şifreyi denemeye başlayabilir ve şifreli bir dosya olup olmadığına bakabilirler..
Bunu otomatik olarak bir bilgisayar programı ile yaparlar, böylece birisinin kaba güç şifrelemeye zorlama hızı, mevcut bilgisayar donanımı daha hızlı ve hızlı hale geldikçe artar, saniyede daha fazla hesaplama yapabilir. Kaba kuvvet saldırısı, iki basamaklı şifrelere geçmeden önce bir basamaklı şifrelerle başlayacaktır, böylece bir tane çalışana kadar tüm olası kombinasyonları deneyebilir..
Bir "sözlük saldırısı" benzerdir ve olası tüm şifreler yerine, bir sözlükteki kelimeleri veya genel şifreler listesini dener. Bu çok etkili olabilir, çünkü birçok insan bu kadar zayıf ve yaygın şifreler kullanıyor.
Saldırganlar Neden Web Zorla Güç Vermiyor?
Çevrimiçi ve çevrimdışı kaba kuvvet saldırıları arasında bir fark var. Örneğin, bir saldırgan Gmail hesabınıza zorla girmek isterse, olası her bir şifreyi denemeye başlayabilir - ancak Google bunları hızla keser. Bu tür hesaplara erişim sağlayan servisler erişim girişimlerini engelleyecek ve birçok kez giriş yapmaya çalışan IP adreslerini yasaklayacaktır. Bu nedenle, çevrimiçi bir hizmete yönelik bir saldırı çok işe yaramaz çünkü saldırı durdurulmadan önce çok az deneme yapılabilir.
Örneğin, birkaç başarısız giriş denemesinden sonra, Gmail size otomatik olarak şifreleri deneyen bir bilgisayar olmadığınızı doğrulamak için bir CATPCHA resmi gösterecektir. Yeterince uzun süre devam etmeyi başardıysanız, giriş bilgilerinizi tamamen durduracaklar.
Öte yandan, bir saldırganın bilgisayarınızdan şifrelenmiş bir dosyayı kopyaladığını veya çevrimiçi bir hizmeti tehlikeye atıp şifreli dosyaları indirmeyi başardığını varsayalım. Saldırgan şimdi şifrelenmiş verileri kendi donanımlarında bulunduruyor ve istedikleri kadar şifreyi boş zamanlarında deneyebiliyor. Şifrelenmiş verilere erişimi varsa, çok sayıda şifreyi kısa sürede denemelerini engellemenin bir yolu yoktur. Güçlü şifreleme kullanıyor olsanız bile, verilerinizi güvende tutmak ve başkalarının erişememesini sağlamak sizin yararınızadır..
Çırpı
Güçlü karma algoritmalar kaba kuvvet saldırılarını yavaşlatabilir. Temel olarak, karma algoritmalar, paroladan türetilen bir değeri diske kaydetmeden önce bir parola üzerinde ek matematiksel çalışma gerçekleştirir. Daha yavaş bir karma algoritma kullanılırsa, her bir parolayı denemek ve kaba kuvvet saldırılarını önemli ölçüde yavaşlatmak için binlerce kez daha fazla matematiksel çalışma gerekir. Ancak, ne kadar çok iş gerekiyorsa, kullanıcı parolasıyla oturum açtığında bir sunucu veya başka bir bilgisayarın her işi o kadar çok yapması gerekir. Yazılım, kaynak kullanımı ile kaba kuvvet saldırılarına karşı dayanıklılığı dengelemelidir.
Kaba kuvvet hızı
Her şey hız donanıma bağlıdır. İstihbarat teşkilatları, sadece kaba kuvvet saldırıları için özel donanımlar geliştirebilir, tıpkı Bitcoin madencileri, Bitcoin madenciliği için optimize edilmiş kendi özel donanımlarını inşa ederken. Tüketici donanımına gelince, kaba kuvvet saldırıları için en etkili donanım türü grafik kartıdır (GPU). Aynı anda birçok farklı şifreleme anahtarını denemek kolay olduğu için paralel çalışan birçok grafik kartı idealdir..
2012'nin sonunda, Ars Technica 25-GPU'luk bir kümenin her Windows şifresini altı karakterden daha kısa sürede 8 karakterin altında kırabileceğini bildirdi. Microsoft'un kullandığı NTLM algoritması yeteri kadar esnek değildi. Ancak, NTLM oluşturulduğunda, tüm bu şifreleri denemek çok daha uzun zaman alırdı. Microsoft’un şifrelemeyi daha güçlü hale getirmesi için bir tehdit oluşturduğu düşünülmedi.
Hız artıyor ve birkaç on yılda, bugün kullandığımız en güçlü şifreleme algoritmaları ve şifreleme anahtarlarının bile kuantum bilgisayarlar veya gelecekte kullandığımız diğer donanımlar tarafından çabucak kırılabileceğini keşfedebiliriz..
Verilerinizi Brute Force Saldırılarından Koruma
Kendini tamamen korumanın yolu yok. Bilgisayar donanımının ne kadar hızlı olacağı ve bugün kullandığımız şifreleme algoritmalarından herhangi birinin gelecekte keşfedilecek ve sömürülecek zayıf yönleri olup olmadığını söylemek imkansızdır. Ancak, işte temeller:
- Şifreli verilerinizi, saldırganların erişemediği yerlerde güvende tutun. Verileriniz donanımlarına kopyalandıktan sonra, boş zamanlarında kaba kuvvet saldırıları deneyebilirler.
- İnternet üzerinden girişleri kabul eden herhangi bir hizmeti kullanıyorsanız, giriş girişimlerini sınırladığından ve kısa bir süre içinde birçok farklı şifreyle giriş yapmaya çalışan kişileri engellediğinden emin olun. Sunucu yazılımı genellikle bunu yapmak için ayarlanmıştır, çünkü iyi bir güvenlik uygulamasıdır..
- SHA-512 gibi güçlü şifreleme algoritmaları kullanın. Kırılması kolay olan bilinen zayıflıkları olan eski şifreleme algoritmalarını kullanmadığınızdan emin olun.
- Uzun, güvenli şifreler kullanın. “Parola” ya da her zaman popüler olan “avcı2” kullanıyorsanız, dünyadaki tüm şifreleme teknolojisi size yardımcı olmayacak.
Brute-force saldırıları, verilerinizi korurken, şifreleme algoritmalarını seçerken ve şifreleri seçerken endişelenmeniz gereken bir şeydir. Ayrıca, daha güçlü şifreleme algoritmaları geliştirmeye devam etmenin bir nedenidir - şifreleme, yeni donanım tarafından etkisiz hale getirilme hızına ayak uydurmak zorundadır.
Resim Kredisi: Flickr'da Johan Larsson, Jeremy Gosney
