В криптографии атака методом грубой силы заключается в том, что злоумышленник представляет множество паролей или парольных фраз с надеждой в конечном итоге угадать правильно. Злоумышленник систематически проверяет все возможные пароли и парольные фразы, пока не будет найден правильный. В качестве альтернативы злоумышленник может попытаться угадать ключ , который обычно создается из пароля с помощью функции выведения ключа . Это известно как исчерпывающий поиск ключа . Этот подход не зависит от интеллектуальной тактики; скорее, он полагается на выполнение нескольких попыток. [ необходима цитата ]
Атака методом полного перебора — это криптоаналитическая атака , которая теоретически может быть использована для попытки расшифровать любые зашифрованные данные (за исключением данных, зашифрованных с точки зрения теории информации безопасным способом). [1] Такая атака может быть использована, когда невозможно воспользоваться другими уязвимостями системы шифрования (если таковые имеются), которые бы облегчили задачу.
При подборе пароля этот метод очень быстр, если использовать его для проверки всех коротких паролей, но для более длинных паролей используются другие методы, такие как атака по словарю, поскольку перебор методом подбора занимает слишком много времени. Более длинные пароли, парольные фразы и ключи имеют больше возможных значений, что делает их экспоненциально более сложными для взлома, чем более короткие, из-за разнообразия символов. [2]
Атаки методом грубой силы можно сделать менее эффективными, запутав данные, которые нужно закодировать, что затруднит для злоумышленника распознавание взлома кода или заставив злоумышленника проделать больше работы для проверки каждой догадки. Одной из мер стойкости системы шифрования является то, сколько времени теоретически потребуется злоумышленнику, чтобы провести успешную атаку методом грубой силы. [3]
Атаки методом грубой силы являются применением поиска методом грубой силы, общей методики решения проблем путем перечисления всех кандидатов и проверки каждого из них. Слово «молот» иногда используется для описания атаки методом грубой силы [4] с «антимолотом» для контрмер. [5]
Атаки методом грубой силы работают, вычисляя все возможные комбинации, которые могут составить пароль, и проверяя их, чтобы увидеть, является ли это правильным паролем. По мере увеличения длины пароля, среднее время, необходимое для поиска правильного пароля, увеличивается экспоненциально. [6]
Ресурсы, необходимые для атаки методом подбора, растут экспоненциально с увеличением размера ключа , а не линейно. Хотя экспортные правила США исторически ограничивали длину ключей 56-битными симметричными ключами (например, Data Encryption Standard ), эти ограничения больше не действуют, поэтому современные симметричные алгоритмы обычно используют вычислительно более сильные 128-256-битные ключи.
Существует физический аргумент, что 128-битный симметричный ключ вычислительно защищен от атаки методом перебора. Предел Ландауэра, подразумеваемый законами физики, устанавливает нижний предел энергии, необходимой для выполнения вычисления kT · ln 2 на бит, стертый в вычислении, где T — температура вычислительного устройства в градусах Кельвина , k — постоянная Больцмана , а натуральный логарифм числа 2 составляет около 0,693 (0,6931471805599453). Ни одно необратимое вычислительное устройство не может использовать меньше энергии, даже в принципе. [7] Таким образом, для того, чтобы просто перебрать возможные значения для 128-битного симметричного ключа (игнорируя выполнение реальных вычислений для его проверки), теоретически потребуется 2 128 − 1 переворотов бита на обычном процессоре. Если предположить, что расчет происходит при температуре, близкой к комнатной (≈300 К), то предел фон Неймана-Ландауэра можно применить для оценки требуемой энергии как ≈10 18 джоулей , что эквивалентно потреблению 30 гигаватт энергии в течение одного года. Это равно 30×10 9 Вт×365×24×3600 с = 9,46×10 17 Дж или 262,7 ТВт·ч (около 0,1% от годового мирового производства энергии ). Полное фактическое вычисление — проверка каждого ключа на предмет нахождения решения — потребовало бы во много раз больше этого количества. Более того, это просто потребность в энергии для циклического прохождения через пространство ключей; фактическое время, необходимое для переключения каждого бита, не учитывается, что, безусловно, больше 0 (см. предел Бремермана ). [ необходима цитата ]
Однако этот аргумент предполагает, что значения регистров изменяются с использованием обычных операций установки и очистки, которые неизбежно генерируют энтропию . Было показано, что вычислительное оборудование может быть спроектировано так, чтобы не сталкиваться с этим теоретическим препятствием (см. обратимые вычисления ), хотя, как известно, такие компьютеры не были построены. [ необходима цитата ]
По мере того, как стали доступны коммерческие преемники правительственных решений ASIC , также известные как атаки на пользовательское оборудование , две новые технологии доказали свою способность к атакам методом перебора определенных шифров. Одна из них — это современная технология графических процессоров (GPU), [8] [ нужна страница ] другая — технология программируемых пользователем вентильных матриц (FPGA). Графические процессоры выигрывают от своей широкой доступности и преимущества цены и производительности, FPGA — от своей энергоэффективности на одну криптографическую операцию. Обе технологии пытаются перенести преимущества параллельной обработки на атаки методом перебора. В случае графических процессоров — несколько сотен, в случае FPGA — несколько тысяч процессорных блоков, что делает их гораздо более подходящими для взлома паролей, чем обычные процессоры. Например, в 2022 году 8 графических процессоров Nvidia RTX 4090 были соединены вместе для проверки надежности пароля с помощью программного обеспечения Hashcat , и результаты показали, что 200 миллиардов восьмисимвольных комбинаций паролей NTLM можно перебрать за 48 минут. [9] [10]
Различные публикации в области криптографического анализа доказали энергоэффективность современной технологии FPGA, например, компьютер COPACOBANA FPGA Cluster потребляет столько же энергии, сколько один ПК (600 Вт), но производительность для определенных алгоритмов сопоставима с 2500 ПК. Ряд фирм предоставляют аппаратные решения для криптографического анализа FPGA от одной карты FPGA PCI Express до выделенных компьютеров FPGA. [ необходима цитата ] Шифрование WPA и WPA2 успешно подверглось атаке методом подбора, снизив рабочую нагрузку в 50 раз по сравнению с обычными ЦП [11] [12] и в несколько сотен раз в случае FPGA.
Advanced Encryption Standard (AES) допускает использование 256-битных ключей. Взлом симметричного 256-битного ключа методом подбора требует в 2 128 раз больше вычислительной мощности, чем 128-битный ключ. Один из самых быстрых суперкомпьютеров в 2019 году имеет скорость 100 петафлопс , что теоретически может проверять 100 триллионов (10 14 ) ключей AES в секунду (предполагая 1000 операций на проверку), но все равно потребуется 3,67×10 55 лет, чтобы исчерпать 256-битное ключевое пространство. [13]
Базовое предположение атаки методом грубой силы заключается в том, что для генерации ключей использовалось полное пространство ключей, что основано на эффективном генераторе случайных чисел , и что в алгоритме или его реализации нет дефектов. Например, ряд систем, которые изначально считались невозможными для взлома методом грубой силы, тем не менее были взломаны , поскольку было обнаружено, что пространство ключей для поиска намного меньше, чем изначально предполагалось, из-за отсутствия энтропии в их генераторах псевдослучайных чисел . К ним относятся реализация Netscape Secure Sockets Layer (SSL) (взломанная Яном Голдбергом и Дэвидом Вагнером в 1995 году) и редакция Debian / Ubuntu OpenSSL, обнаруженная в 2008 году как несовершенная. [14] [15] Подобный недостаток реализованной энтропии привел к взлому кода Enigma . [16] [17]
Рециркуляция учетных данных — это практика взлома , при которой повторно используются комбинации имени пользователя и пароля, собранные в предыдущих атаках методом подбора. Особая форма рециркуляции учетных данных — это передача хэша , когда несоленые хэшированные учетные данные крадутся и повторно используются без предварительного подбора методом подбора. [18]
Некоторые типы шифрования, по своим математическим свойствам, не могут быть побеждены методом грубой силы. Примером этого является криптография одноразового блокнота , где каждый бит открытого текста имеет соответствующий ключ из действительно случайной последовательности ключевых битов. 140-символьная строка, закодированная одноразовым блокнотом, подвергнутая атаке методом грубой силы, в конечном итоге раскроет каждую возможную строку из 140 символов, включая правильный ответ, но из всех полученных ответов не будет никакого способа узнать, какой из них правильный. Победа над такой системой, как это было сделано в проекте Venona , обычно опирается не на чистую криптографию, а на ошибки в ее реализации, такие как не совсем случайные клавиатуры, перехваченные клавиатуры или ошибки операторов. [19]
В случае офлайн- атаки, когда злоумышленник получил доступ к зашифрованным материалам, можно попробовать комбинации клавиш без риска обнаружения или вмешательства. В случае онлайн- атак администраторы баз данных и каталогов могут применять контрмеры, такие как ограничение количества попыток ввода пароля, введение временных задержек между последовательными попытками, увеличение сложности ответа (например, требование ответа CAPTCHA или использование многофакторной аутентификации ) и/или блокировка учетных записей после неудачных попыток входа в систему. [20] [ нужна страница ] Администраторы веб-сайтов могут запретить определенному IP-адресу пытаться ввести пароль больше, чем заданное количество раз против любой учетной записи на сайте. [21] Кроме того, фреймворк MITRE D3FEND предоставляет структурированные рекомендации по защите от атак методом подбора путем внедрения таких стратегий, как фильтрация сетевого трафика, развертывание поддельных учетных данных и аннулирование кэшей аутентификации. [22]
При обратной атаке методом подбора один (обычно общий) пароль проверяется против нескольких имен пользователей или зашифрованных файлов. [23] Процесс может быть повторен для нескольких выбранных паролей. В такой стратегии злоумышленник не нацеливается на конкретного пользователя.