Атаките с груба сила са сравнително лесни за разбиране, но трудно могат да бъдат защитени. Криптирането е математика, а компютрите стават по-бързи в математиката, те стават по-бързи при изпробването на всички решения и виждайки кой е подходящ.
Тези атаки могат да се използват срещу всякакъв тип криптиране, с различна степен на успех. Атаките с брутална сила стават по-бързи и по-ефективни с всеки изминал ден, когато се пускат по-нови, по-бързи компютри.
Атаките с брутална сила са лесни за разбиране. Нападателят има шифрован файл - да речем Вашата база данни за паролите LastPass или KeePass. Те знаят, че този файл съдържа данни, които искат да видят, и знаят, че има ключ за шифроване, който го отключва. За да го дешифрират, те могат да започнат да опитват всяка възможна парола и да видят дали това води до декриптиран файл.
Те правят това автоматично с компютърна програма, така че скоростта, с която някой може да натовари криптиране, се увеличава, тъй като наличният компютърен хардуер става по-бърз и по-бърз, способен да прави повече изчисления за секунда. Атаката на груба сила вероятно ще започне с едноцифрени пароли, преди да се премести на двуцифрени пароли и т.н., опитвайки всички възможни комбинации, докато не работи.
"Атака на речника" е подобна и опитва думи в речника - или списък с общи пароли - вместо всички възможни пароли. Това може да бъде много ефективно, тъй като много хора използват такива слаби и често срещани пароли.
Има разлика между онлайн и офлайн груби атаки. Например, ако нападателят иска да навлезе в профила си в Gmail, той може да започне да опитва всяка възможна парола, но Google бързо ще ги отреже. Услугите, които осигуряват достъп до такива профили, ще опростят опитите за достъп и ще забранят IP адресите, които се опитват да влязат толкова пъти. По този начин атаката срещу онлайн услугата няма да работи твърде добре, защото много малко опити могат да бъдат направени преди атаката да бъде спряна.
Например, след няколко неуспешни опита за вход, Gmail ще ви покаже изображение на CATPCHA, за да провери, че не сте компютър, който автоматично опитва пароли. Вероятно ще спрат напълно опитите ви за влизане, ако успеете да продължите достатъчно дълго.
От друга страна, да кажем, че нападателят е заснел криптиран файл от компютъра ви или е успял да компрометира онлайн услуга и да изтегли такива шифровани файлове. Нападателят вече има криптирани данни за собствения си хардуер и може да опита колкото се може повече пароли, колкото иска. Ако имат достъп до шифрованите данни, няма начин да им се попречи да изпробват голям брой пароли за кратък период от време. Дори ако използвате силно криптиране, е от ваша полза да запазите данните си в безопасност и да гарантирате, че другите нямат достъп до тях.
Силните алгоритми за хеширане могат да забавят атаките на груба сила. По същество алгоритмите за хеширане изпълняват допълнителна математическа работа върху парола, преди да съхранят стойност, получена от паролата на диска. Ако се използва по-бавен алгоритъм за хеширане, това ще изисква хиляди пъти повече математическа работа, за да се пробва всяка парола и драстично да се забавят атаките на груба сила. Въпреки това, колкото повече се изисква работа, толкова повече работа всеки сървър или друг компютър трябва да направи, когато потребителят се регистрира с паролата си. Софтуерът трябва да балансира устойчивостта срещу атаките с груба сила при използване на ресурсите.
Скоростта на всичко зависи от хардуера. Разузнавателните агенции могат да изграждат специализиран хардуер само за атаки на груба сила, точно както миньорите Bitcoin изграждат собствен специализиран хардуер, оптимизиран за добив на Bitcoin. Що се отнася до потребителския хардуер, най-ефективният вид хардуер за атаки на груба сила е графична карта (GPU). Тъй като е много лесно да изпробвате много различни ключове за шифроване наведнъж, много графични карти, които работят успоредно, са идеални.
В края на 2012 г. Ars Technica съобщи, че един клъстер от 25 GPU може да пробие всяка парола за Windows под 8 знака за по-малко от шест часа. Алгоритъмът на NTLM, използван от Microsoft, просто не е достатъчно устойчив. Въпреки това, когато NTLM е създаден, щеше да отнеме много време да опитате всички тези пароли. Това не се считаше за достатъчно заплаха за Microsoft да направи криптирането по-силно.
Скоростта се увеличава и след няколко десетилетия можем да открием, че дори и най-силните криптографски алгоритми и криптиращи ключове, които използваме днес, могат бързо да бъдат пробити от квантовите компютри или от каквито и да е други хардуерни средства, които използваме в бъдеще.
Няма начин да се защитиш напълно. Невъзможно е да се каже колко бързо ще се получи компютърен хардуер и дали някой от използваните днес алгоритми за криптиране има слабости, които ще бъдат открити и експлоатирани в бъдеще. Въпреки това, тук са основните неща:
Атаките с груба сила са нещо, за което трябва да се притеснявате, когато защитавате данните си, избирате алгоритми за шифроване и избирате пароли.Те също така са причина да продължават да разработват по-силни криптографски алгоритми - криптирането трябва да се справи с това колко бързо е станало неефективно от новия хардуер.
Image Credit: Йохан Ларсон на Flickr, Джеръми Госни
