ブルートフォース攻撃がすべての暗号化の脆弱性を説明

総当たり攻撃は理解するのがかなり簡単ですが、それに対して防御するのは難しいです。暗号化は数学であり、コンピュータが速くなるにつれて、すべての解決策を試してどれが適しているかを見るのが速くなります。.

これらの攻撃は、さまざまな程度の成功を収めて、あらゆる種類の暗号化に対して使用される可能性があります。新しい、より速いコンピュータハードウェアがリリースされるにつれて、ブルートフォース攻撃は日を追うごとにより速くそしてより効果的になります.

ブルートフォースの基本

総当たり攻撃は簡単に理解できます。攻撃者は暗号化されたファイルを持っています - あなたのLastPassまたはKeePassパスワードデータベースなど。彼らは、このファイルが見たいデータを含んでいることを知っています、そしてそれをロック解除する暗号化キーがあることを彼らは知っています。それを解読するために、彼らはあらゆる可能なパスワードを一つ一つ試し始め、それが解読されたファイルになるかどうかを確かめることができます。.

彼らはこれをコンピュータプログラムで自動的に行うので、利用可能なコンピュータハードウェアがますます速くなるにつれて誰かが暗号化をブルートフォースすることができる速度が速くなり、毎秒より多くの計算を実行することができる。ブルートフォース攻撃は、2桁のパスワードなどに移行する前に1桁のパスワードから始まる可能性があります。.

「辞書攻撃」も同様で、考えられるすべてのパスワードではなく、辞書内の単語（または一般的なパスワードのリスト）を試みます。多くの人がそのような弱い共通のパスワードを使うので、これは非常に効果的です。.

攻撃者がブルートフォースWebサービスを実行できない理由

オンラインとオフラインのブルートフォース攻撃には違いがあります。たとえば、攻撃者が自分のGmailアカウントにブルートフォースで侵入しようとすると、考えられるすべてのパスワードを試してみることができますが、Googleはすぐにそれらを遮断します。このようなアカウントへのアクセスを提供するサービスは、アクセス試行を抑制し、何度もログインを試みるIPアドレスを禁止します。このように、攻撃が停止されるまでにできることは非常に少ないため、オンラインサービスに対する攻撃はあまりうまくいきません。.

たとえば、ログイン試行に数回失敗すると、GmailはCATPCHAイメージを表示して、自分がコンピュータで自動的にパスワードを試行していないことを確認します。あなたが十分に長く続けることに成功した場合、彼らはおそらくあなたのログインの試みを完全に止めるでしょう.

一方、攻撃者があなたのコンピュータから暗号化されたファイルを盗み出したり、オンラインサービスを危険にさらしてそのような暗号化されたファイルをダウンロードしたとしましょう。攻撃者は暗号化されたデータを自分のハードウェアに保存し、自分が好きなだけパスワードを試すことができます。暗号化されたデータにアクセスできるのであれば、短期間に多数のパスワードを試みるのを防ぐことはできません。強力な暗号化を使用している場合でも、データを安全に保ち、他の人がアクセスできないようにすることは有益です。.

ハッシュ

強力なハッシュアルゴリズムは総当たり攻撃を遅らせることができます。基本的に、ハッシュアルゴリズムは、パスワードから派生した値をディスクに保存する前に、パスワードに対して追加の数学的作業を実行します。より遅いハッシュアルゴリズムが使用される場合、それは各パスワードを試すために数千倍もの数学的作業を必要とし、総当たり攻撃を劇的に遅くするでしょう。ただし、ユーザーが自分のパスワードでログインするたびに、サーバーや他のコンピューターで実行する作業が増えるほど、多くの作業が必要になります。ソフトウェアは総当たり攻撃に対する回復力とリソース使用量のバランスをとる必要があります.

ブルートフォーススピード

速度はすべてハードウェアに依存します。 Bitcoin鉱山労働者がBitcoinマイニング用に最適化された独自の専用ハードウェアを構築するのと同様に、諜報機関は総当たり攻撃のためだけに専用ハードウェアを構築することができます。民生用ハードウェアに関しては、ブルートフォース攻撃に最も効果的なハードウェアはグラフィックカード（GPU）です。一度に多くの異なる暗号化キーを試すのは簡単なので、並行して動作する多くのグラフィックカードが理想的です。.

2012年の終わりに、Ars Technicaは25-GPUクラスターが6時間以内に8文字以下のすべてのWindowsパスワードを解読できると報告しました。マイクロソフトが使用したNTLMアルゴリズムは、回復力が十分ではありませんでした。ただし、NTLMが作成されたときは、これらすべてのパスワードを試すのにはるかに時間がかかりました。これは、マイクロソフトが暗号化を強化するのに十分な脅威とは見なされていませんでした。.

スピードは加速しています。そして、数十年のうちに、私たちが今日使用している最強の暗号化アルゴリズムや暗号化キーでさえも、量子コンピュータや将来使用している他のハードウェアによってすぐに破られる可能性があります。.

総当たり攻撃からデータを保護する

完全に身を守る方法はありません。コンピュータのハードウェアがどれだけ速くなるか、そして今日私たちが使っている暗号化アルゴリズムのどれにも、将来発見され悪用されるような弱点があるかどうかを言うことは不可能です。ただし、基本は次のとおりです。

• 攻撃者がアクセスできない場所では、暗号化されたデータを安全に保管してください。彼らのハードウェアにあなたのデータがコピーされると、彼らは彼らの余暇にそれに対して総当たり攻撃を試みることができます.
• インターネット経由でログインを受け付けるサービスを実行している場合は、ログインの試行を制限し、短期間にさまざまなパスワードでログインを試みる人々をブロックするようにしてください。サーバーソフトウェアは一般的に、これをセキュリティで保護された方法でそのまま使用できるように設定されています。.
• SHA-512などの強力な暗号化アルゴリズムを使用してください。解読が容易な既知の弱点を持つ古い暗号化アルゴリズムを使用していないことを確認します。.
• 安全で長いパスワードを使用してください。あなたが「パスワード」や今までに人気のある「ハンター2」を使っているのであれば、世界中のすべての暗号化技術が役立つわけではありません。.

ブルートフォース攻撃は、データを保護したり、暗号化アルゴリズムを選択したり、パスワードを選択したりするときに気をつけることです。それらは、より強力な暗号化アルゴリズムを開発し続ける理由でもあります - 暗号化は、新しいハードウェアによってどれほど速く無効にされているかについていく必要があります。.

画像クレジット：FlickrのJohan Larsson、Jeremy Gosney