حمله بروت فورس ( Brute Force ) چیست؟

بروت فورس
برنامه نویسی وب مقالات

حمله بروت فورس ( Brute Force ) چیست؟

 

بروت فورس یک حمله Brute Force که با نام حمله جستجوی فراگیر (جستجوی جامع | Exhaustive Search) نیز شناخته می‌شود، نوعی عملیات هک رمزنگاری‌شده (هک پنهانی | Cryptographic Hack) در حوزه امنیت شبکه به حساب می‌آید. Brute Force حمله‌ای است که در آن ترکیب‌های ممکن یک گذرواژه تا زمان پیدا شدن ترکیب درست امتحان می‌شوند. در این نوشته، نکات و مسائل مهم پیرامون Brute Force پوشش داده شده است.

واژه Brute Force در لغت به معنای متوسل شدن یا نائل شدن به استفاده از جبر، تلاش یا قدرتی که معمولاً با روش‌های فاقد بهره‌وری، با دقت برنامه‌ریزی شده و در مقیاس بزرگ انجام می‌شود. حملات Brute Force اغلب برای دستیابی به اطلاعات شخصی توسط هکرها انجام می‌شود. در ادامه، توضیحات بیش‌تر و دقیق‌تری در این خصوص ارائه شده است.

دقت داشته باشید این مقاله صرفاً با هدف آموزش تهیه و تنظیم شده است هیچگونه مسئولیتی درباره هرگونه استفاده غیر مجاز از آن ندارد. شرایط استفاده از تدریس24 را می‌توانید به صورت کامل در این لینک مطالعه کنید.

حمله Brute Force چیست ؟

حمله بروت فورس (Brute Force Cracking | Brute Force Attack) یک حمله سایبری است که در آن همه حالت‌های ممکن برای یک رمز تا زمان یافتن رمز صحیح، امتحان می‌شود. نرخ بالایی از رخدادهای نفوذ اطلاعاتی در دهه نود شمسی به وسیله Brute Force انجام شده است. حملات Brute Force ساده و قابل اطمینان هستند.

مهاجمان معمولاً کار را به کامپیوترها می‌سپارند تا آن‌ها ترکیب‌های مختلفی از نام‌های کاربری و گذرواژه‌ها را تا زمان رسیدن به ترکیب درست امتحان کنند. بهترین روش مقابله، شناسایی و خنثی کردن یک حمله Brute Force، در زمان وقوع آن است، چرا که وقتی مهاجمین به شبکه دسترسی پیدا کنند، عملیات دفاع بسیار پیچیده‌تر و دشوارتر خواهد بود.

هرچه یک پسورد طولانی‌تر باشد، طبیعتاً نیاز به امتحان کردن حالت‌های ممکن و ترکیب‌های بیش‌تری وجود خواهد داشت. یک حمله Brute Force می‌تواند بسیار زمان‌بر باشد. همچنین، اجرای عملیات Brute Force در صورتی که پنهان‌سازی داده‌ها (Data Obfuscation | Data masking | داده پوشانی) انجام شده باشد، بسیار دشوار و در برخی مواقع غیرممکن خواهد بود. اما، در صورت ضعیف بودن پسورد، عملیات Brute Force به راحتی و تنها در چند ثانیه امکان‌پذیر است.

رمزگشایی گذرواژه‌های ضعیف برای مهاجمان دقیقاً به سادگی صید ماهی از سطل آب است. به همین دلیل، همه سازمان‌ها باید خط مشی اجباری کردن انتخاب گذرواژه قوی را در میان کاربران و سامانه‌های خود در پیش بگیرند. اما دلیل هکرها برای حمله و استفاده از Brute Force برای نفوذ چیست؟ این کار با چه هدفی انجام می‌شود؟ در ادامه، به این سوال مهم پاسخ داده شده است.

بروت فورس
حمله Brute Force با چه اهدافی انجام می‌شود؟

بروت فورس حملات Brute Force معمولاً‌ برای به‌دست آوردن اطلاعات شخصی نظیر پسوردها، Passphraseها، نام‌های کاربری و کدهای شناسایی شخصی (Personal Identification Numbers | PINS) به کار گرفته می‌شوند. همچنین، در حمله Brute Force از یک اسکریپت، اپلیکیشن هک‌کننده یا پردازش‌هایی از این دست جهت اجرای رشته‌ای از اقدامات مکرر برای دست‌یابی به اطلاعات مورد نیاز استفاده می‌شود.

حملات Brute Force در سطوح ابتدایی فرآیند حمله سایبری (Cyber Kill Chain) و معمولاً در مراحل شناسایی و نفوذ انجام می‌شود. مهاجمان نیاز به امکان دسترسی به نقاط ورودی در اهداف خود دارند و روش‌های Brute Force راهی سریع برای انجام این کار به حساب می‌آیند.

پس از دسترسی پیدا کردن به داخل شبکه، مهاجمان می‌توانند باز هم با استفاده از شگردهای Brute Force برای افزایش سطح دسترسی یا «حملات تنزل رمزنگاری» (Encryption Downgrade Attacks) استفاده کنند.

همچنین، مهاجمان از حملات Brute Force برای جستجوی صفحات وب مخفی استفاده می‌کنند. صفحات وب مخفی، وب‌سایت‌هایی هستند که در اینترنت موجود هستند ولی به صفحات دیگر پیوند داده نشده‌اند. در یک حمله Brute Force آدرس‌های URL مختلف با هدف یافتن یک آدرس وب معتبر برای نفوذ، جستجو می‌شوند.

 مهاجم در این روش، به دنبال چیزهایی مثل یک نقطه ضعف نرم‌افزاری یا یک صفحه وب حاوی فهرستی از نام‌های کاربری و رمزهای عبور است. با توجه به اینکه حملات Brute Force پیچیدگی چندانی ندارند، مهاجمین می‌توانند چندین حمله خودکار را به صورت همزمان اجرا کنند تا از این طریق بتوانند گزینه‌های خود را برای رسیدن به یک نتیجه مطلوب گسترش دهند.

حملات بروت فورس چگونه انجام می‌شوند؟

بروت فورس البته که مغز متفکر تمام ماجرا یک انسان است؛ اما سوال اصلی این است که این انسان چگونه می‌تواند چنین کاری را انجام دهد؟ چون وقتی صحبت از امتحان کردن میلیون‌ها ترکیب باشد، قطعاً توانایی انسان پاسخگو نیست.

انسان (مشخصاً هکر پلید داستان)، از کمک‌افزارها برای پیشبرد اهدافش استفاده می‌کند. بگذارید اینگونه بگوییم که انسان کامپیوتر را برنامه‌ریزی می‌کند و خودش به نظاره عملیات می‌نشیند..

اگر هنوز هم خیال می‌کنید یک انسان بدون کمک کامپیوتر می‌تواند حمله را انجام دهد، به مثال زیر توجه کنید.فرض کنید بدون داشتن هیچ دانشی در رابطه با کدنویسی و استفاده از نرم‌افزارهای هک، قصد انجام حمله بروت فورس به یک اکانت را دارید.

در این فرض نام کاربری این اکانت به‌صورت پیش‌فرض admin درنظر گرفته می‌شود و شما فقط باید پسورد را پیدا کنید. حتی اگر پسورد یک عدد دو رقمی باشد، با ترکیب اعداد 0 تا 9، صد احتمال به‌وجود می‌آید که باید تک‌تک آن‌ها را برای حمله‌تان امتحان کنید.

۲ نکته را فراموش نکنید:

نکته اول: بروت فورس هیچ پسوردی در هیچ دستگاه و پلتفرمی دو رقمی نیست! حتی پین تلفن همراه حداقل باید چهار رقم داشته باشد و رمز کارت‌های بانکی هم همین‌طور. جالب‌تر اینکه معمولاً حداقل تعداد کاراکتر لازم برای انتخاب یک پسورد در سایت‌های مختلف، ۸ کاراکتر است.

نکته دوم: پسوردها از کاراکترها تشکیل می‌شوند و این کاراکترها لزوماً محدود به اعداد نیستند. حروف، نمادهای مختلف مثل @!؟ و … در کنار اعداد، پسوردها را تشکیل می‌دهند. درضمن پسوردها نسبت‌به بزرگ یا کوچک نوشته شدن حروف انگلیسی هم حساس هستند.

برای محاسبه تمام احتمال‌ها (درصورتی که فقط از حروف انگلیسی و اعداد استفاده شود و نمادها را هم در نظر نگیریم) باید عدد ۶۲ را به‌توان ۸ برسانیم. عدد حاصل ۲۱۸ تریلیون است. برای امتحان کردن این تعداد ترکیب تقریباً ۷ میلیون سال زمان لازم است!

به‌همین خاطر هیچ بشری نمی‌تواند بدون استفاده از کمک‌افزارها بروت فورس را انجام دهد.

یک برنامه پسوردیاب که در هر ثانیه ۱۰۰۰ پسورد را امتحان کند، ۷ میلیون سال را به ۷ هزار سال کاهش می‌دهد. بله بازهم خیلی طول می‌کشد. مخصوصاً وقتی پیش خودتان حساب می‌کنید که کوروش کبیر نزدیک به ۲۶۰۰ سال پیش به دنیا آمد و این زمان تقریباً ۳ برابر بیشتر است!

انواع حمله بروت فورس

حملات بروت فورس ساده:‌ در این مدل حمله، هکرها بدون استفاده از ابزارهای نرم‌افزاری اقدام به حدس و کشف گذرواژه‌های کاربران می‌کنند. این حمله تنها در مواردی که گذرواژه ضعیف و به‌راحتی قابل حدس باشد، موفق عمل می‌کند.

حملات دیکشنری (Dictionary attacks):‌ در این نوع حمله، هکر نام کاربری خاصی را هدف قرار داده و به کمک دیکشنری یا فهرستی از گذرواژه‌های رایج که در حملات نقض داده افشا شده است، شروع به امتحان‌کردن تک‌تک این گذرواژه‌ها کرده تا سرانجام به گذرواژه مربوط به نام کاربری مورد هدف، برسد؛ مثلا اگر گذرواژه انتخابی شما 12345باشد، این گذرواژه تاکنون در ۲,۴۹۳,۳۹۰ حمله نقض داده کشف شده است و می‌توانید مطمئن باشید که در تمام دیکشنری‌های مورداستفاده در حملات بروت فورس وجود دارد.

حملات بروت فورس وارونه (Reverse brute force attacks):‌ این مدل حمله همان‌طورکه از اسمش مشخص است، برعکس حمله بروت فورس ساده است؛ به این معنی که هکر نام کاربری خاصی را هدف قرار نمی‌دهد، بلکه فهرستی از گذرواژه‌های رایج را شناسایی کرده و آن‌ها را با میلیون‌ها نام کاربری مطابقت می‌دهد تا در نهایت بتواند گذرواژه‌ها را با نام کاربری مربوط به آن‌ها جور کند.

گذرواژه‌های افشا شده را می‌توان به‌راحتی در دارک وب پیدا کرد. هکرها با حمله به وب‌سایت‌های مختلف، فهرستی از گذرواژه‌های ذخیره شده در سرورهای آن‌ها را سرقت کرده و سپس در دارک وب منتشر می‌کنند. دسته‌ای دیگر از هکرها نیز با استفاده از این گذرواژه‌ها حملات بروت فورس وارونه ترتیب می‌دهند تا با پیدا‌کردن نام کاربری مربوط به هر گذرواژه، به حساب کاربر دسترسی پیدا کنند.

حملات بروت فورس هیبریدی (Hybrid brute force attacks):‌ در این نوع حمله، مهاجمان برای دستیابی به گذرواژه‌ها سراغ ابزارهای پیشرفته‌ای می‌روند که می‌توانند در مدت زمان کوتاه‌تر و با استفاده از قدرت پردازنده‌های کامپیوتر، به‌طور هم‌زمان چندین ترکیب ممکن از گذرواژه‌های پیچیده و متشکل از حروف، اعداد و نمادها را امتحان کرده تا به گذرواژه درست برسند.

درحالیکه گذرواژه‌های ضعیف و رایج به‌راحتی توسط هکر یا اسکریپت و بات قابل حدس هستند، گذرواژه‌های قوی و پیچیده تنها به کمک ابزارهای مخصوص قابل کشف‌شدن هستند. به عبارت دیگر، حتی گذرواژه‌های قوی هم از حمله بروت فورس در امان نیستند.

دست‌کاری اعتبار (Credential Stuffing): اگر هکری بتواند در حمله بروت فورس به ترکیب درستی از نام کاربری و گذرواژه برای حساب کاربری در یک وب‌سایت دست پیدا کند، آنوقت این ترکیب را در چندین وب‌سایت دیگر نیز امتحان می‌کند. از آنجایی که بسیاری از کاربران عادت دارند از یک ترکیب نام کاربری و گذرواژه برای لاگین در وب‌سایت‌های مختلف استفاده کنند، به طعمه آسانی برای این مدل حملات تبدیل می‌شوند.

دیدگاه خود را اینجا قرار دهید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

اعضا

‫بروز رسانی

سمیرا مردانی's بروزسانی مشخصات انجام شد 1 سال, ماه 2 قبل

محمد جواد محمدی's بروزسانی مشخصات انجام شد 1 سال, ماه 2 قبل

مریم نوری's بروزسانی مشخصات انجام شد 1 سال, ماه 2 قبل

محمد امین طاهری's بروزسانی مشخصات انجام شد 1 سال, ماه 2 قبل

نگار حجتی's بروزسانی مشخصات انجام شد 1 سال, ماه 2 قبل

فیلدهای نمایش داده شده را انتخاب کنید. دیگران مخفی خواهند شد. برای تنظیم مجدد سفارش ، بکشید و رها کنید.
  • عکس
  • شناسه محصول
  • امتیاز
  • قیمت
  • در انبار
  • موجودی
  • افزودن به سبد خرید
  • توضیحات
  • محتوا
  • عرض
  • اندازه
  • تنظیمات بیشتر
  • ویژگی ها
  • ویژگی های سفارشی
  • زمینه های دلخواه
برای پنهان کردن نوار مقایسه ، بیرون را کلیک کنید
مقایسه
مقایسه ×
Let's Compare! Continue shopping