حمله بروت فورس نوعی حمله سایبری است که از رویکرد آزمون و خطا برای پیداکردن اطلاعات ورود، رمز‌ها، اعتبارنامه‌ها و کلیدهای رمزگذاری شده استفاده می‌کند. در این حمله، مهاجمان ترکیب‌های مختلف نام کاربری و رمز عبور را امتحان می‌کنند تا در نهایت، نام کاربری و رمز عبور درست را حدس بزنند.
پس از پیداکردن نام کاربری و رمز عبور حساب، مهاجم می‌تواند به عنوان یک کاربر قانونی وارد سیستم شده و تا زمانی که شناسایی نشود، در آن سیستم باقی بماند. معمولا مهاجمان از این حملات برای انجام کارهایی نظیر حرکت جانبی، سرقت داده‌ها، کسب اطلاعات موردنیاز سیستم برای حملات آینده و نصب در‌های پشتی ورود به سیستم، استفاده می‌کنند.
تا زمانی که برای ورود به حساب کاربری‌تان نیاز به گذرواژه دارید، باید بدانید که ممکن است حمله بروت فورس را تجربه کنید. در حال حاضر، این نوع حملات نه تنها منسوخ نشده‌اند، بلکه بسیار رایج هستند و به دلیل اینکه از راه دور قابل انجام شدن هستند، روز به روز به محبوبیت‌شان اضافه می‌شود!
در این مطلب به بررسی حملات بروت فورس و روش‌هایی برای جلوگیری از آن‌ها می‌پردازیم.
انواع حمله بروت فورس
در این بخش، می‌خواهیم به معرفی انواع حمله بروت فورس بپردازیم:
حمله بروت فورس ساده (Simple brute force attack)
حمله Brute Force ساده، به حمله‌ای گفته می‌شود که در آن، مهاجم از اتوماسیون و اسکریپت برای حدس زدن رمزهای عبور استفاده می‌کند. در این نوع حمله، در هر ثانیه چیزی حدود چند صد حدس زده می‌شود. در نتیجه، طبیعی است که رمزهای عبور ساده‌ای که شامل ترکیبی از حروف بزرگ و کوچک نمی‌شوند و فقط از عبارات رایج برای آن‌ها استفاده شده است، در عرض چند دقیقه شکسته شوند. در نتیجه، انتخاب رمز عبور مناسب می‌تواند موفقیت این حملات را کم‌تر کند.
البته، می‌توان سرعت پیش‌بینی رمز عبور را با دستورات بزرگ، افزایش داد. به عنوان مثال، در سال 2012 یک محقق از یک کلاستر کامپیوتری استفاده کرد و توانست 350 میلیارد رمز عبور را در عرض چند ثانیه بدست آورد.
حمله بروت فورس دیکشنری (Dictionary Attack)
در حمله Brute Force دیکشنری، ترکیبی از عبارات و کلمات رایج برای به دست آوردن رمز عبور مورد آزمایش قرار می‌گیرند. در گذشته، برای انجام این حملات از کلمات یک فرهنگ لغت و اعداد استفاده می‌شد؛ اما در حال حاضر، این نوع حمله از یک دیکشنری شامل رمزهای عبوری که توسط نقض داده‌های قبلی به بیرون درز پیدا کرده‌اند، استفاده می‌کند. رمزهای عبور فاش شده در سطح دارک وب (dark web) به فروش می‌رسند. البته می‌توان برخی از این دیکشنری‌ها را در وب معمولی نیز به صورت رایگان پیدا کرد.
نرم افزار دیکشنری، کاراکتر‌های مشابه را برای حدس‌های جدید، جایگزین می‌کند تا رمز عبور صحیح را پیدا کند. به عنوان مثال، این نرم افزار می‌تواند کاراکتر “I” کوچک را با کاراکتر “I” بزرگ و یا حروف کوچک مانند “a” را با علامت‌هایی مانند “@” جایگزین کند. این نرم افزار از ترکیب‌هایی که احتمال موفقیت بالایی دارند استفاده می‌کند.
پرکردن اعتبار نامه (Credential Stuffing)
طی سال‌های گذشته تاکنون، بیش از 8.5 میلیارد نام کاربری و رمز عبور از منابع مختلف فاش شده است. این اعتبارنامه‌ها توسط افراد سودجو در دارک وب فروخته می‌شود و از آن‌ها برای مقاصد مختلف، از ارسال هرزنامه‌ها گرفته تا به دست آوردن اطلاعات حساب، استفاده می‌شود.
در حمله بروت فورس Credential Stuffing، از این اطلاعات به سرقت رفته برای ورود به سایت‌ها و سیستم‌های مختلف استفاده می‌شود. از آنجایی که بسیاری از افراد تمایل دارند به طور مکرر از نام کاربری و رمزهای عبور یکسان استفاده کنند، در صورتی که به عنوان مثال یک هکر به حساب شخصی یک کاربر در یک شرکت برق دسترسی پیدا کند، احتمالا می‌تواند با همان اطلاعات، برای دسترسی به حساب‌های بانکی همان شخص، استفاده کند.
اهداف مورد علاقه هکرها در این نوع حملات معمولا شامل بازی‌ها، حساب‌های شبکه‌های اجتماعی و کسب‌و‌کارهای خرده فروشی و به طور کلی همه‌ی صنایع پردرآمد می‌شود. در چنین شرایطی، بهتراست از تمهیدات امنیتی برای بالا بردن امنیت سرور یا کامپیوتر شخصی استفاده شود.
برای یک حمله‌ی پرکردن اعتبارنامه، به سطح مهارت فنی بسیار کمی نیاز است و همچنین، هزینه‌ی این نوع حمله نیز بسیار کم است. هر کسی که حداقل یک کامپیوتر در اختیار دارد، با پرداخت حداقل 550 دلار می‌تواند یک حمله‌ی پرکردن اعتبارنامه را انجام دهد.
حمله بروت فورس معکوس (Reverse Brute Force Attack)
مهاجم در حمله Brute Force ساده، نام کاربری یا شماره حساب را می‌داند و از روی کلیدهای شناخته شده و با استفاده از ابزار اتوماسیون برای کشف رمز عبور، رمز حساب را پیدا می‌کند. در حمله بروت فورس معکوس این کار برعکس انجام می‌شود. یعنی مهاجم رمز عبور را می‌داند و باید شماره حساب یا نام کاربری را پیدا کند.
حمله بروت فورس هیبریدی (Hybrid Brute Force Attack)
این حمله، ترکیبی از حمله بروت فورس ساده و حمله دیکشنری است. اغلب افراد معمولا در انتهای رمز عبور خود، چند عدد اضافه می‌کنند. تعداد این اعداد معمولا 4 تا است. این اعداد معمولا سال‌های مهم زندگی مانند سال تولد، سال فارغ التحصیلی، سال ازدواج و غیره است. بنابراین اولین عدد معمولا 1 یا 2 است.
در حمله بروت فورس هیبریدی، مهاجمان از حمله دیکشنری برای پیدا کردن کلمات استفاده کرده و سپس حمله بروت فورس ساده را در قسمت آخر (معمولا 4 عدد) به صورت خودکار تنظیم می‌کنند. این رویکرد، کارآمد‌تر از فقط یک حمله دیکشنری یا فقط یک حمله‌ی بروت فورس ساده است.
پسورد اسپری (Password Spraying)
در حمله بروت فورس ساده، سعی بر این بود که فقط رمز یک حساب کاربری پیدا شود. پسورد اسپری رویکردی متفاوت دارد و سعی می‌کند رمز عبور مشترک تعداد زیادی از حساب‌ها را پیدا کند. این رویکرد به مهاجمان کمک می‌کند تا از گرفتارشدن توسط سیاست‌های لاک شدن سیستم که امکان واردکردن رمز عبور اشتباه به دفعات زیاد را محدود می‌کند، جلوگیری کنند. از حمله بروت فورس پسورد اسپری معمولا برای سیستم‌هایی که تنها دارای 1 فرصت برای ورود به سیستم هستند (SSO) و برنامه‌های مبتنی بر ابر (cloud-based apps) که از سیستم احراز هویت فدرال استفاده می‌کنند، استفاده می‌شود.
بات نت‌ها (Botnet)
همانطور که تا به این جا متوجه شدید، حملات بروت فورس همان بازی حدس اعداد و کلمات هستند که به قدرت محاسباتی زیادی نیاز دارند. با استقرار شبکه‌های رایانه‌های هایجک شده (یا همان بات نت‌ها) برای اجرای الگوریتم حمله، مهاجمان این فرصت را دارند تا از صرف هزینه و مشکلات اجرای سیستم‌هایشان جلوگیری کنند. همچنین، بات نت‌ها می‌توانند یک لایه‌ی ناشناس را اضافه کنند و در هر نوع حمله‌ی بروت فورس استفاده شوند.
انگیزه‌های پشت حملات بروت فورس چه چیزهایی هستند؟
برخی از انگیزه‌های رایج مهاجمان برای انجام حملات بروت فورس به شرح زیر است:
- ربودن اطلاعات حساس؛
- گسترش بدافزارها؛
- به دست گرفتن سیستم برای انجام کارهای مخرب؛
- از دسترس خارج کردن وب‌سایت‌ها؛
- کسب سود از طریق تبلیغات؛
- تغییر مسیر ترافیک وبسایت به سمت سایت‌های تبلیغاتی سفارش داده شده؛
- آلوده کردن وب‌سایت‌ها با نرم‌افزارهای جاسوسی برای فروش به تبلیغ کننده‌ها.
حمله بروت فورس چطور کار می‌کند؟
مهاجمان برای اجرای حملات بروت فورس، از ابزارهای خودکار و اتوماسیون استفاده می‌کنند. افرادی که دانش فنی بالایی دارند، می‌توانند این ابزار‌ها را بسازند و کسانی که مهارت ساخت کافی را ندارند، می‌توانند آن‌ها را در قالب کیت‌های بدافزار، از دارک وب خریداری کنند. همچنین، داده‌هایی نظیر دیکشنری‌ها یا اعتبارنامه‌های لو رفته را می‌توان از دارک وب یا وب معمولی خریداری کرد و برای انجام حملات پرکردن اعتبارنامه یا حمله‌ی بروت فورس هیبریدی از آن‌ها استفاده کرد.
این لیست‌ها می‌توانند به عنوان بخشی از یک پکیج به همراه ابزارهای خودکار و سایر افزونه‌ها مانند کنسول‌های مدیریتی، به فروش برسند. زمانی که مهاجم شروع به راه انازی ابزارهای خود می‌کند و در صورت لزوم آن‌ها را با لیست قرار می‌دهد، حمله Brute Force شروع می‌شود. می‌توان حملات بروت فورس را با بات نت‌ها انجام داد. بات نت‌ها، سیستم‌هایی متشکل از رایانه‌های هایجک شده هستند که بدون اطلاع یا رضایت کاربر قانونی، تبدیل به منبع محاسباتی این نوع حملات می‌شوند.
حملات بروت فورس به صورت منبع-فشرده و موثر انجام می‌شوند. همچنین، می‌توان از این نوع حملات به عنوان اولین قسمت یک حمله‌ی چندمرحلهای استفاده کرد.
ابزارهایی که برای انجام حملات بروت فورس استفاده می‌شوند
این ابزار‌ها که بسیاری از آن‌ها به صورت رایگان عرضه می‌شوند و در طیف گسترده‌ای از پلتفرم‌ها و پروتکل‌ها کار می‌کنند را می‌توان در اینترنت آزاد پیدا کرد. در این قسمت، به معرفی تنها چند نمونه از ابزارهای رایج حمله بروت فورس می‌پردازیم:
- Aircrack-ng: این ابزار، یک ابزار رمز عبور وایفای بروت فورس است که به صورت رایگان در دسترس عموم قرار دارد. Aircrack-ng دارای WEP/WPA/WPA2-PSK و ابزارهای تجزیه و تحلیل است که در حملات Wi-Fi 802.11 بکار می‌آیند و می‌توان آن را برای تمام NICهایی که از حالت نظارت خام پشتیبانی می‌کنند، استفاده کرد.
- DaveGrohl: این ابزار برای حمله به Mac OS X طراحی شده و از حملات دیکشنری پشتیبانی می‌کند. DaveGrohl دارای یک حالت توزیع شده است که به مهاجمان این امکان را می‌دهد که حملات را از طریق چندین رایانه روی هش رمز عبور یکسان، انجام دهند.
- Hashcat: این ابزار شکستن رمز عبور مبتنی بر CPU است و می‌توانید آن را به صورت رایگان تهیه کنید. Hashcat بر روی سیستم‌عامل‌های مختلف ویندوز، مک و لینوکس کار می‌کند و می‌توانید انواع مختلف حملات بروت فورس را از طریق آن انجام دهید.
- THC Hydra: این ابزار قابلیت شکستن رمزهای عبور احراز هویت شبکه را دارد. THC Hydra حملات دیکشنری را علیه بیش از 30 پروتکل نظیر HTTPS، FTP، Telnet و غیره انجام می‌دهد.
- John the Ripper: John the Ripper یک ابزار رایگان شکستن رمز عبور است که در سیستم‌های یونیکس توسعه یافته است. در حال حاضر، این ابزار برای 15 پلتفرم شناختهشدهی دیگر مانند Windows، OpenVMS، DOS و غیره در دسترس است. از آنجایی که John the Ripper نوع هش مورد استفاده در رمزگذاری را به صورت خودکار تشخیص می‌دهد، می‌توان از آن در برابر ذخیره‌سازی رمز عبور رمزگذاریشده استفاده کرد.
- L0phtCrack: از این ابزار برای حملات بروت فورس ساده، دیکشنری، هیبریدی و حملات جدول رنگین کمان (rainbow table attacks) استفاده می‌شود.
- NL Brute : NL Brute یک ابزار RDP است که از سال 2016 در دارک وب در دسترس است.
- Ophcrack: این ابزار رایگان و منبعباز برای شکستن رمز عبور ویندوز استفاده می‌شود. Ophcrack از هش‌های LM از طریق جدول رنگین کمان برای انجام حملات بروت فورت استفاده می‌کند.
- Rainbow Crack: این ابزار، برای انجام حملات، جدول‌های رنگین کمان را تولید می‌کند. جدول‌های رنگین کمان از قبل محاسبه شده‌اند. در نتیجه، استفاده از این ابزار، زمان انجام حمله را کاهش می‌دهد.
بهترین راه برای بالا بردن امنیت در برابر حملات بروت فورس چیست؟
اگر می‌خواهید امنیت خود را در برابر این حملات افزایش دهید، به شما توصیه می‌کنیم در اولین فرصت، راهکار‌های زیر را انجام دهید:
از احراز هویت چندمرحلهای استفاده کنید
زمانی که کاربران برای ورود به سیستم از بیش از 1 نوع احراز هویت (مانند رمز عبور، اثر انگشت، رمزهای عبور یکبارمصرف و غیره) استفاده می‌کنند، احتمال موفقیت حمله بروت فورس به طرز چشمگیری کاهش می‌یابد. برای اراز هویت چند مرحله‌ای توصیه می‌شود علاوه بر رمز عبور، از احراز هویت با استفاده از رمزهای عبور پیامکی یا ایمیلی یکبار مصرف، دریافت کد تایید از طریق برنامه‌های احراز هویت، استفاده از اثر انگشت و اسکن چهره و مواردی از این دست استفاده کنید.
رعایت ملزومات امنیتی
شما نیاز دارید که هر چند وقت یک بار، رمزهای عبورتان را تغییر داده و از رمزهای عبور قوی برای ورود به سیستم استفاده کنید. همچنین، دسترسی پلتفرم‌های مختلف به نام‌کاربری و رمزهای عبورتان را مورد بررسی قرار دهید.
سیاستی را تنظیم کنید که از انتخاب رمزهای عبور ضعیف جلوگیری شود
همیشه طولانی بودن رمزهای عبور به معنی قوی‌تر بودنشان نیست. شما برای انتخاب یک رمز عبور قوی، نیاز دارید که از ترکیبی از حروف بزرگ و کوچک، اعداد و کاراکتر‌های خاص استفاده کنید. به کاربران وبسایت یا سیستم‌تان درباره انتخاب یک رمز عبور ایمن آموزش دهید و برای جلوگیری از انتخاب رمزهای عبور ضعیف، از ابزارهای مدیریت رمز عبور استفاده کنید.
سوالات متداول
حمله بروت فورس چیست؟
این حمله شامل آزمون و خطا برای حدس زدن یا شکستن رمز عبور حساب کاربری، نام حساب کاربری و کلیدهای رمزگذاری شده می‌شود.
آیا حملات بروت فورس قانونی هستند؟
در اکثر موارد این حملات غیرقانونی هستند. تنها زمانی یک حمله‌ی بروت فورس قانونی است که سازمانی بخواهد یک تست نفوذ را علیه یک برنامه اجرا کند و از قبل، رضایت کتبی مالک را برای انجام آن داشته باشد.
حملات بروت فورس تا چه اندازه رایج هستند؟
این حملات، جزو حملات بسیار رایج مجرمان سایبری به شمار می‌روند. طبق تحقیقات سایت Verizon، حملات بروت فورس عامل تقریبا 5% از کل نقض داده‌ها در سال 2017 بودند.
برای شکستن رمز عبور 8 کاراکتری، تقریبا چقدر زمان لازم است؟
هر چه رمز عبور پیچیده‌تر و طولانی‌تر باشد، شکستن آن سخت‌تر می‌شود. به طور کلی، برای شکستن یک رمز عبور 8 کاراکتری، به چند ساعت زمان نیاز است. تحقیقی که در سال 2019 انجام شدهبود نشان داد که هر رمز عبور 8 کاراکتری، فارغ از پیچیده یا ساده بودنش، تنها در عرض 2.5 ساعت شکسته می‌شود.
