Slaptažodžių nulaužimo laikas nėra fiksuotas skaičius. Jis priklauso nuo slaptažodžio ilgio, simbolių įvairovės, pakartotinio naudojimo ir užpuoliko turimų išteklių. Dažni slaptažodžiai gali būti nulaužti per kelias sekundes, o didelės entropijos slaptažodžiai gali atlaikyti kelerius metus ar ilgiau. Tikrasis skirtumas atsiranda tarp prisijungimo bandymų internete ir neprisijungus vykdomų maišos atakų, kur automatizavimas viską pakeičia. Pagrindinis klausimas yra ne tai, ar slaptažodis gali būti nulaužtas, o kaip greitai žlunga silpniausi.
Kiek laiko užtrunka slaptažodžių nulaužimas?
Kaip ilgai trunka slaptažodžio nulaužimas, pirmiausia priklauso nuo slaptažodžio entropijos, prieinamos atakos vykdytojo skaičiavimo galios ir naudojamo metodo. Trumpi, dažni ar pakartotinai naudojami slaptažodžiai, taikant automatizuotas atakas, gali būti nulaužti per kelias sekundes ar minutes.
Didesnės entropijos slaptažodžiai, ypač pakankamai ilgi ir atsitiktiniai, gali reikalauti metų, šimtmečių arba išlikti nepraktiški nulaužti esamomis sąlygomis. Atsijungtinės atakos prieš pavogtas maišas paprastai yra greitesnės nei bandymai prisijungti internetu, nes nėra greičio ribojimo ir paskyrų užrakinimo.
Priešingai, stiprūs raktų ištempimo algoritmai ir šiuolaikinė aparatinė įranga gerokai padidina skaičiavimo sąnaudas. Organizacijoms, aptarnaujančioms žmones, tai reiškia, kad apsauga turėtų būti matuojama atsparumo laiku, o ne absoliučia saugumo garantija.
Tikslas yra padaryti neleistiną prieigą per daug brangią, per lėtą ir per daug resursų reikalaujančią, kad ji būtų įgyvendinama.
Kas daro slaptažodžius lengviau nulaužiamus?
Slaptažodžius lengviau nulaužti, kai jų struktūra sumažina atakos vykdytojui tenkančią nežinomybę. Trumpas ilgis smarkiai apriboja paieškos erdvę, o įprasti žodžiai, vardai, datos ir klaviatūros raštai ją dar labiau susiaurina.
Nuspėjami pakeitimai, pavyzdžiui, raidžių keitimas skaičiais ar simboliais, suteikia labai mažai tikros entropijos, jei jie laikosi įprastų konvencijų. Naudojimas keliose paskyrose padidina riziką, nes vienas pažeistas slaptažodis gali atskleisti ir kitus.
Nuspėjami pakeitimai suteikia mažai entropijos, o slaptažodžių pakartotinis naudojimas padidina žalą, kurią gali sukelti vienas pažeidimas.
Slaptažodžiai taip pat susilpnėja, kai jie grindžiami asmenine informacija, kurią galima numanyti iš viešų profilių ar organizacijos konteksto. Paprastumas padeda įsiminti, bet kartu skatina formos ir prasmės pasikartojimą.
Stipresni slaptažodžiai paskirsto simbolių tipus nesudarydami atpažįstamų raštų, todėl automatizuotas spėjimas tampa mažiau veiksmingas ir apsaugo žmones bei sistemas, kurioms svarbi saugi prieiga.
Kaip užpuolikai iš tikrųjų nulaužia slaptažodžius?
Užpuolikai paprastai nulaužia slaptažodžius tikrindami tikėtinus kandidatus, o ne atsitiktinai ieškodami visoje galimoje erdvėje. Dažniausiai jie pradeda nuo pavogtų maišų, tada vykdo automatizuotus spėjimus neprisijungę prie tinklo, kur greitį daugiausia riboja aparatinė įranga ir maišos funkcijos sąnaudos.
Įprasti metodai apima žodyno atakas, taisyklių pagrindu atliekamas mutacijas ir hibridines strategijas, kurios prideda simbolius arba skaičius. Jei tai nepadeda, jie pereina prie brutalios jėgos atakų prieš likusį simbolių rinkinį, dažnai paskirstytų per daugybę GPU arba debesijos egzempliorių.
Kai kurie taip pat pasinaudoja nutekėjusiais prisijungimo duomenimis iš ankstesnių duomenų pažeidimų, naudodami kredencialų užpylimą prieš kitas paslaugas. Praktikoje slaptažodžių laužymas yra optimizavimo uždavinys: užpuolikai teikia pirmenybę tikimybei, pakartotiniam naudojimui ir mastui, o ne išsamiam paieškos visoje erdvėje atlikimui.
Stipri gynyba mažina užpuoliko efektyvumą didindama darbo sąnaudas, lėtindama patikrinimą ir ribodama naudojamų duomenų kiekį.
Kodėl įprasti slaptažodžiai taip greitai sužlunga?
Dažniausi slaptažodžiai greitai nustoja galioti, nes jie užima aukščiausios tikimybės vietą užpuoliko spėjimų sąraše. Jie dažnai paimami iš nutekėjusių duomenų bazių, todėl automatizuoti įrankiai juos išbando beveik iš karto.
Žmonių pasirinkimo modeliai dar labiau sumažina jų vertę: trumpas ilgis, žodyno žodžiai, vardai, metų laikai ir nuspėjami pakeitimai sukuria ribotą įvairovę. Dėl to paieškos erdvė smarkiai susitraukia, o kiekvienas bandymas turi didesnę sėkmės tikimybę.
Šiuolaikinės slaptažodžių nulaužimo sistemos teikia pirmenybę šiems kandidatams, nes svarbus efektyvumas; greičiausi laimėjimai paprastai priklauso silpniausioms paskyroms. Gynybos požiūriu tai reiškia, kad dažni pasirinkimai suteikia mažai apsaugos žmonėms ar bendruomenėms, kurios pasikliauja saugia prieiga.
Jie aptinkami anksti, plačiai pakartotinai naudojami ir išnaudojami dar prieš pradedant lėtesnius brutaliuosius bandymus.
Kaip padaryti savo slaptažodį sunkiau nulaužiamą?
Didinant slaptažodžio atsparumą reikia plėsti paieškos erdvę greičiau, nei automatizuotos spėjimo sistemos gali ją peržiūrėti. Ilgis yra svarbiausias veiksnys: kiekvienas papildomas simbolis padaugina galimų derinių skaičių ir smarkiai padidina žaliosios jėgos atakos kainą.
Iš nesusijusių žodžių sudaryti slaptafraziai pranoksta trumpas, sudėtingas eilutes, nes juos lengva įsiminti, kartu didinant entropiją. Simbolių įvairovė padeda, bet tik kartu su ilgiu; vien tik pakeitimai yra nuspėjami.
Unikalūs slaptažodžiai kiekvienai paskyrai neleidžia vienam pažeidimui išplisti į kitas paslaugas. Slaptažodžių tvarkyklė leidžia tai daryti neapkraunant naudotojų.
Daugiaveiksnis autentifikavimas prideda antrą barjerą ir turėtų būti laikomas būtinu. Paslaugas prižiūrinčios komandos turėtų teikti pirmenybę politikoms, kurios skatina ilgesnius, unikalius, naudotojui patogiai valdomus slaptažodžius, o ne savavališkas sudėtingumo taisykles, nes naudotinos gynybos priemonės dažniau bus priimtos ir išlaikytos.
