Kaba kuvvet saldırısı - Brute-force attack

Bu makale kriptanalitik yöntem hakkındadır. Diğer disiplinlerdeki benzer adlandırılmış yöntemler için bkz. Kaba kuvvet.
Electronic Frontier Foundation 250.000 ABD Doları DES kırma makinesi 1.800'den fazla özel yonga içeriyordu ve birkaç gün içinde bir DES anahtarını zorlayabilir. Fotoğraf, her iki tarafa da 64 Deep Crack yongası takılmış bir DES Cracker devre kartını göstermektedir.

İçinde kriptografi, bir kaba kuvvet saldırısı çok sayıda gönderen bir saldırgandan oluşur şifreler veya parolalar sonunda bir kombinasyonu doğru tahmin etme umuduyla. Saldırgan, doğru olanı bulunana kadar olası tüm parolaları ve parolaları sistematik olarak denetler. Alternatif olarak, saldırgan, anahtar bu, genellikle bir paroladan oluşturulur. anahtar türetme işlevi. Bu bir kapsamlı anahtar arama.

Bir kaba kuvvet saldırısı kriptanalitik saldırı teorik olarak şifrelenmiş verilerin şifresini çözmeye çalışmak için kullanılabilir[1] (bir dosyada şifrelenmiş veriler hariç bilgi-teorik olarak güvenli tavır). Bu tür bir saldırı, bir şifreleme sistemindeki (varsa) görevi kolaylaştıracak diğer zayıflıklardan yararlanmanın mümkün olmadığı durumlarda kullanılabilir.

Parola tahmin ederken, bu yöntem tüm kısa parolaları kontrol etmek için kullanıldığında çok hızlıdır, ancak daha uzun parolalar için, sözlük saldırısı kaba kuvvetle arama çok uzun sürdüğü için kullanılır. Daha uzun parolalar, parolalar ve anahtarlar daha fazla olası değere ve hatta daha fazla kombinasyona sahiptir, bu da onları daha kısa olanlardan katlanarak daha zor kırar.

Kaba kuvvet saldırıları, şaşırtma kodlanacak veriler, saldırganın kodun ne zaman kırıldığını fark etmesini zorlaştırır veya saldırganın her tahmini test etmek için daha fazla iş yapmasını sağlar. Bir şifreleme sisteminin gücünün ölçülerinden biri, bir saldırganın kendisine karşı başarılı bir kaba kuvvet saldırısı düzenlemesinin teorik olarak ne kadar süreceğidir.

Kaba kuvvet saldırıları, kaba kuvvet arama, tüm adayları listeleyen ve her birini kontrol eden genel problem çözme tekniği.

Temel kavram

Kaba kuvvet saldırıları, bir parola oluşturabilecek olası her kombinasyonu hesaplayarak ve doğru parola olup olmadığını görmek için test ederek çalışır. Parolanın uzunluğu arttıkça, doğru parolayı bulmak için gereken ortalama süre ve hesaplama gücü katlanarak artar.[2]

Teorik sınırlar

Bir kaba kuvvet saldırısı için gerekli kaynaklar artar üssel olarak yükselmekle birlikte anahtar boyutu doğrusal değil. ABD ihracat düzenlemelerine rağmen tarihsel olarak kısıtlanmış anahtar uzunlukları 56 bit'e simetrik anahtarlar (Örneğin. Veri Şifreleme Standardı ), bu kısıtlamalar artık yürürlükte değildir, bu nedenle modern simetrik algoritmalar genellikle hesaplama açısından daha güçlü 128 - 256 bit anahtarlar kullanır.

128 bitlik bir simetrik anahtarın kaba kuvvet saldırılarına karşı hesaplama açısından güvenli olduğuna dair fiziksel bir argüman var. Sözde Landauer sınırı fizik yasalarının ima ettiği bir hesaplama yapmak için gereken enerji için daha düşük bir sınır belirler. kT  · 2'de bir hesaplamada silinen bit başına T bilgi işlem cihazının sıcaklığı Kelvin, k ... Boltzmann sabiti, ve doğal logaritma yaklaşık 0.693'tür. Geri döndürülemez hiçbir bilgi işlem cihazı, prensipte bile bundan daha az enerji kullanamaz.[3] Bu nedenle, 128 bitlik bir simetrik anahtar için olası değerleri basitçe çevirmek için (bunu kontrol etmek için gerçek hesaplamayı yapmayı göz ardı ederek) teorik olarak, 2128 − 1 bit, geleneksel bir işlemcide çevirir. Hesaplamanın oda sıcaklığının (~ 300 K) yakınında gerçekleştiği varsayılırsa, Von Neumann-Landauer Sınırı gerekli enerjiyi ~ 10 olarak tahmin etmek için uygulanabilir.18 joule, bu 30 tüketmeye eşdeğerdir gigawatt bir yıl boyunca güç. Bu 30 × 10'a eşittir9 G × 365 × 24 × 3600 s = 9,46 × 1017 J veya 262,7 TWh (yıllık dünya enerji üretiminin yaklaşık% 0.1'i ). Tam gerçek hesaplama - bir çözüm bulunup bulunmadığını görmek için her anahtarı kontrol etmek - bu miktarın birçok katını tüketecektir. Dahası, bu basitçe anahtar alanda dolaşmak için gereken enerji; her biti çevirmek için gereken gerçek süre dikkate alınmaz, bu kesinlikle 0'dan büyük.

Bununla birlikte, bu argüman, kayıt değerlerinin, kaçınılmaz olarak üreten geleneksel set ve temizleme işlemleri kullanılarak değiştirildiğini varsayar. entropi. Hesaplamalı donanımın bu teorik engelle karşılaşmayacak şekilde tasarlanabileceği gösterilmiştir (bkz. tersine çevrilebilir bilgi işlem ), ancak böyle bir bilgisayarın inşa edildiği bilinmemektedir.[kaynak belirtilmeli ]

Modern GPU'lar donanım tabanlı şifre kırma ile ilişkili tekrarlayan görevler için çok uygundur

Devletin ticari halefleri olarak ASIC çözümler, aynı zamanda özel donanım saldırıları ortaya çıkan iki teknoloji, belirli şifrelerin kaba kuvvet saldırısında yeteneklerini kanıtladı. Biri modern Grafik İşleme Ünitesi (GPU) teknolojisi,[4][sayfa gerekli ] diğeri alanda programlanabilir kapı dizisi (FPGA) teknolojisi. GPU'lar geniş kullanılabilirlik ve fiyat-performans avantajlarından, FPGA'ler ise kriptografik işlem başına enerji verimliliğinden yararlanır. Her iki teknoloji de paralel işlemenin faydalarını kaba kuvvet saldırılarına taşımaya çalışıyor. Yüzlerce GPU durumunda, FPGA durumunda yaklaşık bin işlem birimi, parolaları kırmak için geleneksel işlemcilere göre çok daha uygun hale getiriyor. Kriptografik analiz alanlarındaki çeşitli yayınlar, günümüzün FPGA teknolojisinin enerji verimliliğini kanıtlamıştır, örneğin, KOPAKOBANA FPGA Küme bilgisayarı, tek bir PC (600 W) ile aynı enerjiyi tüketir, ancak belirli algoritmalar için 2.500 PC gibi performans gösterir. Bir dizi firma, tek bir FPGA'dan donanım tabanlı FPGA kriptografik analiz çözümleri sunar PCI Express özel FPGA bilgisayarlara kadar kart.[kaynak belirtilmeli ] WPA ve WPA2 şifreleme, iş yükünü geleneksel CPU'lara kıyasla 50 kat azaltarak başarılı bir şekilde kaba kuvvet saldırısına uğradı[5][6] ve FPGA'lar için yaklaşık yüz.

6 Xilinx Spartans içeren tek bir COPACOBANA kartı - bunlardan 20 taneden oluşan bir küme

AES 256 bitlik anahtarların kullanımına izin verir. Simetrik 256 bitlik bir anahtarı kaba kuvvetle kırmak 2 gerektirir128 128 bitlik bir anahtardan kat daha fazla hesaplama gücü. 2019'daki en hızlı süper bilgisayarlardan biri 100 hıza sahip petaFLOPS[7] teorik olarak 100 milyonu (1014) Saniyede AES anahtarı (kontrol başına 1000 işlem olduğu varsayılarak), ancak yine de 3.67 × 10 gerektirir55 256 bitlik anahtar alanını tüketmek için yıllar.

Bir kaba kuvvet saldırısının altında yatan varsayım, anahtarların tamamının anahtarlar oluşturmak için kullanılmasıdır, bu da etkili bir rastgele numara üreticisi ve algoritmada veya uygulamasında herhangi bir kusur olmadığını. Örneğin, başlangıçta kaba kuvvetle kırılmasının imkansız olduğu düşünülen birkaç sistem, yine de çatlak Çünkü anahtar boşluk İçlerinde entropi eksikliği nedeniyle arama yapmanın, başlangıçta düşünülenden çok daha küçük olduğu bulundu. sözde rasgele sayı üreteçleri. Bunlar arasında Netscape uygulaması SSL (ünlü Ian Goldberg ve David Wagner 1995'te[8]}}) ve a Debian /Ubuntu baskısı OpenSSL 2008'de kusurlu olduğu keşfedildi.[9] Benzer bir uygulanan entropi eksikliği, Enigma kodu.[10][11]

Kimlik bilgisi geri dönüşümü

Kimlik bilgisi geri dönüşümü, hacklemek önceki kaba kuvvet saldırılarında toplanan kullanıcı adı ve şifre kombinasyonlarını yeniden kullanma uygulaması. Kimlik bilgisi geri dönüşümünün özel bir biçimi esrarı geçmek, nerede tuzsuz karma kimlik bilgileri çalınır ve ilk önce kaba kuvvet uygulanmadan yeniden kullanılır.

Kırılmaz kodlar

Bazı şifreleme türleri matematiksel özellikleri nedeniyle kaba kuvvet tarafından yenilemez. Buna bir örnek Bir defalık ped kriptografi, nerede açık metin bit, gerçekten rastgele bir anahtar bit dizisinden karşılık gelen bir anahtara sahiptir. Bir kaba kuvvet saldırısına maruz kalan 140 karakterlik tek seferlik ped kodlu bir dize, sonunda doğru cevap dahil olmak üzere mümkün olan her 140 karakter dizisini ortaya çıkaracaktır - ancak verilen tüm yanıtlar arasında hangisinin doğru olduğunu bilmenin bir yolu olmayacaktır. bir. Böyle bir sistemi mağlup etmek, tıpkı Venona projesi, genellikle saf kriptografiye değil, uygulanmasındaki hatalara dayanır: tuş takımlarının gerçekten rastgele olmaması, yakalanan tuş takımları, hata yapan operatörler - veya diğer hatalar.[12]

Karşı önlemler

Saldırganın şifrelenmiş materyale erişiminin olduğu çevrimdışı bir saldırı durumunda, anahtar kombinasyonlarını keşif veya müdahale riski olmadan deneyebilir. Bununla birlikte, veritabanı ve dizin yöneticileri, örneğin bir parolanın denenebileceği girişimlerin sayısını sınırlayarak, ardışık denemeler arasında zaman gecikmeleri getirerek ve yanıtın karmaşıklığını artırarak (örn. CAPTCHA cevaplama veya cep telefonu ile gönderilen doğrulama kodu) ve / veya başarısız oturum açma girişimlerinden sonra hesapları kilitleme.[13][sayfa gerekli ] Web sitesi yöneticileri, belirli bir IP adresinin sitedeki herhangi bir hesaba karşı önceden belirlenmiş sayıda parola denemesinden fazlasını denemesini engelleyebilir.[14]

Ters kaba kuvvet saldırısı

İçinde ters kaba kuvvet saldırısı, tek (genellikle yaygın) bir parola birden çok kullanıcı adına veya şifrelenmiş dosyalara karşı test edilir.[15] İşlem, seçilmiş birkaç şifre için tekrar edilebilir. Böyle bir stratejide, saldırgan genellikle belirli bir kullanıcıyı hedeflemiyor, ancak o belirli şifre için bir kullanıcı adı kombinasyonunu bulmaya çalışıyor.

Araçlar

Brute-force saldırısı gerçekleştirebilecek birçok mevcut araç / yazılım olmasına rağmen, bunlar iki geniş bölüme ayrılabilir.Kaba kuvvet uygulayabilen bir takım araçlar ağ uygulamaları, FTP sunucular, SSH ve diğer web hizmetlerine erişim sağlamak için, şifrelenmiş dosyalar üzerinde kaba kuvvet uygulayabilen bazı araçlar, doğru anahtarı, şifreyi bulmak için el sıkışmaları var.

Kaba kuvvet saldırıları gerçekleştirebilen yazılımlar / araçlar

Ayrıca bakınız

Notlar

  1. ^ Paar, Pelzl ve Preneel 2010, s. 7.
  2. ^ "Brute Force Attack: Tanım ve Örnekler". www.kaspersky.com. 20 Ekim 2020. Alındı 8 Kasım 2020.
  3. ^ Landauer 1961, s. 183-191.
  4. ^ Graham 2011.
  5. ^ Kingsley-Hughes 2008.
  6. ^ Kamerling 2007.
  7. ^ "Kasım 2019 | TOP500 Süper Bilgisayar Siteleri". www.top500.org. Arşivlenen orijinal 19 Kasım 2019. Alındı 15 Mayıs, 2020.
  8. ^ Viega, Messier ve Chandra 2002, s. 18.
  9. ^ CERT-2008.
  10. ^ Ellis.
  11. ^ NSA-2009.
  12. ^ Reynard 1997, s. 86.
  13. ^ Burnett ve Foster 2004.
  14. ^ Ristic 2010, s. 136.
  15. ^ "InfoSecPro.com - Bilgisayar, ağ, uygulama ve fiziksel güvenlik danışmanları". www.infosecpro.com. Arşivlendi orjinalinden 4 Nisan 2017. Alındı 8 Mayıs 2018.

Referanslar

Dış bağlantılar