للمصادقة على موقع ويب ، تحتاج إلى توفير اسم مستخدم وكلمة مرور. يتحقق الموقع بعد ذلك من تفاصيل المصادقة التي قدمتها من خلال مقارنتها بالتفاصيل التي قام بتخزينها في قاعدة البيانات الخاصة به. في حالة تطابق التفاصيل ، يتم منح الوصول. إذا لم تتطابق التفاصيل ، فسيتم رفض الوصول.
لسوء الحظ ، تعد انتهاكات البيانات أمرًا شائعًا نسبيًا. يمكن أن تكون خروقات البيانات مشكلة كبيرة لأن أحد أجزاء البيانات الأكثر استهدافًا هي بيانات المستخدم ، وتحديداً قائمة أسماء المستخدمين وكلمات المرور. إذا تم تخزين كلمات المرور كما هي ، في نص عادي ، يمكن لأي شخص لديه حق الوصول إلى قاعدة البيانات الوصول إلى حساب أي مستخدم آخر. يبدو الأمر كما لو تم تسليمهم حلقة مفاتيح مع مفتاح كل باب في مبنى سكني.
بينما يُبذل الكثير من الجهد لمنع خروقات البيانات في المقام الأول ، يوصى باستراتيجية دفاع متعمقة. على وجه التحديد ، تنص نصائح الأمان على أنه يجب تجزئة كلمات المرور ، مع تخزين تجزئة كلمة المرور فقط. دالة التجزئة هي وظيفة أحادية الاتجاه تقوم دائمًا بتحويل نفس الإدخال إلى نفس الإخراج. حتى التغيير الطفيف في المدخلات ينتج مخرجات مختلفة تمامًا. بشكل حاسم ، لا توجد طريقة لعكس الوظيفة وإعادة التجزئة الناتجة إلى الإدخال الأصلي. ما يمكنك فعله ، مع ذلك ، هو تجزئة إدخال جديد ومعرفة ما إذا كان الناتج يطابق التجزئة المخزنة في قاعدة البيانات. إذا كنت تعرف أن كلمة المرور متطابقة ، دون معرفة كلمة المرور الفعلية على الإطلاق.
ومن المفيد أيضًا أن يعني هذا أنه إذا قام المهاجم باختراق قاعدة البيانات ، فلن يحصل على قائمة بكلمات المرور المفيدة على الفور ، فسيحصل على تجزئات بدلاً من ذلك. لتتمكن من استخدام هذه التجزئة ، يجب كسرها.
تكسير تجزئة كلمة المرور بالذكاء
تكسير تجزئة كلمة المرور هي عملية اكتشاف كلمة المرور الأصلية التي تمثلها التجزئة. لأنه لا توجد طريقة لعكس وظيفة التجزئة وتحويل التجزئة إلى كلمة المرور. الطريقة الوحيدة لاختراق التجزئة هي تخمين كلمة المرور. إحدى الطرق هي استخدام هجوم القوة الغاشمة. يتضمن هذا حرفياً تجربة كل كلمة مرور ممكنة. وهذا يعني البدء من "أ" ، ومحاولة كل حرف ، في كلتا الحالتين ، وكل رقم ورمز. ثم يحتاج المهاجم إلى تجربة كل التركيبات المكونة من حرفين ومجموعات مكونة من ثلاثة أحرف وما إلى ذلك. تكون الزيادة في المجموعات المحتملة من الأحرف أسية في كل مرة تضيف فيها حرفًا. هذا يجعل من الصعب تخمين كلمات المرور الطويلة بكفاءة حتى عند استخدام خوارزميات التجزئة السريعة مع منصات تكسير GPU القوية.
يمكن توفير بعض الجهد من خلال النظر في متطلبات كلمة المرور الخاصة بالموقع وعدم تجربة كلمات المرور التي قد تكون أقصر من أن يُسمح بها أو لا تحتوي على رقم ، على سبيل المثال. سيوفر هذا بعض الوقت ولا يزال يلائم فئة هجوم القوة الغاشمة مع محاولة جميع كلمات المرور المسموح بها. عندما تكون هجمات القوة الغاشمة بطيئة ، فإنها - إذا تركت لفترة كافية مع قدر كبير من قوة المعالجة - ستكسر في النهاية أي كلمة مرور حيث ستتم تجربة جميع المجموعات الممكنة.
مشكلة هجمات القوة الغاشمة هي أنهم ليسوا أذكياء للغاية. هجوم القاموس هو البديل الأكثر استهدافًا. بدلاً من مجرد تجربة أي كلمة مرور محتملة ، فإنه يحاول قائمة بكلمات المرور المحددة. يعتمد نجاح هذا النوع من الهجوم على قائمة كلمات المرور والقاموس المعني.
عمل تخمينات متعلمة
عادةً ما يتم إنشاء قواميس كلمات المرور من كلمات مرور تم اختراقها مسبقًا من خروقات البيانات الأخرى. يمكن أن تحتوي هذه القواميس على آلاف أو ملايين الإدخالات. يعتمد هذا على مفهوم أن الأشخاص سيئون في إنشاء كلمات مرور فريدة. تظهر الأدلة من خروقات البيانات أن هذا هو الحال أيضًا ، لسوء الحظ. لا يزال الأشخاص يستخدمون اختلافات في كلمة "كلمة المرور". الموضوعات الأخرى الشائعة هي الفرق الرياضية ، وأسماء الحيوانات الأليفة ، وأسماء الأماكن ، وأسماء الشركات ، وكره وظيفتك ، وكلمات المرور بناءً على التاريخ. يحدث هذا الأخير على وجه التحديد عندما يضطر الأشخاص إلى تغيير كلمات المرور الخاصة بهم بانتظام.
يقلل استخدام قاموس كلمات المرور بشكل كبير من عدد التخمينات التي يجب إجراؤها مقارنة بهجوم القوة الغاشمة. تميل قواميس كلمات المرور أيضًا إلى احتواء كل من كلمات المرور القصيرة والطويلة مما يعني أنه قد تتم تجربة بعض كلمات المرور التي لن يتم الوصول إليها حتى مع سنوات أو التخمين المفرط. النهج أثبت نجاحه أيضًا. تختلف الإحصائيات بناءً على اختراق البيانات وحجم وجودة القاموس المستخدم ولكن معدلات النجاح يمكن أن تتجاوز 70٪.
يمكن رفع معدلات النجاح إلى أبعد من ذلك باستخدام خوارزميات تشويه الكلمات. تأخذ هذه الخوارزميات كل كلمة في قاموس كلمات المرور ثم تقوم بتعديلها قليلاً. تميل هذه التعديلات إلى أن تكون بدائل قياسية للأحرف وإضافة أرقام أو رموز لاحقة. على سبيل المثال ، من الشائع أن يستبدل الأشخاص الحرف "e" بالحرف "3" والحرف "s" بالحرف "$" أو إضافة علامة تعجب في النهاية. تنشئ خوارزميات إدارة الكلمات نسخًا مكررة من كل إدخال في قاموس كلمات المرور. كل نسخة مكررة لها شكل مختلف من استبدالات الأحرف هذه. هذا يزيد بشكل كبير من عدد كلمات المرور للتخمين ويزيد أيضًا من معدل النجاح ، في بعض الحالات أعلى من 90٪.
خاتمة
هجوم القاموس هو تنوع مستهدف لهجوم القوة الغاشمة. بدلاً من محاولة كل تركيبات الأحرف الممكنة ، يتم اختبار مجموعة فرعية من مجموعات الأحرف. هذه المجموعة الفرعية عبارة عن قائمة بكلمات المرور التي تم العثور عليها مسبقًا وإذا لزم الأمر تم اختراقها في خروقات البيانات السابقة. هذا يقلل بشكل كبير من عدد التخمينات التي يجب إجراؤها أثناء تغطية كلمات المرور التي تم استخدامها من قبل ، وفي بعض الحالات ، يتم مشاهدتها كثيرًا. هجوم القاموس ليس له معدل نجاح مرتفع مثل هجوم القوة الغاشمة. ومع ذلك ، يفترض ذلك أن لديك وقتًا غير محدود وقوة معالجة غير محدودة. يميل هجوم القاموس إلى الحصول على معدل نجاح مرتفع بشكل لائق أسرع بكثير من هجوم القوة الغاشمة. هذا لأنه لا يضيع الوقت على مجموعات غير محتملة للغاية من الشخصيات.
أحد الأشياء الرئيسية التي يجب عليك فعلها عند الخروج بكلمة مرور هو التأكد من أنها لن تظهر في قائمة الكلمات. طريقة واحدة للقيام بذلك هي إنشاء كلمة مرور معقدة ، وطريقة أخرى هي إنشاء كلمة مرور طويلة. بشكل عام ، الخيار الأفضل هو إنشاء كلمة مرور طويلة تتكون من بضع كلمات. من المهم فقط ألا تكون هذه الكلمات عبارة فعلية كما يمكن تخمينها. يجب أن تكون غير مرتبطة تمامًا. يوصى باختيار كلمة مرور تزيد عن 10 أحرف مع 8 كحد أدنى.