در دنیای امروز امنیت و جلوگیری از پاک شدن اطلاعات یکی از مهم‌ترین چالش‌ها برای افراد و سازمان‌ها است؛ یکی از اصلی‌ترین و مهم‌ترین تهدیداتی که علیه امنیت اطلاعات وجود دارد، حملات سایبری است. در دنیای دیجیتال یکی از مهم‌ترین عناصری که می‌تواند در تأمین امنیت اطلاعات نقش بسیار مهمی ایفا کند، گذرواژه است. گذرواژه مانند یک کلید عمل می‌کند که با استفاده از آن می‌توان به حساب‌های آنلاین، داده‌های شخصی، برنامه‌های غیر متمرکز و الگوریتم‌های رمزنگاری ورود کرد. اما اگر فردی بتواند به گذرواژه فرد دیگری دسترسی پیدا کند چه اتفاقی رخ خواهد داد؟ یک روش رایج حمله هکرها به کامپیوتر از طریق پیدا کردن گذرواژه انجام می‌شود که به حمله جستجوی فراگیر یا بروت فورس معروف است.
حمله بروت فورس چیست؟
حمله بروت فورس (Brute Force) یا حمله جستجوی فراگیر (Exhaustive Search) که به عنوان حمله غیر هوشمندانه نیز شناخته می‌شود، یک نوع حمله سایبری است که در آن همه حالات ممکن برای رسیدن به جواب نهایی مورد بررسی قرار می‌گیرد. در واقع این حمله یک نوع آزمون و خطا است که به منظور پیدا کردن اطلاعات جهت ورود غیر مجاز به سیستم‌ها انجام می‌شود.
در این روش رایج حمله هکرها به کامپیوتر، به جای استفاده از یک استراتژی حساب شده، از همه ترکیبات و احتمالات ممکن برای حدس گذرواژه استفاده می‌شود. این روش مانند سرقت از یک خانه با یک دسته کلید بزرگ است که سارق نمی‌داند کدام کلید می‌تواند درب خانه را باز کند و مجبور است به نوبت همه کلیدها را امتحان کند تا بالاخره یکی از آن‌ها قفل درب را باز کند.
در لغت عبارت Brute Force به معنای به‌روز است و به این موضوع اشاره می‌کند که همه ترکیبات ممکن را برای پیدا کردن ترکیب صحیح گذرواژه و ورود به حساب کاربری افراد امتحان می‌کند. این حملات بر پایه آزمون و خطا انجام می‌شوند که همین امر باعث شده لقب حمله غیرهوشمندانه به آن داده شود.
با اینکه حملات بروت فورس در ظاهر ساده هستند، اما با توجه به روش انجام، فرایند پیدا کردن گذرواژه در آن بسیار زمان‌بر است. در این حملات که بسیار رایج است، هکر از یک سری ابزارهای خودکار به منظور امتحان کردن گذرواژه‌های مختلف استفاده می‌کند؛ تحت این شرایط باز هم بسته به نوع رمزنگاری، ممکن است زمان زیادی صرف انجام این کار شود.
در صورتی که اشخاص یا سازمان گذرواژه ضعیفی برای سیستم یا حساب خود انتخاب کرده باشند،این حمله به چند ثانیه زمان بیشتر نیاز نخواهد داشت. به همین منظور و جهت جلوگیری از پاک شدن اطلاعات، سازمان‌ها از ترکیب گذرواژه‌های پیچیده برای رمزنگاری سیستم‌ها استفاده می‌کنند تا زمان مورد نیاز در حمله بروت فورس را طولانی‌تر کرده و به محض اطلاع از آن زمان لازم برای خنثی کردن آن را در اختیار داشته باشند.
حمله بروت فورس چگونه انجام می‌شود؟
حمله بروت فورس یک روش رایج حمله هکرها به کامپیوتر است که در آن هکر از تکنیک‌هایی مختلف برای پیدا کردن گذرواژه استفاده می‌کند. یکی از رایج‌ترین روش‌ها برای این کار استفاده از نرم‌افزارهای خودکار و قدرت پردازش بالای کامپیوتر است که بتوانند درخواست‌های زیاد و متنوع به سیستم هدف ارسال کنند.
یک گذرواژه ساده 4 کاراکتری را تصور کنید؛ برای حدس این گذرواژه 62 به توان 4 حالت یعنی 14،776،336 ترکیب ممکن وجود دارد. در صورتی که گذرواژه 6 کاراکتری باشد این احتمال به بیش از 56 میلیارد ترکیب می‌رسد. اگر رباتی داشته باشید که در هر ثانیه یک ترکیب را امتحان کند، بیش از 1803 سال برای امتحان کردن همه این ترکیبات زمان نیاز خواهد بود. به همین دلیل هکر به کامپیوتر با قدرت پردازش مرکزی و گرافیکی بالا نیاز دارد که بتوان در هر ثانیه میلیون‌ها ترکیب ممکن را مورد بررسی قرار دهد.
حمله بروت فورس چه انواعی دارد؟
هکرها به منظور دسترسی به حساب‌های کاربری و سیستم‌ها از طریق رمز عبور، از انواع حمله بروت فورس استفاده می‌کنند. در ادامه با انواع رایج این روش رایج حمله هکرها به کامپیوتر آشنا می‌شویم.
حمله بروت فورس ساده
این حملات که با نام حمله بروت فورس مستقیم نیز شناخته می‌شود، بدون الگو، قالب، دیکشنری یا الگوریتم خاصی توسط هکر اجرا شده و در آن تمام ترکیبات احتمالی به صورت تصادفی و ترتیبی برای پیدا کردن گذرواژه امتحان می‌شود. این روش حمله بروت فورس برای گذرواژه‌های ساده و کوتاه مناسب است زیرا برای گزینه‌های طولانی‌تر به زمان و منابع زیادی نیاز خواهد داشت.
حمله دیکشنری
در حملات دیکشنری (Dictionary attacks) فهرستی از گذرواژه‌های رایج یا مرتبط با هدف وجود دارد که با استفاده از آن برای پیدا کردن رمز عبور اقدام می‌شود. به عنوان مثال اگر فردی 123456 را به عنوان رمز عبور انتخاب کرده باشد، با توجه به بر اساس بررسی وب‌سایت کسپرسکی این گذرواژه در بیش از 37 میلیون حمله نقش شده است، برای جلوگیری از پاک شدن اطلاعات و دسترسی غیر مجاز به آن‌ها مناسب نبوده و بدون شک در تمام دیکشنری‌های موجود برای حمله بروت فورس وجود دارد.
حمله بروت فورس معکوس
در مورد حمله بروت فورس معکوس (Reverse brute force attacks) باید گفت که این حمله درست در نقطه مقابل حمله ساده قرار دارد. در این حمله هکر از گذرواژه‌های رایج یا مرتبط با هدف برای پیدا کردن رمز عبور استفاده می‌کند. از این حملات می‌توان در سرویس‌هایی استفاده کرد که تعداد زیادی نام کاربری داشته و گذرواژه‌های ضعیف را قبول می‌کنند. فهرست گذرواژه‌های رایج که افشا شده است به راحتی در دسترس بوده و می‌توان از آن برای مطابقت دادن با میلیون‌ها کاربر استفاده کرد. بدون شک یکی از این گذرواژه‌ها با یکی از نام‌های کاربری جور شده و هکر می‌تواند به اطلاعات حساب کاربری یا سیستم دسترسی پیدا کند. به همین دلیل است که توصیه می‌شود برای جلوگیری از پاک شدن اطلاعات و دسترسی غیر مجاز به آن‌ها از گذرواژه‌های سخت و طولانی استفاده شود.
حمله دست‌کاری اعتبارنامه‌های دیجیتال
حملات دست‌کاری یا پرکردن اعتبارنامه‌های دیجیتالی (Credential Stuffingیک روش رایج حمله هکرها به کامپیوتر است در آن هکر از نام کاربری و رمز عبوری که در حملات سایبری قبلی به دست آورده استفاده کرده و تلاش می‌کند به حساب‌های کاربری یا سیستم همان فرد دسترسی پیدا کند. بسیاری از کاربران معمولا از یک ترکیب نام کاربر و گذرواژه استفاده می‌کنند یا از یک الگوی خاص برای ایجاد حساب کاربری در پلتفرم‌های مختلف تبعیت می‌کنند. بهترین طمه در این نوع حمله، همین افراد هستند. ایین نوع حمله بروت فورس معمولا توسط ربات‌ها و ابزارهای خودکار انجام می‌شود که بتوانند درخواست‌های زیاد و متنوع را به وب‌سایت هدف ارسال کنند.
حمله بروت فورس هیبریدی
حملات بروت فورس هیبریدی (Hybrid brute force attacks، نوعی از حمله است که با استفاده از فهرستی از گذرواژه‌های رایج یا مرتبط با هدف انجام می‌شود. در این روش هکر فقط به فهرست اکتفا نکرده و ترکیب‌های جدید و پیچیده‌تر را با اعمال یک سری تغییرات بر روی فهرست امتحان می‌کند.
جمع‌بندی
در دنیای امروز اطلاعات و سیستم‌ها در معرض تهدیدات سایبری متعددی قرار دارند که همین امر جلوگیری از پاک شدن اطلاعات و دسترسی غیرمجاز به آن‌ها را به چالش بزرگی تبدیل کرده است. یک روش رایج حمله هکرها به کامپیوتر، حمله بروت فورس نام دارد که در آن هکر به روش‌های مختلف سعی می‌کند با پیدا کردن گذرواژه حساب کاربری یا سیستم به اطلاعات موجود در آن دسترسی پیدا کرده و از آن‌ها سوء استفاده کند.