安全小课堂丨什么是暴力破解？如何防止暴力破解
什么是暴力破解？暴力破解也可称为穷举法、罗列法，是一种比力盛行的密码破译方法，也就是将密码进行一一推算直到找出精确的密码为止。比如一个6位而且全部由数字构成的密码，可能有100万种组合，也就是说最多需要尝试100万次才气找到精确的密码，但也有可能尝试反复后就能找出精确的密码。从理论上来说，只要字典足够庞大，罗列总是能够成功的，也就是说任何密码都能被破解，只是时间的问题。
https://img-blog.csdnimg.cn/direct/8cb0fddbb533487e9945ff35d688ca83.png
而暴力破解也是一种常见的网络安全攻击方法，它使用计算机步伐自动尝试大量的密码组合来破解密码。这种攻击方法通常用于获取未经授权的访问权限，如入侵网络系统或个人账户。
暴力破解的原理
暴力破解使用计算机步伐自动化地生成可能的密码组合，并将其提交到目的系统进行验证。
这种攻击方法基于以下几个假设：
密码是由字符集合构成的：密码通常由字母、数字和符号构成，因此暴力破解步伐将根据这些字符集合生成所有可能的密码组合。
密码长度是有限的：由于密码长度有限，暴力破解步伐可以尝试所有可能的密码组合，直到找到精确的密码为止。
密码是可预测的：在某些情况下，密码可能是根据常见的模式或规律生成的，因此暴力破解步伐可以使用这些规律来更快地破解密码。
https://img-blog.csdnimg.cn/direct/48f13bf107644f6686eb24cf65047bbb.png
黑客通过暴力破解攻击能得到什么？
使用暴力破解的攻击者必须付出一些努力才气让阴谋得逞。固然技术的进步确实让这种攻击实施起来更容易，但您仍有可能会问：为什么有人会这样做？
以下是黑客通过暴力破解攻击可以获得的好处：
[*]通过广告或收集活动数据来获利
[*]窃取个人数据和贵重物品
[*]传播恶意软件，造成破坏
[*]劫持您的系统，进行恶意活动
[*]破坏网站声誉
通过广告或收集活动数据来获利。
黑客可以与其他人一起使用网站赚取广告佣金。常用的方法包罗：
[*]在流量大的网站上投放垃圾广告，每次访客点击或检察这些广告时，他们都能赚钱。
[*]将网站的流量重新路由到受委托的广告网站。
[*]使用活动跟踪恶意软件（通常是间谍软件）感染网站或其访客的装备。未经您同意便将您的数据出售给广告商以帮助其改善营销状态。
窃取个人数据和贵重物品。
入侵在线账户就像打开银行保险库：从银行账户到税务信息，一切都可以在网上找到。对于犯罪分子来说，只需成功入侵一次，即可窃取您的身份信息、款项，大概出售您的私家根据以非法牟利。有时，企业级数据泄露会导致整个组织的敏感数据库暴暴露来。
传播恶意软件，只为造成破坏。
如果黑客想要制造贫苦或训练技能，他们可能会将正规网站的流量重定向到恶意网站，也可能会使用安装在访客电脑上的隐藏恶意软件来直接感染网站。
劫持您的系统，进行恶意活动。
当一台机器不敷用时，为了加速攻击速率，黑客会控制一组受害者装备，构建一个僵尸网络。恶意软件会渗透进您的电脑、移动装备或在线账户，实施垃圾邮件钓鱼和暴力破解攻击等活动。如果您未安装反病毒系统，被感染的风险会更大。
破坏网站声誉。
如果您运营一个网站并成为恶意破坏的目的，网络犯罪分子可能会决定在您的网站上投放淫秽内容。这可能包罗暴力、色情或种族歧视性质的文字、图像和音频。
暴力破解攻击的范例
每次暴力破解攻击都会使用差别的方法来窃取您的敏感数据。您可能会遇到以下任何一种常见的暴力破解方法：
[*]简单的暴力破解攻击
[*]字典式攻击
[*]混合暴力破解攻击
[*]反向暴力破解攻击
[*]撞库攻击
简单的暴力破解攻击：黑客试图在完全不借助软件工具或其他手段的情况下，从逻辑上猜测您的根据。这类攻击可以破解极其简单的密码和 PIN 码。比方，设置为“guest12345”的密码。
字典式攻击：在标准攻击中，黑客会选择一个目的，并针对该用户名运行可能的密码。这些方法被称为字典式攻击。字典式攻击是最基本的暴力破解攻击方法。固然这类攻击本身不肯定是暴力破解攻击，但通常被用作破解密码的一个重要手段。一些黑客会整个运行未经删减的词典，并在单词中增加特殊字符和数字，大概使用特殊的单词词典，但这种范例的序次攻击非常繁琐。
混合暴力破解攻击：黑客将外部手段与本身合乎逻辑的猜测相结合，试图入侵目的账户。混合攻击通常是将字典式攻击和暴力破解攻击结合起来。这类攻击被用于破解由常见单词与随机字符组合而成的密码。像 NewYork1993 或 Spike1234 这样的密码就属于这种性质的暴力破解攻击。
反向暴力破解攻击：顾名思义，反向暴力破解攻击将攻击策略反向实行，从已知密码开始。然后，黑客会搜索数百万个用户名，直至找到匹配的那一个。使用这种手段的很多犯罪分子都是从因数据泄露而被公布到网上的密码开始的。
撞库攻击：如果黑客知道了一个网站的用户名和密码组合，他们也会用这个组合在很多其他网站上尝试。很多用户习惯在很多差别的网站上重复使用雷同的登录信息，因而容易沦为这种攻击的专属目的。
https://img-blog.csdnimg.cn/direct/b872abee41fe4d599235f6ab8e80d72e.png
使用工具进行暴力破解
猜测特定用户或网站的密码可能需要很长时间，因此，黑客开发出了工具以更快完成这一任务。
自动化工具为暴力破解攻击提供了有效辅助。这种工具可以快速实行猜测步伐，旨在创建所有可能的密码并尝试使用它们。暴力破解软件能在一秒内破解由一个字典单词构成的密码。
这些工具中都编入了变通方法，以便：
[*]妨碍多种计算机协议（如 FTP、MySQL、SMPT 和 Telnet）
[*]让黑客可以破解无线调制解调器。
[*]辨认弱密码
[*]解密加密存储中的密码。
[*]将单词转换为黑客语，比方，“don'thackme”变成“d0n7H4cKm3”。
[*]运行所有可能的字符组合。
[*]实施词典式攻击。
有些工具会扫描预计算的彩虹表，以获取已知散列函数的输入和输出。这些“散列函数”是基于算法的加密方法，可以将密码转换为较长且长度固定的字母和数字序列。换句话说，彩虹表去除了暴力破解攻击中最难的部分，加速了攻击过程。
GPU 加速暴力破解尝试
运行暴力破解密码的软件需要大量算力。不幸的是，黑客已经找到了硬件解决方案，使这部分工作变得更加容易。
CPU 和图形处理单元 (GPU) 结合使用可加速计算速率。通过将数千个计算核心添加到 GPU 中实行处理操纵，系统能够同时处理多个任务。GPU 处理用于分析、工程和其他计算麋集型应用。黑客使用这种方法破解密码的速率比单独使用 CPU 要快 250 倍。
那么，破解一个密码需要多长时间？比方，由 6 个字符构成、包罗数字的密码约莫有 20 亿种可能的组合。功能强盛的 CPU 每秒可尝试 30 个密码，破解它需要两年以上。如果在这台计算机上添加一块强盛的 GPU 卡，每秒就能尝试 7,100 个密码，只需 3.5 天就能破解该密码。
如何防止暴力破解？
为了保护本身和网络的安全，您需要采取预防措施并帮助他人也这样做。用户举动和网络安全系统都需要加强。
无论是 IT 专家还是普通用户，都需要牢记以下几条一般建议：
[*]使用高级用户名和密码。为了有效抵御攻击，应使用比 admin 和 password1234 强度更高的根据来保护本身。这种组合的强度越高，破解难度就越大。
[*]删除任何闲置不用的高权限账户。这些账户在网络上相当于锁很容易撬开的大门。账户不维护就会形成漏洞，将您置于风险之中。应尽快删除这些账户。
一旦您把握了基本知识，您就会想要加强本身的安全，同时也让用户这样去做。
我们将从您可以在后端实行的操纵开始，然后向您分享培养安全习惯的建议。
https://img-blog.csdnimg.cn/direct/35d328e2e71e400b87606d4114b9c5c9.png
使用被动式后端防护措施来保护密码
高加密率：要使暴力破解攻击更难成功，系统管理员应确保其系统密码的加密方法使用尽可能最高的加密率，比方 256 位加密。加密方案中的位数越多，密码就越难破解。
在散列中加盐：管理员还应该在密码本身中添加一个随机的字母和数字字符串（称为盐），以使密码散列实现随机化。此字符串应存储在一个单独的数据库中，并在散列之前检索并添加到密码中。通过在散列中加盐，用户就能通过雷同的密码实现差别的散列。
双重身份验证 (2FA)：别的，管理员还可以要求进行双重身份验证，而且安装入侵检测系统以检测暴力破解攻击。这需要用户使用第二个身份验证因子来跟踪登录尝试，如物理 USB 密钥或指纹生物辨认扫描。
限定登录重试次数：限定尝试登录的次数也可以降低遭到暴力破解攻击的风险。比方，要求在三次尝试内输入精确的密码，否则将用户锁定几分钟，这样会造成明显的延迟，使黑客转向更容易得手的目的。
多次登录尝试后锁定账户：如果黑客可以无限定地继续重试密码，即使在短暂锁定之后，他们也可以再次尝试。锁定账户并要求用户联系 IT 团队进行解锁，可以阻止黑客的举动。短暂锁定对用户来说更方便，但方便可能意味着漏洞。为了达到均衡，如果短暂锁定后尝试失败次数过多，您可以考虑使用恒久锁定。
限定重复登录的速率：您可以通过在每次登录尝试之间设置肯定的间隔，进一步减慢攻击者的攻击速率。一旦登录失败，计时器可以拒绝登录，经过一小段时间再答应重试。这让您的实时监控团队能够有时间发现并采取措施来阻止这种威胁。如果不值得等待，一些黑客可能会停止尝试。
重复登录尝试后需要验证码：手动验证可阻止机器人通过暴力破解窃取您的数据。验证码有多种范例，包罗重新输入图像中的文字、选中复选框或辨认图片中的对象。您可以在首次登录之前和每次登录尝试失败之后，使用任意范例的验证码来加强保护。
使用 IP 黑名单阻止已知的攻击者。确保管理人员持续更新此名单。
使用自动式 IT 支持防护措施来保护密码
密码安全宣传教育：用户举动对密码安全至关重要。对用户进行安全实践和工具方面的宣传教育，帮助他们管理好本身的密码。由于用户每每为图方便而不顾安全，因此肯定要帮助他们学会使用方便的工具来保护本身的安全。
实时监控账户以发现异常活动：奇怪的登录位置、过多的登录尝试等等。试着找出异常活动的趋势，并采取措施实时阻止任何潜在攻击者。注意 IP 地址阻止情况、账户锁定，并联系用户以确定账户活动是否合法（如果看起来可疑）。
用户如何加强密码以抵御暴力破解攻击
作为用户，您可以采取很多措施来加强在数字世界中的自我保护。抵御密码攻击的最好方法是尽可能提高密码的强度。
暴力破解密码需要时间。因此，您的目的是确保本身的密码尽可能延伸这些攻击得逞所需的时间，因为所需时间太长而不值得，大多数黑客便会放弃攻击并转向其他目的。
以下是加强密码以抵御暴力破解攻击的几种方法：
设置包罗差别字符范例的较长密码。如果有可能，用户应选择 10 个字符的密码，而且包罗符号或数字。这样会产生 171.3 个一百万的三次方 (1.71 x 1020) 种可能性。如果使用 GPU 处理器每秒尝试 103 亿个散列值，破解密码约莫需要 526 年。然而，超级计算机可以在几周内完成破解。按照这种逻辑，密码包罗的字符越多，破解难度就越大。
复杂的密码短语。但是，并非所有网站都接受这么长的密码，因此用户应该选择复杂的密码短语，而不是单个单词。字典式攻击专门针对单个单词的短语构建，险些不费吹灰之力就可以破解。密码短语是由多个单词或片段构成的密码，应在此中参加额外字符和特殊的字符范例。
密码的创建规则。最安全的密码是那些您本身能记住但别人看不懂的密码。在使用密码短语时，请考虑使用截短词，比如用“wd”代替“wood”，从而创建出一个只有您本身才气理解的字符串。还可以去掉单词中的元音字母或只使用每个单词的前两个字母来创建密码短语。
不要选择常用密码。重要的是制止使用最常见的密码，而且经常更改。
为您使用的每个网站设置唯一密码。为了制止成为撞库攻击的受害者，切勿重复使用密码。要提高安全品级，可以针对每个网站设置差别的用户名，这样即使一个账户被入侵，也可以防止其他账户受到攻击。
使用密码管理器。安装密码管理器可以自动创建并跟踪您的在线登录信息。只要先登录密码管理器，即可访问所有账户。这样一来，您就可以针对本身访问的所有网站创建极长且复杂的密码，而且安全地存储，而您只需要记住密码管理器的一个密码就够了。
总之，暴力破解是一种非常危险的攻击方式，可以对个人、企业和组织造成严峻的后果。为了保护本身免受暴力破解攻击，我们应该采取一系列的安全措施，比方使用强密码、多因素身份验证和网络安全装备，以及实施访问控制策略和安全培训和意识提高活动。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]