Атака по словарю

В криптоанализе и компьютерной безопасности атака по словарю — это атака с использованием ограниченного подмножества пространства ключей для взлома механизма шифра или аутентификации путем попытки определить его ключ дешифрования или парольную фразу , иногда перебирая тысячи или миллионы вероятных возможностей. часто получают из списков прошлых нарушений безопасности.

Техника

Атака по словарю основана на проверке всех строк в заранее составленном списке. В таких атаках первоначально использовались слова, найденные в словаре (отсюда и фраза « атака по словарю» ); однако сейчас в открытом Интернете доступны гораздо более крупные списки, содержащие сотни миллионов паролей, восстановленных в результате прошлых утечек данных. Существует также программное обеспечение для взлома, которое может использовать такие списки и создавать распространенные варианты, например, заменять цифры похожими буквами . Атака по словарю пробует только те возможности, которые считаются наиболее вероятными для успеха. Атаки по словарю часто бывают успешными, поскольку многие люди склонны выбирать короткие пароли, представляющие собой обычные слова или общие пароли; или варианты, полученные, например, путем добавления цифры или знака пунктуации. Атаки по словарю часто бывают успешными, поскольку многие часто используемые методы создания паролей включены в доступные списки в сочетании с генерацией шаблонов программного обеспечения для взлома. Более безопасный подход — случайным образом сгенерировать длинный пароль (15 или более букв) или парольную фразу из нескольких слов с помощью программы -менеджера паролей или ввести пароль вручную.

Атака по заранее вычисленному словарю/атака по радужной таблице

Можно достичь компромисса между временем и пространством , предварительно вычислив список хешей словарных слов и сохранив его в базе данных, используя хэш в качестве ключа . Это требует значительного времени на подготовку, но позволяет быстрее выполнить реальную атаку. Требования к хранилищу для заранее рассчитанных таблиц когда-то были большой статьей расходов, но теперь они не являются такой проблемой из-за низкой стоимости дискового хранилища . Предварительно рассчитанные атаки по словарю особенно эффективны, когда необходимо взломать большое количество паролей. Предварительно рассчитанный словарь необходимо сгенерировать только один раз, а по его завершении хэши паролей можно будет просмотреть практически мгновенно в любое время, чтобы найти соответствующий пароль. Более усовершенствованный подход предполагает использование радужных таблиц , которые уменьшают требования к хранению за счет немного более длительного времени поиска. См. LM-хэш , где приведен пример системы аутентификации, скомпрометированной такой атакой.

Предварительно рассчитанные атаки по словарю, или «атаки по радужным таблицам», можно предотвратить с помощью salt — метода, который заставляет пересчитывать хэш-словарь для каждого искомого пароля, что делает предварительные вычисления невозможными, при условии, что количество возможных значений соли не превышает достаточно большой.

Программное обеспечение для атаки по словарю

• Каин и Авель
• Трескаться
• Aircrack-нг
• Джон Потрошитель
• L0phtCrack
• Проект Метасплоит
• Офкрак
• Криптоол

См. также

• Атака грубой силой
• Сбор адресов электронной почты
• Межконтинентальный словарь , лингвистическая онлайн-база данных.
• Функция вывода ключей
• Ключевая растяжка
• Взлом пароля
• Надежность пароля

Внешние ссылки

• RFC 2828 – Глоссарий по интернет-безопасности
• RFC 4949 – Глоссарий по интернет-безопасности, версия 2
• Секретная служба США применила атаку по распределенному словарю на пароль подозреваемого, защищающий ключи шифрования
• Тестирование на грубую силу (OWASP-AT-004). Архивировано 14 января 2020 г. на Wayback Machine.