מכירים את זה שאתם צריכים להכניס סיסמה לאתר חדש שאתם נרשמים אליו, והוא מבקש מכם סיסמה ארוכה עם צירופים של אותיות קטנות וגדולות, סימנים ומספרים? כן, משהו שבלתי אפשרי לזכור בעל פה. רגע לפני שאתם מתרגזים על הטרחה המיותרת – כדאי שתדעו שזה נועד למנוע פריצות מסוג Brute force attack, שנחשבות לקלות לביצוע. מה זה Brute force attack, כיצד זה מתבצע ואיך ניתן להתגונן?
מה זה Brute Force Attack?
התקפה זו מכונה "התקפה גסה" או "התקפה אלימה", והיא מבוצעת על שירות, אתר, תוכנה או אפליקציה וכדומה בניסיון לגלות את הסיסמה. הניסיון לגלות את הסיסמה יהיה על ידי הרצת קומבינציות. לדוגמה, אם הסיסמה מונה ארבע תווים ומורכבת מספרות בלבד, הפורץ יתחיל בהזנת הסיסמה 0000, ואחריה 0001 וכך הלאה. כפי שניתן להבין, מדובר במיליוני וטריליוני סיסמאות אפשריות, ולכן מדובר במתקפה איטית. לעיתים יידרשו לתוקף שעות, ימים וחודשים לגלות את הסיסמה, וזוהי גם אחת הסיבות לכך שאתרים רגישים מבקשים מאיתנו להחליף סיסמה אחת למספר שבועות או חודשים – בדיוק כדי למנוע מצב שבו מישהו עובד מאחורי הקלעים על גילוי הסיסמה שלנו. כדי להבין טוב יותר מה זה Brute force attack, אפשר להשוות את זה למנעול פיזי שנמצא, לדוגמה, על המזוודה שלנו. אם המנעול מורכב מ-4 ספרות, בין 0000 ל-9999, יידרשו לפורץ כמה שעות ואפילו יותר כדי לנסות את כל שילובי הספרות.
רוצים ללמוד כיצד להגן בפני מתקפות סייבר? לחצו כאן וקראו על לימודי אבטחת המידע שלנו ב INT
באילו מקרים התקיפה יכולה להתרחש?
- שימוש בסיסמאות ברירת מחדל שהמערכת מציעה, לדוגמה admin1
- שימוש באותה הסיסמה באתרים שונים – פייסבוק, אימייל, חשבון בנק וכדומה
- שימוש בסיסמה חלשה, כדוגמת 1234 או 1111
- סיסמאות הבנויות מתאריך לידה
- אחסון סיסמאות בצורה גלויה או שימוש ב Hash חלש
- כשלא מתבצע שימוש במנגנון Multi Factor Authentication
איך מתבצעת התקיפה?
המתקפה היא כמובן מתקפה אוטומטית וממחושבת, בה מריצים קוד שמנסה להתחבר לאתר באמצעות שילוב בין כל הסיסמאות האפשריות. במקרים בהם יש קצה חוט, לדוגמה כשהאדם לו פורצים השתמש בתאריך הלידה שלו, יהיה ניסיון להריץ את כל השילובים האפשריים בין השנים 1980-2000, מה שכמובן מקצר מאוד את התהליך עבור התוקף. אם אין קצה חוט ולא יודעים שום דבר על הסיסמה, מריצים את כל הסיסמאות האפשריות ומתחילים מהסיסמה הקצרה ביותר האפשרית. ברשת ישנן רשימות של סיסמאות נפוצות, ויש פורצים שמנסים קודם כל להזין אותן. במקרים מסוימים ייעשה ניסיון מוקדם כדי להכיר את הקיבולת של השרת.
איך ניתן להימנע מהמתקפה?
ישנן פעולות אותן המשתמש הפרטי יכול לבצע כשהוא בוחר סיסמה, ופעולות שמפתחי האתר צריכים לדאוג להן. לדוגמה, להגביל עבור כל משתמש את מספר קריאות ה-login שהוא יכול לבצע מדי יום, כלומר את מספר ניסיונות ההתחברות. במקביל, ובגלל שחלק מהפריצות אורכות הרבה מאוד זמן, ניתן להגביל את משך הזמן שניתן להחזיק בסיסמה אחת, כך שהמשתמשים יצטרכו להחליף סיסמה בכל X חודשים כדי להתחבר. מנגד, יש פעולות אותן המשתמשים יכולים לבצע, כדוגמת בחירת סיסמה חזקה וארוכה שמשלבת כמה שיותר תווים ומספרים. כדאי לדעת שברשת ישנן רשימות של סיסמאות נפוצות, כגון 100 הסיסמאות הנפוצות ביותר, 1000 הסיסמאות הנפוצות ביותר וגם 10,000 הנפוצות ביותר, ופעמים רבות פורצים מתחילים עם סיסמאות אלה. אפשרות נוספת להגנה היא להשתמש במנגנון Captcha של גוגל.
