ブルートフォースアタックとは？

非常に技術的で洗練されたハッキングがたくさんあります。名前から推測できるかもしれませんが、総当り攻撃はそれだけではありません。それは、それらを無視する必要があると言っているわけではありません。洗練されていませんが、非常に効果的です。十分な時間と処理能力があれば、ブルートフォース攻撃は常に 100% の成功率になるはずです。

サブクラス

オンライン攻撃とオフライン攻撃の 2 つの主要なサブクラスがあります。オンラインのブルートフォース攻撃には、必ずしもインターネットが関与しているわけではありません。代わりに、実行中のシステムを直接標的とする攻撃のクラスです。オフライン攻撃は、攻撃を受けているシステムとやり取りする必要なく実行できます。

しかし、システムを攻撃せずにシステムを攻撃するにはどうすればよいでしょうか? データ侵害には、漏えいしたユーザー名とパスワードのリストが含まれていることがよくあります。ただし、セキュリティに関するアドバイスでは、パスワードをハッシュ形式で保存することを推奨しています。これらのハッシュは、正しいパスワードを推測することによってのみクラックできます。残念ながら、ハッシュのリストが公開されているため、攻撃者はリストをダウンロードして、自分のコンピューターで解読を試みることができます。十分な時間と処理能力があれば、影響を受けるサイトに接続する前に、有効なユーザー名とパスワードのリストを 100% 確実に知ることができます。

比較すると、オンライン攻撃は Web サイトに直接ログインしようとします。これは非常に遅くなるだけでなく、見ようとするシステム所有者なら誰でも気付くはずです。そのため、攻撃者は通常、オフラインのブルートフォース攻撃を好んで使用します。ただし、場合によってはできない場合もあります。

ブルートフォース認証情報

理解するのが最も簡単なクラスであり、最も一般的な脅威は、ログインの詳細を総当たり攻撃することです。このシナリオでは、攻撃者は文字通り可能な限り多くのユーザー名とパスワードの組み合わせを試して、何が機能するかを確認します。上で説明したように、オンラインブルートフォース攻撃では、攻撃者はログインフォームにユーザー名とパスワードの組み合わせをできるだけ多く入力しようとするだけです。この種の攻撃により、大量のトラフィックが生成され、ログイン試行の失敗エラーが発生します。システム管理者は、攻撃者をブロックするための措置を講じる可能性があります。

オフラインのブルートフォース攻撃は、パスワードハッシュのクラッキングを中心に展開します。このプロセスは文字通り、考えられるすべての文字の組み合わせを推測するという形をとります。十分な時間と処理能力があれば、任意のハッシュスキームを使用して任意のパスワードを正常にクラックできます。ただし、パスワードハッシュ用に設計された最新のハッシュスキームは「低速」になるように設計されており、通常は数十ミリ秒かかるように調整されています。これは、膨大な処理能力があっても、かなり長いパスワードを解読するには何十億年もかかることを意味します。

ハッカーは、ほとんどのパスワードをクラックする確率を高めるために、代わりに辞書攻撃を使用する傾向があります。これには、一般的に使用されている、または以前にクラックされたパスワードのリストを試して、現在のセットに既に見られているものがあるかどうかを確認することが含まれます。すべてに一意で長く複雑なパスワードを使用するというセキュリティアドバイスにもかかわらず、辞書攻撃のこの戦略は通常、パスワードの約 75 ～ 95% をクラッキングすることに非常に成功しています。この戦略は依然として多くの処理能力を必要とし、ブルートフォース攻撃の一種であり、標準的なブルートフォース攻撃よりもわずかに標的を絞っています。

その他の種類のブルートフォース攻撃

ブルートフォースを使用する方法は他にもたくさんあります。一部の攻撃では、デバイスまたはシステムへの物理的なアクセスを試みます。通常、攻撃者はそれを隠そうとします。たとえば、こっそりと携帯電話を盗もうとしたり、錠前を盗もうとしたり、アクセス制御されたドアを通ってテールゲートを通過したりします。これらに対するブルートフォースの代替手段は、実際の物理的な力を使用して、非常に文字通りになる傾向があります。

場合によっては、秘密の一部が知られる可能性があります。ブルートフォース攻撃を使用して、残りを推測できます。たとえば、クレジットカード番号の数桁が領収書に印刷されることがよくあります。攻撃者は、完全なカード番号を計算するために、他の番号の可能なすべての組み合わせを試す可能性があります。これが、ほとんどの数字が空白になっている理由です。たとえば、最後の 4 桁はカードを識別するのに十分ですが、攻撃者が残りのカード番号を推測できる可能性は十分ではありません。

DDOS 攻撃は、ブルートフォース攻撃の一種です。これらは、標的のシステムのリソースを圧倒することを目的としています。どのリソースであるかは問題ではありません。それは、CPU パワー、ネットワーク帯域幅、またはクラウド処理の価格上限に達している可能性があります。DDOS 攻撃は文字通り、被害者を圧倒するのに十分なネットワークトラフィックを送信するだけです。実際には何も「ハッキング」しません。

結論

ブルートフォース攻撃は、運、時間、および労力に頼るタイプの攻撃です。ブルートフォース攻撃にはさまざまな種類があります。それらの一部には、パスワードクラッキングソフトウェアなど、実行するためのやや高度なツールが含まれる場合がありますが、攻撃自体は洗練されたものではありません。ただし、ブルートフォース攻撃がペーパータイガーであるという意味ではありません。この概念は非常に効果的です。