辞書攻撃とは？

Web サイトで認証するには、ユーザー名とパスワードを提供する必要があります。次に、サイトは、提供された認証の詳細を、データベースに保存されている詳細と比較して確認します。詳細が一致すると、アクセスが許可されます。詳細が一致しない場合、アクセスは拒否されます。

残念ながら、データ侵害は比較的頻繁に発生しています。最も一般的に標的とされるデータのビットの 1 つはユーザーデータ、特にユーザー名とパスワードのリストであるため、データ侵害は大きな問題になる可能性があります。パスワードがプレーンテキストでそのまま保存されている場合、データベースにアクセスできる人は誰でも他のユーザーのアカウントにアクセスできます。アパートのすべてのドアの鍵が入ったキーリングを渡されたかのようです。

そもそもデータ侵害を防止するために多くの努力が払われていますが、多層防御の戦略が推奨されています。具体的には、セキュリティに関するアドバイスでは、パスワードのハッシュのみを保存して、パスワードをハッシュする必要があるとしています。ハッシュ関数は、常に同じ入力を同じ出力に変換する一方向関数です。ただし、入力を少し変更するだけで、まったく異なる出力が生成されます。重大なことに、関数を逆にして、出力されたハッシュを元の入力に戻す方法はありません。ただし、できることは、新しい入力をハッシュし、出力がデータベースに保存されているハッシュと一致するかどうかを確認することです。実際のパスワードを知らなくても、パスワードが一致したことがわかっている場合。

これは、攻撃者がデータベースに侵入した場合に、すぐに役立つパスワードのリストを取得するのではなく、代わりにハッシュを取得することも意味します。これらのハッシュを使用できるようにするには、クラックする必要があります。

Smarts を使用したパスワードハッシュのクラッキング

パスワードハッシュのクラッキングは、ハッシュが表す元のパスワードが何であるかを解明するプロセスです。ハッシュ関数を逆にしてハッシュをパスワードに変換する方法がないためです。ハッシュをクラックする唯一の方法は、パスワードを推測することです。1 つの方法は、ブルートフォース攻撃を使用することです。これには文字通り、考えられるすべてのパスワードを試すことが含まれます。つまり、「a」から始めて、すべての文字、両方のケース、およびすべての数字と記号を試すことを意味します。次に、攻撃者はすべての 2 文字の組み合わせ、3 文字の組み合わせなどを試す必要があります。文字の可能な組み合わせの増加は、文字を追加するたびに指数関数的に増加します。これにより、強力な GPU クラッキングリグで高速ハッシュアルゴリズムが使用されている場合でも、長いパスワードを効率的に推測することが困難になります。

サイトのパスワード要件を確認し、短すぎて許可されないパスワードや数字を含まないパスワードなどを使用しないようにすることで、多少の労力を節約できます。これにより、時間を節約できますが、許可されたすべてのパスワードを試すブルートフォース攻撃のクラスに収まります。ブルートフォース攻撃は低速ですが、多くの処理能力で十分長く放置された場合、考えられるすべての組み合わせが試行されるため、最終的にパスワードをクラックします。

ブルートフォース攻撃の問題は、あまり賢くないことです。辞書攻撃は、より標的を絞った亜種です。可能なパスワードを試すだけでなく、指定されたパスワードのリストを試します。このタイプの攻撃の成功は、パスワードのリストと問題の辞書に依存します。

知識に基づく推測

通常、パスワードディクショナリは、他のデータ侵害でクラックされたパスワードから作成されます。これらの辞書には、数千または数百万のエントリが含まれる場合があります。これは、人は一意のパスワードを作成するのが苦手だという考えに基づいています。残念ながら、データ侵害からの証拠は、これも事実であることを示しています. 人々はまだ「パスワード」という単語のバリエーションを使用しています。その他の一般的なトピックは、スポーツチーム、ペットの名前、地名、会社名、仕事への嫌悪感、日付に基づくパスワードです。この最後の問題は、ユーザーが定期的にパスワードを変更する必要がある場合に特に発生する傾向があります。

パスワードディクショナリを使用すると、ブルートフォース攻撃と比較して、必要な推測の数が大幅に減少します。また、パスワード辞書には、短いパスワードと長いパスワードの両方が含まれる傾向があるため、何年もかかったり、力ずくで推測したりしても到達できないパスワードが試行される可能性があります。このアプローチも成功を収めています。統計は、データ侵害と使用された辞書のサイズと品質によって異なりますが、成功率は 70% を超える可能性があります。

ワードマングリングアルゴリズムを使用すると、成功率をさらに高めることができます。これらのアルゴリズムは、パスワードディクショナリの各単語を取得し、それを少し変更します。これらの変更は、標準的な文字の置換と末尾の数字または記号の追加である傾向があります。たとえば、文字「e」を「3」に、「s」を「$」に置き換えたり、最後に感嘆符を追加したりすることは一般的です。ワードマングリングアルゴリズムは、パスワードディクショナリ内の各エントリの複製を作成します。各複製には、これらの文字置換の異なるバリエーションがあります。これにより、推測するパスワードの数が大幅に増加し、成功率も向上し、場合によっては 90% を超えます。

結論

辞書攻撃は、ブルートフォース攻撃の標的を絞った攻撃です。すべての可能な文字の組み合わせを試すのではなく、文字の組み合わせのサブセットがテストされます。このサブセットは、以前に発見され、必要に応じて過去のデータ侵害でクラックされたパスワードのリストです。これにより、以前に使用され、場合によっては頻繁に見られるパスワードをカバーしながら、推測する回数が大幅に減少します。辞書攻撃の成功率は、ブルートフォース攻撃ほど高くありません。ただし、これは時間と処理能力が無制限であることを前提としています。辞書攻撃は、ブルートフォース攻撃よりもはるかに速く、かなり高い成功率を達成する傾向があります。これは、非常にありそうもない文字の組み合わせで時間を無駄にしないためです。

パスワードを考え出すときにすべき主なことの 1 つは、単語リストに表示されないようにすることです。そのための 1 つの方法は、複雑なパスワードを作成することです。もう 1 つの方法は、長いパスワードを作成することです。一般的に、最良のオプションは、いくつかの単語で構成された長いパスワードを作成することです。推測される可能性があるため、これらの単語が実際のフレーズを作成しないことが重要です。それらは完全に無関係であるべきです。10 文字を超えるパスワードを選択することをお勧めします。絶対最小値は 8 文字です。