ブルートフォース攻撃は理解するのはかなり簡単ですが、防御するのは困難です。 暗号化は数学です 、そしてコンピュータが数学でより速くなるにつれて、それらはすべての解決策を試し、どれが適合するかを見るのがより速くなります。
これらの攻撃は、さまざまな成功の度合いで、あらゆるタイプの暗号化に対して使用できます。ブルートフォース攻撃は、より新しく、より高速なコンピュータハードウェアがリリースされるにつれて、日を追うごとに、より速く、より効果的になります。
ブルートフォースの基本
ブルートフォース攻撃は簡単に理解できます。攻撃者は暗号化されたファイルを持っています—たとえば、 LastPass または KeePass パスワードデータベース。彼らは、このファイルに見たいデータが含まれていること、そしてファイルのロックを解除する暗号化キーがあることを知っています。それを解読するために、彼らは可能なすべてのパスワードを試し始め、それが解読されたファイルになるかどうかを確認することができます。
彼らはコンピュータプログラムでこれを自動的に行うので、利用可能なコンピュータハードウェアがどんどん速くなり、1秒あたりにより多くの計算を実行できるようになると、誰かがブルートフォース暗号化を実行できる速度が上がります。ブルートフォース攻撃は、2桁のパスワードに移行する前に、1桁のパスワードから開始する可能性が高く、1つが機能するまで、考えられるすべての組み合わせを試します。
「辞書攻撃」も同様であり、考えられるすべてのパスワードではなく、辞書内の単語（または一般的なパスワードのリスト）を試行します。多くの人がそのような弱くて一般的なパスワードを使用するので、これは非常に効果的です。
攻撃者がブルートフォースWebサービスを実行できない理由
オンラインとオフラインのブルートフォース攻撃には違いがあります。たとえば、攻撃者がGmailアカウントにブルートフォース攻撃を仕掛けたい場合、考えられるすべてのパスワードを試し始めることができますが、Googleはすぐにパスワードを遮断します。このようなアカウントへのアクセスを提供するサービスは、アクセスの試行を抑制し、何度もログインを試みるIPアドレスを禁止します。したがって、オンラインサービスに対する攻撃は、攻撃が停止されるまでに試行できる回数が非常に少ないため、うまく機能しません。
たとえば、ログインに数回失敗すると、GmailにCATPCHA画像が表示され、コンピュータが自動的にパスワードを試行していないことを確認します。十分な時間継続できれば、ログインの試行は完全に停止する可能性があります。
一方、攻撃者がコンピュータから暗号化されたファイルを盗んだり、オンラインサービスを侵害して、そのような暗号化されたファイルをダウンロードしたりしたとします。これで、攻撃者は自分のハードウェアに暗号化されたデータを持ち、自由に好きなだけパスワードを試すことができます。暗号化されたデータにアクセスできる場合、短期間に多数のパスワードを試すことを防ぐ方法はありません。強力な暗号化を使用している場合でも、データを安全に保ち、他のユーザーがデータにアクセスできないようにすることは有益です。
ハッシュ
強力なハッシュアルゴリズムは、ブルートフォース攻撃を遅らせることができます。基本的に、ハッシュアルゴリズムは、パスワードから派生した値をディスクに保存する前に、パスワードに対して追加の数学的作業を実行します。より遅いハッシュアルゴリズムが使用される場合、各パスワードを試すために数千倍の数学的作業が必要になり、ブルートフォース攻撃が劇的に遅くなります。ただし、必要な作業が多いほど、ユーザーがパスワードを使用してログインするたびに、サーバーまたは他のコンピューターが実行する必要のある作業が多くなります。ソフトウェアは、ブルートフォース攻撃に対する回復力とリソース使用量のバランスをとる必要があります。
ブルートフォーススピード
速度はすべてハードウェアに依存します。ビットコインマイナーがビットコインマイニング用に最適化された独自の専用ハードウェアを構築するのと同じように、諜報機関はブルートフォース攻撃専用の専用ハードウェアを構築する場合があります。消費者向けハードウェアに関して言えば、ブルートフォース攻撃に最も効果的なタイプのハードウェアはグラフィックカード（GPU）です。一度に多くの異なる暗号化キーを試すのは簡単なので、並行して実行される多くのグラフィックカードが理想的です。
2012年の終わりに、 ArsTechnicaが報告しました 25 GPUクラスターは、6時間以内に8文字未満のすべてのWindowsパスワードを解読する可能性があります。 Microsoftが使用したNTLMアルゴリズムは、十分な復元力がありませんでした。ただし、NTLMが作成されたときは、これらすべてのパスワードを試すのにはるかに長い時間がかかりました。これは、Microsoftが暗号化を強化するのに十分な脅威とは見なされていませんでした。
速度は向上しており、数十年のうちに、現在使用している最強の暗号化アルゴリズムや暗号化キーでさえ、量子コンピューターや将来使用するその他のハードウェアによってすぐに解読される可能性があることに気付くかもしれません。
ブルートフォース攻撃からデータを保護する
自分を完全に守る方法はありません。コンピュータハードウェアがどれだけ速くなるか、そして現在使用している暗号化アルゴリズムのいずれかに、将来発見されて悪用される弱点があるかどうかを言うことは不可能です。ただし、基本は次のとおりです。
- 暗号化されたデータは、攻撃者がアクセスできない場所で安全に保管してください。データをハードウェアにコピーしたら、自由にブルートフォース攻撃を試みることができます。
- インターネット経由でのログインを受け入れるサービスを実行する場合は、ログインの試行を制限し、短時間に多くの異なるパスワードでログインしようとするユーザーをブロックするようにしてください。サーバーソフトウェアは通常、これをすぐに実行できるように設定されています。これは、優れたセキュリティ慣行であるためです。
- SHA-512などの強力な暗号化アルゴリズムを使用します。解読しやすい既知の弱点を持つ古い暗号化アルゴリズムを使用していないことを確認してください。
- 長くて安全なパスワードを使用してください。 「パスワード」や人気の高い「ハンター2」を使用している場合、世界中のすべての暗号化テクノロジーが役立つわけではありません。
ブルートフォース攻撃は、データの保護、暗号化アルゴリズムの選択、およびパスワードの選択時に懸念されるものです。また、より強力な暗号化アルゴリズムを開発し続ける理由でもあります。暗号化は、新しいハードウェアによって無効になる速度に対応する必要があります。
画像クレジット： FlickrのJohanLarsson 、 ジェレミー・ゴズニー
