Zatímco hesla zůstávají první linií obrany při ochraně uživatelských účtů před neoprávněným přístupem, metody pro vytváření silných hesel a jejich ochranu se neustále vyvíjejí. Například doporučení NIST nyní upřednostňují délku hesla před jeho složitostí. Hashování však zůstává nepostradatelné. I dlouhé a bezpečné přístupové fráze by měly být hashovány, aby se zabránilo jejich úplnému odhalení v případě úniku dat – a nikdy by neměly být ukládány v prostém textu.
Tento článek zkoumá, jak dnešní kyberútočníci zkoušejí prolomit hashovaná hesla, zabývá se běžnými hashovacími algoritmy a jejich omezeními a diskutuje o opatřeních, která můžete přijmout k ochraně svých hashovaných hesel bez ohledu na použitý algoritmus.
Moderní techniky prolomení hesel
Kyberútočníci mají k dispozici řadu nástrojů a metod pro prolomení hashovaných hesel. Mezi nejčastěji používané metody patří útoky hrubou silou, útoky pomocí slovníků, hybridní útoky a útoky s maskou.
Útoky hrubou silou
Útok hrubou silou zahrnuje nadměrné a systematické pokusy o získání přístupu k účtu metodou pokus-omyl. Kyberútočníci používají specializované nástroje k systematickému testování variací hesel, dokud nenajdou funkční kombinaci. Ačkoli nejsou tyto útoky sofistikované, jsou vysoce účinné díky softwaru na prolomení hesel a výkonnému hardwaru, jako jsou grafické procesory (GPU).
Útoky pomocí slovníků
Jak název napovídá, útok pomocí slovníku systematicky čerpá slova ze slovníku, aby metodou hrubé síly testoval variace hesel, dokud nenajde funkční kombinaci. Obsah slovníku může zahrnovat běžná slova, specifické seznamy slov a jejich kombinace, stejně jako odvozeniny a permutace s alfanumerickými a nealfanumerickými znaky (např. nahrazení „a“ za „@“). Tyto útoky mohou také obsahovat dříve uniklá hesla nebo klíčové fráze z úniků dat.
Hybridní útoky
Hybridní útok kombinuje metody hrubé síly a slovníkových útoků, aby dosáhl větší flexibility a účinnosti. Například útočník může použít seznam slovníkových hesel běžně používaných uživateli a kombinovat je s technikami, které zahrnují číselné a nealfanumerické znaky.
Útoky s maskou
V některých případech mohou útočníci znát specifické vzory nebo parametry/požadavky hesel. Tato znalost jim umožňuje použít útoky s maskou, které snižují počet iterací a pokusů při prolomení hesla. Útoky s maskou využívají hrubou sílu k testování hesel, která odpovídají konkrétnímu vzoru (např. osm znaků, začíná velkým písmenem a končí číslem nebo speciálním znakem).
Jak hashovací algoritmy chrání před metodami prolomení hesel
Hashovací algoritmy jsou základním prvkem mnoha bezpečnostních aplikací, od monitorování integrity souborů po digitální podpisy a ukládání hesel. Ačkoli to není neomylná bezpečnostní metoda, hashování je mnohem lepší než ukládání hesel v prostém textu. Díky hashovaným heslům můžete zajistit, že i když kyberútočníci získají přístup k databázím hesel, nebudou je moci snadno přečíst nebo zneužít.
Hashování výrazně ztěžuje útočníkům prolomení hesel, protože činí tento proces časově a zdrojově náročným, což útočníky často odradí a přiměje je zaměřit se na snadnější cíle.
Mohou hackeři prolomit hashovací algoritmy?
Protože hashovací algoritmy jsou jednosměrné funkce, jedinou metodou, jak kompromitovat hashovaná hesla, je použití technik hrubé síly. Kyberútočníci používají speciální hardware, jako jsou GPU, a software na prolomení hesel (např. Hashcat, L0phtcrack, John The Ripper), aby mohli provádět útoky hrubou silou ve velkém měřítku – obvykle miliony nebo miliardy kombinací najednou.
I s těmito sofistikovanými nástroji na prolomení hesel se doba prolomení může dramaticky lišit v závislosti na konkrétním použitém hashovacím algoritmu a délce/kombinaci znaků hesla. Například dlouhá a složitá hesla mohou trvat tisíce let, než budou prolomena, zatímco krátká a jednoduchá hesla mohou být prolomena okamžitě.
MD5
MD5 byl kdysi považován za průmyslově silný hashovací algoritmus, ale nyní je považován za kryptograficky nedostatečný kvůli různým bezpečnostním zranitelnostem. Přesto zůstává jedním z nejpoužívanějších hashovacích algoritmů. Například populární CMS WordPress stále používá MD5 jako výchozí algoritmus, což představuje přibližně 43,7 % webů poháněných CMS.
S dostupnými GPU a softwarem na prolomení hesel mohou útočníci okamžitě prolomit číselná hesla o délce 13 znaků nebo méně zabezpečená 128bitovým hashem MD5. Na druhou stranu, 11znakové heslo složené z čísel, velkých/malých písmen a symbolů by trvalo prolomit 26,5 tisíce let.
SHA256
Hashovací algoritmus SHA256 patří do skupiny funkcí Secure Hash Algorithm 2 (SHA-2), které navrhla Národní bezpečnostní agentura (NSA) a vydal Národní institut pro standardy a technologie (NIST). Jako aktualizace vadného algoritmu SHA-1 je SHA256 považován za robustní a vysoce bezpečný algoritmus vhodný pro dnešní bezpečnostní aplikace.
Při použití s dlouhými a složitými hesly je SHA256 téměř neproniknutelný metodami hrubé síly – 11znakové heslo hashované pomocí SHA256, které obsahuje čísla, velká/malá písmena a symboly, trvá prolomit 2052 let pomocí GPU a softwaru na prolomení hesel. Na druhou stranu, útočníci mohou okamžitě prolomit devítiznaková hesla hashovaná pomocí SHA256, která obsahují pouze čísla nebo malá písmena.
Bcrypt
Bezpečnostní experti považují SHA256 i bcrypt za dostatečně silné hashovací algoritmy pro moderní bezpečnostní aplikace. Na rozdíl od SHA256 však bcrypt posiluje svůj hashovací mechanismus použitím saltingu – přidáním náhodného kousku dat ke každému hashovanému heslu, aby byla zajištěna jeho jedinečnost. Bcrypt tak činí hesla vysoce odolnými vůči slovníkovým nebo hrubým útokům. Navíc bcrypt používá faktor nákladů, který určuje počet iterací algoritmu. Tato kombinace saltingu a faktoru nákladů činí bcrypt extrémně odolným vůči slovníkovým a hrubým útokům.
Kyberútočník by potřeboval 27 154 let na prolomení osmiznakového hesla složeného z čísel, velkých/malých
Zdroj: The Hacker News
Zdroj: IT SECURITY NETWORK NEWS
