Brute Force Attack nedir?
Bir kaba kuvvet saldırısı, oturum açma bilgilerini, şifreleme anahtarlarını tahmin etmek veya gizli bir web sayfasını bulmak için deneme yanılma yöntemini kullanır. Bilgisayar korsanları, doğru tahmin etmeyi umarak olası tüm kombinasyonlar üzerinde çalışır.
Bu saldırılar, özel hesaplarınıza girmeye çalışmak için aşırı kuvvetli girişimler kullandıkları anlamına gelen ‘kaba kuvvet’ tarafından yapılır.
Bu eski bir saldırı yöntemidir, ancak bilgisayar korsanları arasında hala etkili ve popülerdir. Çünkü şifrenin uzunluğuna ve karmaşıklığına bağlı olarak, herhangi bir yerde kırılması birkaç saniye ila yıllarca sürebilir.
Bilgisayar korsanları Brute Force Attacks’tan ne kazanıyor?
Kaba kuvvet saldırganları, bu planların işe yaraması için biraz çaba sarf etmelidir. Teknoloji bunu kolaylaştırsa da, yine de şu soruyu sorabilirsiniz: Biri bunu neden yapsın?
Bilgisayar korsanları, çeşitli nedenlerle kaba kuvvet saldırıları gerçekleştirebilir.
Reklamlardan yararlanma veya etkinlik verilerini toplama. Bilgisayar korsanları, reklam komisyonları kazanmak için diğerlerinin yanı sıra bir web sitesini kullanabilir. Bunu yapmanın popüler yolları şunları içerir:
Ziyaretçiler tarafından bir reklam her tıklandığında veya görüntülendiğinde para kazanmak için çok seyahat edilen bir siteye spam reklamlar yerleştirmek.
Bir web sitesinin trafiğini görevlendirilmiş reklam sitelerine yeniden yönlendirmek.
Bir siteyi veya ziyaretçilerini etkinlik izleme kötü amaçlı yazılımıyla (genellikle casus yazılım) etkilemek . Veriler, pazarlamalarını geliştirmelerine yardımcı olmak için rızanız olmadan reklamverenlere satılır.
Kişisel verileri ve değerli eşyaları çalmak. Çevrimiçi hesaplara girmek, bir banka kasasını açmak gibi olabilir: banka hesaplarından vergi bilgilerine kadar her şey çevrimiçi olarak bulunabilir. Tek yapmanız gereken, bir suçlunun kimliğinizi, paranızı çalması veya kar için özel kimlik bilgilerinizi satması için doğru bir hırsızlıktır. Bazen, tüm kuruluşların hassas veritabanları, kurumsal düzeyde veri ihlallerine maruz kalabilir .
Kötü amaçlı yazılımları, uğruna kesintilere neden olacak şekilde yaymak. Bir bilgisayar korsanı sorun çıkarmak veya becerilerini geliştirmek isterse, bir web sitesinin trafiğini kötü amaçlı sitelere yönlendirebilir. Alternatif olarak, ziyaretçinin bilgisayarına yüklenecek gizli kötü amaçlı yazılım içeren bir siteye doğrudan bulaşabilirler.
Sisteminizi kötü niyetli faaliyetler için ele geçirmek. Bir makine yeterli olmadığında, bilgisayar korsanları çabalarını hızlandırmak için botnet adı verilen şüphesiz cihazlardan oluşan bir orduya başvurur . Kötü amaçlı yazılım, spam kimlik avı, gelişmiş kaba kuvvet saldırıları ve daha fazlası için bilgisayarınıza, mobil cihazınıza veya çevrimiçi hesaplarınıza sızabilir. Virüsten koruma sisteminiz yoksa, bulaşma riskiniz daha yüksek olabilir.
Bir web sitesinin itibarını zedelemek. Bir web sitesi yönetirseniz ve vandalizmin hedefi olursanız, bir siber suçlu sitenizi müstehcen içerikle istila etmeye karar verebilir. Bu, şiddet içeren, pornografik veya ırksal açıdan saldırgan nitelikte metin, resim ve ses içerebilir.
Brute Force Attack Türleri
Her kaba kuvvet saldırısı, hassas verilerinizi ortaya çıkarmak için farklı yöntemler kullanabilir. Aşağıdaki popüler kaba kuvvet yöntemlerinden herhangi birine maruz kalabilirsiniz:
Basit kaba kuvvet saldırıları: Bilgisayar korsanları, yazılım araçlarından veya diğer araçlardan tamamen yardım almadan kimlik bilgilerinizi mantıksal olarak tahmin etmeye çalışır. Bunlar son derece basit şifreleri ve PIN‘leri ortaya çıkarabilir. Örneğin, “misafir12345” olarak ayarlanmış bir şifre .
Sözlük saldırıları: standart bir saldırıda, bir bilgisayar korsanı bir hedef seçer ve bu kullanıcı adına karşı olası parolaları çalıştırır. Bunlar sözlük saldırıları olarak bilinir. Sözlük saldırıları, kaba kuvvet saldırılarında en temel araçtır. Kendi başlarına kaba kuvvet saldırıları olmamakla birlikte, bunlar genellikle şifre kırma için önemli bir bileşen olarak kullanılır. Bazı bilgisayar korsanları, kısaltılmamış sözlüklerden geçerler ve özel karakterler ve rakamlarla sözcükleri artırır veya özel sözcük sözlükleri kullanır, ancak bu tür sıralı saldırılar zahmetlidir.
Hibrit kaba kuvvet saldırıları: Bu bilgisayar korsanları, bir hırsızlık girişiminde bulunmak için mantıksal tahminleriyle dış araçları harmanlıyor. Hibrit saldırı genellikle sözlük ve kaba kuvvet saldırılarını karıştırır. Bu saldırılar, yaygın kelimeleri rastgele karakterlerle karıştıran birleşik parolaları bulmak için kullanılır. Bu tür bir kaba kuvvet saldırısı örneği, NewYork1993 veya Spike1234 gibi şifreleri içerir .
Ters kaba kuvvet saldırıları: Adından da anlaşılacağı gibi, ters kaba kuvvet saldırısı, bilinen bir parolayla başlayarak saldırı stratejisini tersine çevirir. Daha sonra bilgisayar korsanları, bir eşleşme bulana kadar milyonlarca kullanıcı adını ararlar. Bu suçluların çoğu, mevcut veri ihlallerinden çevrimiçi olarak ulaşılabilen sızdırılmış parolalarla başlar.
Kimlik bilgisi doldurma: Bir bilgisayar korsanı bir web sitesi için çalışan bir kullanıcı adı-şifre kombinasyonuna sahipse, bunu başka tonlarca da deneyeceklerdir. Kullanıcıların birçok web sitesinde oturum açma bilgilerini yeniden kullandıkları bilindiğinden, bu tür bir saldırının özel hedefi onlardır.
Araçlar Yardım Kaba Kuvvet Girişimleri
Belirli bir kullanıcı veya site için bir şifre tahmin etmek uzun zaman alabilir, bu nedenle bilgisayar korsanları işi daha hızlı yapmak için araçlar geliştirmiştir.
Otomatik araçlar kaba kuvvet saldırılarına yardımcı olur. Bunlar, olası her parolayı oluşturmak ve bunları kullanmaya çalışmak için oluşturulmuş hızlı tahmin yöntemini kullanır. Brute force hacking yazılımı, bir saniye içinde tek bir sözlük parolası bulabilir.
Bunun gibi araçlar, aşağıdakileri yapmak için programlanmış geçici çözümlere sahiptir:
Birçok bilgisayar protokolüne karşı çalışın (FTP, MySQL, SMPT ve Telnet gibi)
Bilgisayar korsanlarının kablosuz modemleri kırmasına izin verin.
Zayıf şifreleri belirleyin
Şifreli depoda şifrelerin şifresini çözün.
Kelimeleri leetspeak’e çevirin – örneğin “don’thackme”, “d0n7H4cKm3” olur.
Tüm olası karakter kombinasyonlarını çalıştırın.
Sözlük saldırıları gerçekleştirin.
Bazı araçlar , bilinen hash fonksiyonlarının girdileri ve çıktıları için ön hesaplamalı gökkuşağı tablolarını tarar . Bu “karma işlevler”, parolaları uzun, sabit uzunlukta harf ve sayı dizilerine çevirmek için kullanılan algoritma tabanlı şifreleme yöntemleridir. Başka bir deyişle, gökkuşağı tabloları, süreci hızlandırmak için kaba kuvvet saldırısının en zor kısmını kaldırır.
GPU Kaba Kuvvet Girişimlerini Hızlandırıyor
Brute force şifre yazılımını çalıştırmak için tonlarca bilgisayar beyin gücüne ihtiyaç vardır. Ne yazık ki, bilgisayar korsanları işin bu bölümünü çok daha kolay hale getirmek için donanım çözümleri geliştirdiler.
CPU ve grafik işleme birimini (GPU) birleştirmek, bilgi işlem gücünü hızlandırır. İşlem için GPU’ya binlerce bilgi işlem çekirdeği ekleyerek, bu, sistemin aynı anda birden fazla görevi yerine getirmesini sağlar. GPU işleme; analitik, mühendislik ve diğer bilgi işlem yoğun uygulamalar için kullanılır. Bu yöntemi kullanan bilgisayar korsanları, parolaları tek başına bir CPU’dan 250 kat daha hızlı kırabilir.
Peki bir parolayı kırmak ne kadar sürer? Perspektif olarak ifade etmek gerekirse, sayıları içeren altı karakterli bir şifrenin yaklaşık 2 milyar olası kombinasyonu vardır. Saniyede 30 parola deneyen güçlü bir CPU ile kırmak iki yıldan fazla sürer. Tek, güçlü bir GPU kartı eklemek, aynı bilgisayarın saniyede 7.100 parolayı test etmesine ve 3,5 günde parolayı kırmasına olanak tanır.
Profesyoneller için Parolaları Korumaya Yönelik Adımlar
Kendinizi ve ağınızı güvende tutmak için, önlemlerinizi almak ve başkalarının da bunu yapmasına yardımcı olmak isteyeceksiniz. Kullanıcı davranışı ve ağ güvenlik sistemlerinin ikisinin de güçlendirilmesi gerekecektir.
BT uzmanları ve benzer şekilde kullanıcılar için, birkaç genel tavsiyeye önem vermelisiniz:
Gelişmiş bir kullanıcı adı ve şifre kullanın. Bu saldırganları uzak tutmak için admin ve password1234’ten daha güçlü kimlik bilgileriyle kendinizi koruyun . Bu kombinasyon ne kadar güçlüyse, herhangi birinin ona nüfuz etmesi o kadar zor olacaktır.
Üst düzey izinlere sahip kullanılmayan hesapları kaldırın. Bunlar, içeri girmeyi kolaylaştıran zayıf kilitli kapıların siber eşdeğeridir. Bakımsız hesaplar, riske atamayacağınız bir güvenlik açığıdır. Onları mümkün olan en kısa sürede atın.
Temel bilgileri edindikten sonra, güvenliğinizi artırmak ve kullanıcıları dahil etmek isteyeceksiniz .
Arka uçta neler yapabileceğinizle başlayacağız, ardından güvenli alışkanlıkları desteklemek için ipuçları vereceğiz.
Parolalar için Pasif Arka Uç Korumaları
Yüksek şifreleme oranları: kaba kuvvet saldırılarının başarıya ulaşmasını zorlaştırmak için sistem yöneticileri, sistemleri için şifrelerin 256 bit şifreleme gibi mümkün olan en yüksek şifreleme oranlarıyla şifrelenmesini sağlamalıdır. Şifreleme şemasında ne kadar çok bit olursa, parolanın kırılması o kadar zor olur.
Karmayı tuzlayın: Yöneticiler, parolanın kendisine rastgele bir harf ve sayı dizisi (salt olarak adlandırılır) ekleyerek parola karmalarını rasgele seçmelidir. Bu dizge ayrı bir veritabanında saklanmalı ve hashing uygulanmadan önce parolaya eklenmeli ve eklenmelidir. Hash’i tuzlayarak, aynı şifreye sahip kullanıcılar farklı hash değerlerine sahip olurlar.
İki faktörlü kimlik doğrulama (2FA): Buna ek olarak, yöneticiler iki adımlı kimlik doğrulamayı zorunlu kılabilir ve kaba kuvvet saldırılarını algılayan bir saldırı tespit sistemi kurabilir. Bu, kullanıcıların fiziksel bir USB anahtarı veya parmak izi biyometri taraması gibi ikinci bir faktörle oturum açma girişimini takip etmesini gerektirir .
Oturum açma yeniden deneme sayısını sınırlayın : Deneme sayısını sınırlandırmak, kaba kuvvet saldırılarına karşı duyarlılığı da azaltır. Örneğin, kullanıcıyı birkaç dakika kilitlemeden önce doğru parolayı girmek için üç denemeye izin vermek, önemli gecikmelere neden olabilir ve bilgisayar korsanlarının daha kolay hedeflere ilerlemesine neden olabilir.
Aşırı oturum açma girişimlerinden sonra hesap kilitleme: Bir bilgisayar korsanı geçici bir kilitlemeden sonra bile parolaları sonsuz bir şekilde yeniden denemeye devam ederse, tekrar denemek için geri dönebilir. Hesabı kilitlemek ve kullanıcının kilit açma için BT ile iletişim kurmasını istemek, bu etkinliği caydıracaktır. Kısa kilitleme zamanlayıcıları kullanıcılar için daha uygundur, ancak kolaylık bir güvenlik açığı olabilir. Bunu dengelemek için, kısa olandan sonra aşırı başarısız oturum açma varsa, uzun vadeli kilitlemeyi kullanmayı düşünebilirsiniz.
Tekrarlanan oturum açma işlemlerinin kısılma hızı: Her bir oturum açma denemesi arasında boşluk oluşturarak saldırganın çabalarını daha da yavaşlatabilirsiniz. Bir giriş başarısız olduğunda, bir zamanlayıcı, kısa bir süre geçene kadar girişi reddedebilir. Bu, gerçek zamanlı izleme ekibinizin bu tehdidi tespit etmesi ve durdurmak için çalışması için gecikme süresi bırakacaktır. Beklemeye değmezse bazı bilgisayar korsanları denemeyi bırakabilir.
Tekrarlanan oturum açma denemelerinden sonra gerekli Captcha: manuel doğrulama, robotların verilerinize zorla girmesini engeller. Captcha, bir görüntüdeki metni yeniden yazmak, bir onay kutusunu kontrol etmek veya resimlerdeki nesneleri tanımlamak dahil olmak üzere birçok türde gelir. Ne kullanırsanız kullanın, bunu ilk oturum açma işleminden önce ve her başarısız denemeden sonra daha fazla koruma için kullanabilirsiniz.
Bilinen saldırganları engellemek için bir IP kara listesi kullanın. Bu listenin, onu yönetenler tarafından sürekli olarak güncellendiğinden emin olun.
Şifreler için Aktif BT Desteği Korumaları
Şifre eğitimi: kullanıcı davranışı şifre güvenliği için önemlidir. Kullanıcıları, parolalarını takip etmelerine yardımcı olacak güvenli uygulamalar ve araçlar konusunda eğitin. Kaspersky Password Manager gibi hizmetler , kullanıcıların karmaşık, hatırlanması zor parolalarını yapışkan notlara güvenli olmayan bir şekilde yazmak yerine şifreli bir “kasaya” kaydetmelerine olanak tanır. Kullanıcılar, kolaylık sağlamak için güvenliklerinden ödün verme eğiliminde olduklarından, kendilerini güvende tutacak uygun araçları ellerine koymalarına yardımcı olduğunuzdan emin olun.
Garip etkinlik için hesapları gerçek zamanlı olarak izleyin: Garip oturum açma konumları, aşırı oturum açma girişimleri vb. Olağandışı etkinliklerdeki eğilimleri bulmaya çalışın ve olası saldırganları gerçek zamanlı olarak engellemek için önlemler alın. Hesap etkinliğinin yasal olup olmadığını (şüpheli görünüyorsa) belirlemek için IP adresi engellemelerine, hesap kilitlenmesine ve kullanıcılarla iletişime geçin.
Kullanıcılar Kaba Kuvvet Saldırılarına Karşı Şifreleri Nasıl Güçlendirebilir?
Bir kullanıcı olarak, dijital dünyadaki korumanızı desteklemek için çok şey yapabilirsiniz. Şifre saldırılarına karşı en iyi savunma, şifrelerinizin olabildiğince güçlü olmasını sağlamaktır.
Kaba kuvvet saldırıları, şifrenizi kırmak için zamana dayanır. Dolayısıyla, amacınız şifrenizin bu saldırıları olabildiğince yavaşlattığından emin olmaktır, çünkü ihlalin faydalı olması çok uzun sürerse… çoğu bilgisayar korsanı pes edecek ve yoluna devam edecektir.
İşte bunu yapmanın birkaç yolu:
Çeşitli karakter türlerine sahip daha uzun parolalar. Mümkün olduğunda kullanıcılar, semboller veya rakamlar içeren 10 karakterli şifreler seçmelidir. Bunu yapmak 171,3 kentilyon (1,71 x 1020) olasılık yaratır. Saniyede 10,3 milyar karma deneyen bir GPU işlemcisi kullanarak parolayı kırmak yaklaşık 526 yıl sürecektir. Yine de, bir süper bilgisayar birkaç hafta içinde onu kırabilir. Bu mantıkla, daha fazla karakter eklemek, şifrenizin çözülmesini daha da zorlaştırır.
Ayrıntılı parolalar. Tüm siteler bu kadar uzun parolaları kabul etmez, bu da tek sözcükler yerine karmaşık parolalar seçmeniz gerektiği anlamına gelir. Sözlük saldırıları, özellikle tek kelime öbekleri için oluşturulmuştur ve bir ihlali neredeyse zahmetsiz hale getirir. Parolalar – birden çok sözcük veya bölümden oluşan parolalar – ekstra karakterler ve özel karakter türleri ile serpilmelidir.
Parolalarınızı oluşturmak için kurallar oluşturun. En iyi şifreler, hatırlayabildiğinizdir, ancak bunları okuyan başka kimseye bir anlam ifade etmeyecektir. Parola yolunu seçerken, yalnızca sizin için anlamlı olan bir dize oluşturmak için “ahşap” ı “wd” ile değiştirmek gibi kesilmiş sözcükler kullanmayı düşünün. Diğer örnekler, sesli harfleri düşürmeyi veya her kelimenin yalnızca ilk iki harfini kullanmayı içerebilir.
Sık kullanılan şifrelerden uzak durun. En yaygın parolalardan kaçınmak ve bunları sık sık değiştirmek önemlidir.
Kullandığınız her site için benzersiz şifreler kullanın. Kimlik bilgilerini doldurmanın kurbanı olmaktan kaçınmak için parolayı asla tekrar kullanmamalısınız. Güvenliğinizi bir üst seviyeye çıkarmak istiyorsanız, her site için de farklı bir kullanıcı adı kullanın. Sizinkilerden biri ihlal edilirse diğer hesapların ele geçirilmesini önleyebilirsiniz.
Bir şifre yöneticisi kullanın. Bir parola yöneticisi kurmak, çevrimiçi oturum açma bilgilerinizi oluşturmayı ve takip etmeyi otomatikleştirir. Bunlar, önce şifre yöneticisine giriş yaparak tüm hesaplarınıza erişmenizi sağlar. Ardından, ziyaret ettiğiniz tüm siteler için son derece uzun ve karmaşık parolalar oluşturabilir, bunları güvenli bir şekilde saklayabilir ve yalnızca tek bir ana parolayı hatırlamanız gerekir.