Útok hrubou silou, v odborné terminologii označovaný jako brute force, patří k nejstarším a nejjednodušším metodám, které útočníci používají k získání neoprávněného přístupu k účtům. Jde v podstatě o systematické zkoušení velkého množství různých kombinací znaků, dokud systém útočníkovi neumožní přihlášení.
Jak funguje brute force v praxi
Při brute force útoku využívají útočníci automatizované nástroje, které za ně zkoušejí tisíce nebo miliony variant za velmi krátký čas. Útočník se nespoléhá na štěstí, ale na hrubý výpočetní výkon. Nejčastěji se setkáváme s metodou zkoušení všech možných kombinací písmen, čísel a symbolů, nebo se slovníkovým útokem. V druhém případě útočník nezkouší náhodné znaky, ale seznamy běžně používaných hesel, jako jsou jména, data narození nebo slova jako heslo123.
Od cíleného útoku po password spraying
Útočníci volí různé strategie podle toho, čeho chtějí dosáhnout. Klasický brute force útok se zaměřuje na jeden konkrétní účet a zkouší na něj tisíce různých kombinací. Naopak technika zvaná password spraying je opačná - útočník vezme jedno nebo několik velmi častých hesel a zkouší je na tisíce různých uživatelských účtů. Tato metoda je velmi účinná, pokud uživatelé podceňují bezpečnost, a navíc ji lze snadněji skrýt před automatickým blokováním systému, protože na každý účet připadá jen jeden pokus.
Proč na délce hesla záleží víc než na znacích
Mnoho uživatelů se domnívá, že stačí proložit krátké heslo jedním symbolem nebo velkým písmenem. Z pohledu počítačových algoritmů je však mnohem důležitější celková délka hesla. Čím více znaků heslo má, tím více kombinací musí útočník prověřit, což činí útok neefektivním. Místo složitých a krátkých řetězců, které si nikdo nepamatuje, jsou dnes doporučovány tzv. heslové fráze. Ty jsou dlouhé, tvořené několika slovy po sobě, a díky své délce představují pro útočníka výrazně tvrdší oříšek.
Útoky na domácí zařízení
Brute force útoky se zdaleka netýkají jen e-mailů nebo sociálních sítí. Častým terčem jsou také domácí routery, síťová úložiště (NAS) nebo IP kamery. Uživatelé u těchto zařízení často ponechávají výchozí přihlašovací údaje, které jsou veřejně známé. Pokud útočník pomocí brute force narazí na takové zařízení, získá nad ním plnou kontrolu a může ho zneužít například pro zapojení do botnetové sítě, o které jsme psali v našem článku o botnetech.
Jak se brání moderní služby
Poskytovatelé internetových služeb dnes naštěstí implementovali řadu ochranných mechanismů. Standardem je omezení počtu pokusů o přihlášení, po kterém následuje dočasné zablokování účtu nebo IP adresy. Dále se využívá CAPTCHA, která má za úkol odlišit člověka od automatizovaného robota. Moderní systémy vás také upozorní e-mailem, pokud detekují přihlášení z neobvyklého místa či zařízení, což je signál, že byste měli své heslo okamžitě změnit.
Co můžete udělat vy
Nejlepší obranou proti brute force útokům je kombinace tří základních pilířů. Prvním je používání unikátních a dlouhých hesel pro každou službu, k čemuž vám skvěle poslouží správce hesel. Druhým pilířem je dvoufázové ověření (2FA), které zajistí, že i kdyby útočník vaše heslo uhodl, k účtu se bez druhého faktoru (např. kódu v telefonu) nedostane. Třetím pilířem je aktivní reakce na bezpečnostní upozornění – pokud vám přijde e-mail o nezdařeném přihlášení, které jste neprovedli, považujte to za varování a heslo obratem vyměňte.
Shrnutí
Útok hrubou silou je přímočarý, ale velmi nebezpečný, pokud používáte slabá a opakující se hesla. Ochrana spočívá v přechodu na dlouhé heslové fráze, využívání správce hesel a povinném zapnutí dvoufázového ověření. Nezapomínejte ani na zabezpečení svého hardwaru – výchozí hesla od výrobce na routerech vždy ihned změňte za unikátní.
Časté dotazy
Co je to brute force útok?
Je to metoda, při které počítačový program automaticky zkouší tisíce kombinací hesel, dokud nenajde to správné, které uživateli umožní přístup k účtu.
Jak poznám, že někdo zkouší prolomit mé heslo?
Většina služeb vás upozorní e-mailem na neúspěšné pokusy o přihlášení nebo na aktivitu z neznámého zařízení, což je jasný signál k akci.
Je lepší dlouhé heslo nebo krátké heslo se znaky?
Jednoznačně lepší je delší heslo nebo heslová fráze, protože délka zásadně zvyšuje počet kombinací, které musí útočník vyzkoušet.
Proč mi někdo útočí na domácí kameru?
Útočníci hledají zařízení s výchozím heslem od výrobce, aby je ovládli a zneužili pro své cíle, jako je šíření malwaru nebo útoky na další weby.
Jak se efektivně chránit před útokem hrubou silou?
Základem je používat silná a unikátní hesla spravovaná v aplikaci a vždy aktivovat dvoufázové ověření, které brání přístupu i v případě úniku hesla.