การโจมตีแบบ Brute Force กับพจนานุกรม: ความแตกต่างและการเปรียบเทียบ

Brute Force Attack และ Dictionary Attack เป็นวิธีการโจมตีความปลอดภัยทางไซเบอร์ ผู้โจมตีพยายามเข้าสู่ระบบบัญชีผู้ใช้โดยการทดลองใช้คีย์ผสมและรหัสผ่านที่เป็นไปได้อย่างเป็นระบบจนกว่าจะพบรหัสผ่านที่ถูกต้อง

ผู้โจมตีด้านความปลอดภัยทางไซเบอร์จะจดจำและบันทึกพฤติกรรมของผู้ใช้ที่ไม่ชำนาญ และใช้พวกเขาเพื่อประโยชน์ในการเข้าถึงโปรไฟล์ของผู้คนทั้งแบบออนไลน์และออฟไลน์

ประเด็นที่สำคัญ

1. การโจมตีแบบ Brute Force จะพยายามผสมอักขระที่เป็นไปได้ทั้งหมด ในขณะที่การโจมตีด้วยพจนานุกรมจะใช้รายการคำหรือวลีที่กำหนดไว้ล่วงหน้า
2. การโจมตีแบบ Brute Force ต้องใช้เวลาและพลังในการคำนวณมากกว่าการโจมตีด้วยพจนานุกรม
3. การโจมตีด้วยพจนานุกรมจะมีประสิทธิภาพมากกว่าเมื่อกำหนดเป้าหมายระบบด้วยรหัสผ่านที่ไม่รัดกุมหรือรหัสผ่านทั่วไป

กำลังดุร้าย vs การโจมตีพจนานุกรม

การโจมตีแบบ bruteforce เกี่ยวข้องกับการลองผิดลองถูกโดยใช้คีย์ผสมจำนวนมากเพื่อเดารหัสผ่าน ข้อมูลการเข้าสู่ระบบ การเข้ารหัสลับ คีย์หรือค้นหาหน้าเว็บที่ซ่อนอยู่ การโจมตีด้วยพจนานุกรมเกี่ยวข้องกับการที่ผู้โจมตีป้อนรหัสผ่านจากรายการรหัสผ่านที่เป็นไปได้ที่กำหนดไว้ล่วงหน้า

การโจมตีแบบ Brute Force เป็นวิธีการแฮ็คแบบเข้ารหัสที่เกี่ยวข้องกับการเข้าถึงข้อมูลการเข้าสู่ระบบหรือคีย์เข้ารหัสโดยไม่ได้รับอนุญาต โดยการตรวจสอบพื้นที่คีย์ทั้งหมดของอัลกอริทึมผ่านกระบวนการลองผิดลองถูก

เนื่องจากนี่เป็นงานที่ละเอียดถี่ถ้วนซึ่งไม่ต้องการการมีส่วนร่วมทางปัญญา ดังนั้น โดยทั่วไปแล้ว เครื่องมือต่างๆ จึงถูกนำมาใช้ในการทำงาน

การโจมตีด้วยพจนานุกรมเป็นรูปแบบหนึ่งของการโจมตีด้วยกำลังดุร้ายที่ใช้ประโยชน์จากผู้ใช้ที่ไม่เข้าใจซึ่งใช้รหัสผ่านที่ไม่ซ้ำใคร ที่นี่ ผู้บุกรุกใช้รายการคำหรือวลีทั่วไปที่อาจถูกใช้โดยบุคคลและธุรกิจเป็นรหัสผ่านเพื่อเข้าถึงคอมพิวเตอร์ที่ได้รับการป้องกัน เครือข่าย หรือทรัพยากรด้านไอทีอื่นๆ

ตารางเปรียบเทียบ

พารามิเตอร์ของการเปรียบเทียบ	โหดเหี้ยม	โจมตีพจนานุกรม
คำนิยาม	ผู้โจมตีพยายามผสมรหัสผ่านที่เป็นไปได้ทั้งหมด	ผู้โจมตีใช้รายการรหัสผ่านที่รู้จักที่คอมไพล์แล้ว
ประสิทธิผล	Brute Force จะมีประสิทธิภาพมากกว่าหากรหัสผ่านสั้น	Dictionary Attack จะมีประสิทธิภาพมากกว่าหากรหัสผ่านเป็นรหัสที่ใช้กันทั่วไป
ปัจจัยที่มีอิทธิพลต่อเวลา	เวลาที่ใช้ขึ้นอยู่กับความยาวและความแรงของรหัสผ่าน	เวลาที่ใช้ขึ้นอยู่กับความยาวของพจนานุกรม
จำนวนปุ่ม	มีคีย์ผสมจำนวนมากที่เกี่ยวข้อง	ซึ่งจำกัดไว้เพียงบางคีย์เท่านั้น
ยูทิลิตี้หลัก	ใช้สำหรับโจมตีอัลกอริธึมการเข้ารหัส	ใช้สำหรับโจมตีรหัสผ่าน
โอกาสแห่งความสำเร็จ	ย่อมประสบผลสำเร็จ	อาจจะไม่สำเร็จก็ได้

Brute Force คืออะไร?

การรักษาความปลอดภัยในโลกไซเบอร์ ผู้โจมตีมีเครื่องมือมากมายพร้อมให้ใช้งาน ซึ่งพยายามผสมตัวเลข ตัวอักษร และอักขระพิเศษที่เป็นไปได้ทั้งหมด และคาดเดารหัสผ่านที่ถูกต้องไม่ช้าก็เร็ว และช่วยเหลือพวกเขาในการละเมิดความเป็นส่วนตัวของผู้ใช้

เครื่องมือเหล่านี้สามารถตั้งโปรแกรมให้รวมหรือไม่รวมตัวอักษร ตัวเลข และสัญลักษณ์ตามโปรโตคอลการสร้างรหัสผ่านขององค์กร โดยมีเงื่อนไขว่าผู้โจมตีจะรู้ตัว

การโจมตีแบบ Brute Force ขั้นสูงจะทำให้รหัสผ่านถอดรหัสไม่เรียงลำดับโดยการตั้งสมมติฐานบางอย่างเมื่อทำการโจมตี

ตัวอย่างเช่น: อักขระตัวแรกมีแนวโน้มที่จะเป็นตัวพิมพ์ใหญ่ ฯลฯ ความอ่อนแอ ของรหัสผ่านสำหรับการโจมตีที่เกี่ยวข้องกับการใช้กำลังดุร้ายนั้นขึ้นอยู่กับความยาวของรหัสผ่าน

พินสี่หลักอาจใช้เวลาน้อยกว่าหนึ่งนาทีในการถอดรหัส รหัสผ่านหกตัวอักษรอาจใช้เวลาหนึ่งชั่วโมง อักขระแปดตัว รวมทั้งตัวอักษรและอักขระพิเศษ อาจยืดเวลาดำเนินการเป็นวัน

เมื่อเพิ่มตัวละครใหม่เข้าไป ความแข็งแกร่งและระยะเวลาที่ใช้ในการถอดรหัสจะเพิ่มขึ้นอย่างทวีคูณ อย่างไรก็ตาม ควรพิจารณาว่าไม่ว่าจะมีความยาวและความแรงเท่าใด รหัสผ่านทุกรหัสผ่านมีความเสี่ยงต่อการโจมตีในลักษณะนี้ และขึ้นอยู่กับเงื่อนไขของพลังการประมวลผลที่เพียงพอและมีประสิทธิภาพและความทุ่มเทของผู้โจมตี เป็นเรื่องของเวลาเท่านั้น ในที่สุดรหัสผ่านก็ถูกเปิดเผย

รหัสผ่านอาจยาวถึงขนาดต้องใช้เวลาหลายปีในการถอดรหัสภายใต้การโจมตีแบบเดรัจฉาน แต่ถ้าเก็บไว้ ก็จะถอดรหัสได้

พจนานุกรมโจมตีคืออะไร?

การโจมตีด้วยพจนานุกรมทำงานบนหลักการพื้นฐานที่ผู้ใช้ส่วนใหญ่ ไม่ว่าจะเกิดจากความไม่เต็มใจหรือความล้มเหลวในการจำรหัสผ่าน หันไปใช้คำทั่วไปจากภาษาที่มีอยู่และแนวโน้มของรหัสผ่านโดยทั่วไปเพื่อรักษาความปลอดภัยข้อมูลและอุปกรณ์ของตน

Dictionary Attack อ้างอิงจากคลังวลีรหัสผ่านที่ไม่ได้ใช้บ่อย

ในขั้นต้น การโจมตีเหล่านี้ใช้คำที่พบในพจนานุกรม ดังนั้นชื่อของมัน แต่ในปัจจุบัน รายการรหัสผ่านที่เป็นไปได้ไม่รู้จบถูกพบอย่างเปิดเผยบนอินเทอร์เน็ตซึ่งทำจากรหัสผ่านที่ได้รับจากการละเมิดความปลอดภัยที่ประสบความสำเร็จก่อนหน้านี้

(เช่น 'รหัสผ่าน', 'thepasswordis1234', '1234…', 'letmein' เป็นต้น) และรหัสผ่านที่เคยใช้กับเว็บไซต์อื่น ๆ (ในกรณีที่ผู้ใช้ใช้รหัสผ่านซ้ำ)

พจนานุกรมนี้สร้างขึ้นโดยการตรวจสอบแนวโน้มและรูปแบบที่สังเกตได้จากผู้ใช้ในขณะที่สร้างรหัสผ่าน อาจรวมถึงข้อมูลสำคัญเกี่ยวกับเป้าหมาย (วันเกิด วันครบรอบ ชื่อสัตว์เลี้ยง ฯลฯ)

Dictionary Attack เป็นวิธีการโจมตีรหัสผ่านที่มีประสิทธิภาพโดยใช้คำง่ายๆ อย่างไรก็ตาม ระบบที่ทันสมัยส่วนใหญ่ห้ามและป้องกันไม่ให้ผู้ใช้ตั้งรหัสผ่านง่ายๆ ดังกล่าว และบังคับให้สร้างรหัสผ่านที่รัดกุมและไม่ซ้ำใครซึ่งจะไม่พบในรายการคำศัพท์

เวลาที่ใช้ในการพยายามบุกเข้าไป และโอกาสที่จะประสบความสำเร็จนั้นขึ้นอยู่กับความครบถ้วนสมบูรณ์ของพจนานุกรม

ความแตกต่างหลักระหว่าง Brut Force และ Dictionary Attack

1. ในการโจมตีแบบ Brute Force มีเส้นทางที่เป็นระบบซึ่งอักขระแต่ละตัวของรหัสผ่าน พิน ฯลฯ จะถูกแคร็กแยกจากกันโดยซอฟต์แวร์ที่อยู่ภายใต้ข้อกำหนดที่ตามมาระหว่างการสร้างรหัสผ่านที่กำหนดขอบเขตของคีย์สเปซ ใน Dictionary Attack ซอฟต์แวร์จะใช้วิธีการลองผิดลองถูกเพื่อกำหนดรหัสผ่านแบบเต็ม
2. ในแง่ของประสิทธิภาพ การเดรัจฉานจะมีประสิทธิภาพมากกว่าเมื่อรหัสผ่านสั้น นี่เป็นเพราะมิฉะนั้นขึ้นอยู่กับจำนวนอักขระ การโจมตีด้วยกำลังดุร้ายอาจใช้เวลาน้อยกว่าหนึ่งนาทีถึงหลายปีในการถอดรหัสรหัสผ่าน ในขณะที่หากรหัสผ่านเป็นรหัสผ่านที่ใช้กันทั่วไปหรือใช้เทมเพลตมาตรฐาน พจนานุกรมก็มีแนวโน้มที่จะมีรหัสผ่านนี้ ทำให้การโจมตีพจนานุกรมมีประสิทธิภาพมากขึ้น
3. ระยะเวลาที่ต้องใช้ในการโจมตี Brute Force เพื่อถอดรหัสรหัสนั้นขึ้นอยู่กับความยาวของรหัส เนื่องจากวิธีนี้จะเดาอักขระทุกตัวของรหัสทีละตัว ในกรณีของ Dictionary Attack เวลาจะสั้นลงเนื่องจากจะระบุรหัสผ่านทั้งหมดพร้อมกัน
4. Brute Force มีประโยชน์เมื่อคีย์สเปซของอัลกอริธึมที่จะถอดรหัสมีขนาดใหญ่ และมีการใช้คีย์ผสมและการเรียงสับเปลี่ยนจำนวนมากที่เกี่ยวข้อง การโจมตีด้วยพจนานุกรมเป็นหนทางหนึ่งในการจัดการกับรหัสผ่านที่คีย์สเปซมีขนาดเล็กกว่ามาก และมีรูปแบบที่แน่นอนในรหัสผ่าน
5. การโจมตีแบบ Brute Force ใช้เพื่อโจมตีอัลกอริธึมการเข้ารหัสเป็นหลัก เนื่องจากสิ่งเหล่านี้สร้างขึ้นจากชุดตัวเลขแบบสุ่ม การโจมตีด้วยพจนานุกรมส่วนใหญ่จะใช้เพื่อโจมตีและถอดรหัสรหัสผ่านเนื่องจากมีคำและรูปแบบที่พจนานุกรมสารานุกรมสามารถถอดรหัสได้ 
6. การโจมตีด้วย Brute Force จะต้องประสบความสำเร็จหากมีเวลาเพียงพอ อย่างไรก็ตาม จำเป็นต้องพูดถึงว่าความเพียงพออาจหมายถึงอะไรก็ได้ตั้งแต่ไม่กี่วินาทีไปจนถึงชั่วชีวิต ความสำเร็จของ Dictionary Attack ขึ้นอยู่กับความครอบคลุมของพจนานุกรม

อ้างอิง

1. https://ieeexplore.ieee.org/abstract/document/8400211
2. https://onlinelibrary.wiley.com/doi/abs/10.4218/etrij.09.0209.0137

อัพเดตล่าสุด : 13 กรกฎาคม 2023