0 added
11 removed
Original
2026-01-01
Modified
2026-02-21
1
-
<p><a>#статьи</a></p>
2
-
<ul><li>15 май 2023</li>
3
-
<li>0</li>
4
-
</ul><h2>Что такое брутфорс и как от него защититься</h2>
5
-
<p>Рассказываем об аналоге лома в кибербезопасности и приёмах защиты от него, которые всё-таки есть.</p>
6
-
<p>Кадр: фильм "Форсаж: Хоббс и Шоу" / Universal Pictures</p>
7
-
<p>Журналист, изучает Python. Любит разбираться в мелочах, общаться с людьми и понимать их.</p>
8
<p>Вы наверняка замечали, что некоторые сайты во время регистрации просят сделать пароль посложнее: то чисел насыпать, то букв, то ещё каких-нибудь символов. Зачем это нужно? Ведь и так никто никогда не узнает, что вы там зашифровали кличку собаки троюродной тёти первой школьной любви.</p>
1
<p>Вы наверняка замечали, что некоторые сайты во время регистрации просят сделать пароль посложнее: то чисел насыпать, то букв, то ещё каких-нибудь символов. Зачем это нужно? Ведь и так никто никогда не узнает, что вы там зашифровали кличку собаки троюродной тёти первой школьной любви.</p>
9
<p>Ответ: человеку, возможно, угадать ваш пароль не удастся - но машина простым перебором может сделать это за пару часов. Такой способ кражи паролей в кибербезе называется брутфорсом - о нём-то мы и поговорим сегодня.</p>
2
<p>Ответ: человеку, возможно, угадать ваш пароль не удастся - но машина простым перебором может сделать это за пару часов. Такой способ кражи паролей в кибербезе называется брутфорсом - о нём-то мы и поговорим сегодня.</p>
10
<p><strong>Брутфорс (brute-force), или атака полным перебором,</strong> - это метод<a>взлома</a>, при котором хакер подбирает разные варианты логинов, паролей и <a>ключей шифрования</a>. Цель - войти в систему или получить доступ к защищённым данным.</p>
3
<p><strong>Брутфорс (brute-force), или атака полным перебором,</strong> - это метод<a>взлома</a>, при котором хакер подбирает разные варианты логинов, паролей и <a>ключей шифрования</a>. Цель - войти в систему или получить доступ к защищённым данным.</p>
11
<p>Но брутфорс - это отнюдь не всегда плохо. Такие атаки проводят специалисты по кибербезопасности и "белые" хакеры, чтобы испытать программу на прочность и найти уязвимости. Это своего рода испытание огнём для любой системы защиты: чтобы считаться надёжной, она должна выдерживать атаки полным перебором.</p>
4
<p>Но брутфорс - это отнюдь не всегда плохо. Такие атаки проводят специалисты по кибербезопасности и "белые" хакеры, чтобы испытать программу на прочность и найти уязвимости. Это своего рода испытание огнём для любой системы защиты: чтобы считаться надёжной, она должна выдерживать атаки полным перебором.</p>
12
<p>А ещё с помощью брутфорса удалось разгадать шифр машины "Энигма", которую немецкая армия использовала для передачи секретных сообщений. О том, как это сделали и как в этом помог Алан Тьюринг, читайте<a>в нашей статье</a>. Ну а мы едем дальше.</p>
5
<p>А ещё с помощью брутфорса удалось разгадать шифр машины "Энигма", которую немецкая армия использовала для передачи секретных сообщений. О том, как это сделали и как в этом помог Алан Тьюринг, читайте<a>в нашей статье</a>. Ну а мы едем дальше.</p>
13
<p>Brute-force переводится с английского как "грубая сила". Смысл этой атаки в том, чтобы перебрать все возможные варианты, пока один из них не окажется верным. Хакеры не пытаются найти тонкий подход к жертве, как, например, при фишинге, - только перебор, только хардкор.</p>
6
<p>Brute-force переводится с английского как "грубая сила". Смысл этой атаки в том, чтобы перебрать все возможные варианты, пока один из них не окажется верным. Хакеры не пытаются найти тонкий подход к жертве, как, например, при фишинге, - только перебор, только хардкор.</p>
14
<em>Фото: Max4e Photo / Shutterstock</em><p>Естественно, всё это делается не вручную, а с помощью специальных хакерских программ. Причём многие из них вполне легальны, потому что ими пользуются специалисты по информационной безопасности. Запущенные на хорошем "железе", такие программы способны подбирать миллиарды комбинаций в секунду - то есть у паролей вроде "kotbarsik" и "123456" просто нет шансов не быть раскрытыми.</p>
7
<em>Фото: Max4e Photo / Shutterstock</em><p>Естественно, всё это делается не вручную, а с помощью специальных хакерских программ. Причём многие из них вполне легальны, потому что ими пользуются специалисты по информационной безопасности. Запущенные на хорошем "железе", такие программы способны подбирать миллиарды комбинаций в секунду - то есть у паролей вроде "kotbarsik" и "123456" просто нет шансов не быть раскрытыми.</p>
15
<p>Чтобы ускорить атаку, хакеры могут подключать дополнительные вычислительные мощности: арендуют<a>облачные серверы</a>и используют ботнеты.</p>
8
<p>Чтобы ускорить атаку, хакеры могут подключать дополнительные вычислительные мощности: арендуют<a>облачные серверы</a>и используют ботнеты.</p>
16
<p>Не все брутфорс-атаки одинаковые. В одних хакеры перебирают случайные символы, в других - наиболее частые пароли, в третьих - комбинируют эти два способа. Вот как работают разные виды брутфорса.</p>
9
<p>Не все брутфорс-атаки одинаковые. В одних хакеры перебирают случайные символы, в других - наиболее частые пароли, в третьих - комбинируют эти два способа. Вот как работают разные виды брутфорса.</p>
17
<p>Классический метод брутфорса: хакер пробует все возможные комбинации символов, пока не попадётся подходящая.</p>
10
<p>Классический метод брутфорса: хакер пробует все возможные комбинации символов, пока не попадётся подходящая.</p>
18
<p><strong>Как защититься:</strong>используйте длинные пароли (от восьми символов) с буквами в верхнем и нижнем регистре, цифры и спецсимволы.</p>
11
<p><strong>Как защититься:</strong>используйте длинные пароли (от восьми символов) с буквами в верхнем и нижнем регистре, цифры и спецсимволы.</p>
19
<p>Идея та же, что и в предыдущем методе, только вместо случайных символов подставляются реально существующие фразы из словаря. Это могут быть имена, города, предметы, цитаты из Библии, строки из Шекспира - что угодно. И, конечно, таким способом украсть пароль гораздо проще.</p>
12
<p>Идея та же, что и в предыдущем методе, только вместо случайных символов подставляются реально существующие фразы из словаря. Это могут быть имена, города, предметы, цитаты из Библии, строки из Шекспира - что угодно. И, конечно, таким способом украсть пароль гораздо проще.</p>
20
<p>Смотрите, у пароля из восьми случайных латинских символов в нижнем регистре есть 268 возможных комбинаций - это больше 200 триллионов вариантов. Если пробовать по одному в секунду, то для перебора всех комбинаций понадобится 6600 лет.</p>
13
<p>Смотрите, у пароля из восьми случайных латинских символов в нижнем регистре есть 268 возможных комбинаций - это больше 200 триллионов вариантов. Если пробовать по одному в секунду, то для перебора всех комбинаций понадобится 6600 лет.</p>
21
<p>А, например, в Оксфордском словаре - всего 171 тысяча слов, и перебрать их можно гораздо быстрее. При одной попытке в секунду - чуть меньше чем за два дня.</p>
14
<p>А, например, в Оксфордском словаре - всего 171 тысяча слов, и перебрать их можно гораздо быстрее. При одной попытке в секунду - чуть меньше чем за два дня.</p>
22
<p>В современных словарях для взлома хранятся самые распространённые пароли, а также те, которые утекли в Сеть и попали в базы данных злоумышленников.</p>
15
<p>В современных словарях для взлома хранятся самые распространённые пароли, а также те, которые утекли в Сеть и попали в базы данных злоумышленников.</p>
23
<p><strong>Как защититься:</strong>не используйте реально существующие слова и словосочетания - или хотя бы разбавляйте их выдуманными. Почитать о том, как не надо составлять пароли, чтобы их не украли, можно<a>в этой статье на "Хабре"</a>.</p>
16
<p><strong>Как защититься:</strong>не используйте реально существующие слова и словосочетания - или хотя бы разбавляйте их выдуманными. Почитать о том, как не надо составлять пароли, чтобы их не украли, можно<a>в этой статье на "Хабре"</a>.</p>
24
<p>Некоторые пользователи, которые что-то слышали о брутфорсе, добавляют к обычным словам несколько символов - например, важную для них дату, возраст или что-то ещё. Мол, теперь-то уж точно хакерская рука окаянная до меня не достанет.</p>
17
<p>Некоторые пользователи, которые что-то слышали о брутфорсе, добавляют к обычным словам несколько символов - например, важную для них дату, возраст или что-то ещё. Мол, теперь-то уж точно хакерская рука окаянная до меня не достанет.</p>
25
<p>Но такие пароли тоже довольно просто раскрыть - с помощью гибридной атаки. Это когда к реальному слову из словаря добавляют несколько случайных символов, которые получают, опять же, методом перебора.</p>
18
<p>Но такие пароли тоже довольно просто раскрыть - с помощью гибридной атаки. Это когда к реальному слову из словаря добавляют несколько случайных символов, которые получают, опять же, методом перебора.</p>
26
<p><strong>Как защититься:</strong>используйте более сложные комбинации, чем пара "слово + число". Например, добавляйте цифры в середине слова, разбавляйте всё это разными звёздочками и слешами, и будет вам счастье :)</p>
19
<p><strong>Как защититься:</strong>используйте более сложные комбинации, чем пара "слово + число". Например, добавляйте цифры в середине слова, разбавляйте всё это разными звёздочками и слешами, и будет вам счастье :)</p>
27
<p>Метод для тех хакеров, которым не принципиально, кого именно взламывать.</p>
20
<p>Метод для тех хакеров, которым не принципиально, кого именно взламывать.</p>
28
<p>Если в классическом брутфорсе для одного логина перебирают множество паролей, то при обратных атаках один пароль применяют сразу к большому количеству логинов.</p>
21
<p>Если в классическом брутфорсе для одного логина перебирают множество паролей, то при обратных атаках один пароль применяют сразу к большому количеству логинов.</p>
29
<p><strong>Как защититься:</strong>не используйте<a>простые или популярные пароли</a>, ведь именно их хакеры обычно подставляют во время обратных атак.</p>
22
<p><strong>Как защититься:</strong>не используйте<a>простые или популярные пароли</a>, ведь именно их хакеры обычно подставляют во время обратных атак.</p>
30
<p>При персональном взломе подключается социальная инженерия. Хакер составляет отдельный словарь для каждой жертвы, куда могут входить имена родственников, друзей, питомцев, важные даты, профессия, хобби и так далее. Для этого хакер может брать информацию из соцсетей или даже сблизиться с жертвой через общих знакомых.</p>
23
<p>При персональном взломе подключается социальная инженерия. Хакер составляет отдельный словарь для каждой жертвы, куда могут входить имена родственников, друзей, питомцев, важные даты, профессия, хобби и так далее. Для этого хакер может брать информацию из соцсетей или даже сблизиться с жертвой через общих знакомых.</p>
31
<p><strong>Как защититься:</strong>не оставляйте пароли "на видном" месте и не используйте в них личную информацию. И вообще, цифровая гигиена - наше всё. Чем меньше о нас знают соцсети и разные сервисы, тем лучше.</p>
24
<p><strong>Как защититься:</strong>не оставляйте пароли "на видном" месте и не используйте в них личную информацию. И вообще, цифровая гигиена - наше всё. Чем меньше о нас знают соцсети и разные сервисы, тем лучше.</p>
32
<p>Этот метод используют, если узнают логин и пароль пользователя от какого-нибудь приложения или сайта. Хакер подставляет скомпрометированные учётные данные в разных сервисах. Если жертва использовала их ещё в каком-то месте, то злоумышленник попадает в её аккаунт.</p>
25
<p>Этот метод используют, если узнают логин и пароль пользователя от какого-нибудь приложения или сайта. Хакер подставляет скомпрометированные учётные данные в разных сервисах. Если жертва использовала их ещё в каком-то месте, то злоумышленник попадает в её аккаунт.</p>
33
<p><strong>Как защититься:</strong>посмотрите, нет ли вашей почты или пароля в списках утечек, - сделать это можно<a>здесь</a>и <a>здесь</a>. Если пользуетесь Google Chrome, посмотреть раскрытые данные можно в <a>менеджере паролей</a>.</p>
26
<p><strong>Как защититься:</strong>посмотрите, нет ли вашей почты или пароля в списках утечек, - сделать это можно<a>здесь</a>и <a>здесь</a>. Если пользуетесь Google Chrome, посмотреть раскрытые данные можно в <a>менеджере паролей</a>.</p>
34
<p>Его применяют, если злоумышленник уже получил доступ к электронной почте жертвы. Многие сервисы сами генерируют пароли и высылают на почту пользователям. Хакеры находят такие письма, извлекают из них учётные данные и используют для взлома.</p>
27
<p>Его применяют, если злоумышленник уже получил доступ к электронной почте жертвы. Многие сервисы сами генерируют пароли и высылают на почту пользователям. Хакеры находят такие письма, извлекают из них учётные данные и используют для взлома.</p>
35
<p><strong>Как защититься:</strong>самостоятельно устанавливайте пароли от всех важных аккаунтов. А ещё - регулярно обновляйте пароль от электронной почты, куда ж без этого.</p>
28
<p><strong>Как защититься:</strong>самостоятельно устанавливайте пароли от всех важных аккаунтов. А ещё - регулярно обновляйте пароль от электронной почты, куда ж без этого.</p>
36
<p>Этот метод применяют хакеры после того, как получают доступ к базе данных паролей - они обычно хранятся в <strong>захешированном виде</strong>.</p>
29
<p>Этот метод применяют хакеры после того, как получают доступ к базе данных паролей - они обычно хранятся в <strong>захешированном виде</strong>.</p>
37
<p><a>Хеш-функция</a> - это алгоритм, который необратимо шифрует данные. Он получает на вход сообщение и выводит его<strong>хеш</strong>- строку фиксированной длины. Строка состоит из набора букв и цифр, который чётко соответствует входному сообщению:</p>
30
<p><a>Хеш-функция</a> - это алгоритм, который необратимо шифрует данные. Он получает на вход сообщение и выводит его<strong>хеш</strong>- строку фиксированной длины. Строка состоит из набора букв и цифр, который чётко соответствует входному сообщению:</p>
38
<ul><li>Если два раза захешировать одно и то же сообщение, хеш получится одинаковый.</li>
31
<ul><li>Если два раза захешировать одно и то же сообщение, хеш получится одинаковый.</li>
39
<li>Если изменить в сообщении хотя бы одну букву, то хеш получится совершенно другой.</li>
32
<li>Если изменить в сообщении хотя бы одну букву, то хеш получится совершенно другой.</li>
40
</ul><p>Получив доступ к базе хешей и зная алгоритм хеширования, злоумышленник может по очереди хешировать разные варианты паролей - перебором, по словарю или гибридно. Затем он ищет совпадающие хеши и смотрит, из каких входных данных получил их - это и есть найденные пароли.</p>
33
</ul><p>Получив доступ к базе хешей и зная алгоритм хеширования, злоумышленник может по очереди хешировать разные варианты паролей - перебором, по словарю или гибридно. Затем он ищет совпадающие хеши и смотрит, из каких входных данных получил их - это и есть найденные пароли.</p>
41
<p>Чтобы из раза в раз не хешировать заново одно и то же, хакеры создают<strong>радужные таблицы</strong> - специальные словари, которые содержат не сами пароли, а их хеши.</p>
34
<p>Чтобы из раза в раз не хешировать заново одно и то же, хакеры создают<strong>радужные таблицы</strong> - специальные словари, которые содержат не сами пароли, а их хеши.</p>
42
<p><strong>Как защититься:</strong>если вы пользователь - практически никак. Хешированные базы паролей утекают в Сеть регулярно, и это уже наша реальность. Например, недавно это коснулось<a>клиентов "Сбера"</a>.</p>
35
<p><strong>Как защититься:</strong>если вы пользователь - практически никак. Хешированные базы паролей утекают в Сеть регулярно, и это уже наша реальность. Например, недавно это коснулось<a>клиентов "Сбера"</a>.</p>
43
<p>Но для владельцев сервисов есть выход: например, использовать<strong>соли</strong> - дополнительные строки данных, которые хешируются вместе с паролем. А ещё - использовать современные протоколы шифрования.</p>
36
<p>Но для владельцев сервисов есть выход: например, использовать<strong>соли</strong> - дополнительные строки данных, которые хешируются вместе с паролем. А ещё - использовать современные протоколы шифрования.</p>
44
<p>Скорость перебора комбинаций брутфорсом - запредельная. В 2018 году компьютер с графическим процессором RTX 2080 за одну секунду перебрал 37 миллиардов паролей, захешированных<a>алгоритмом MD5</a>. А более современные RTX 3090 и RTX 4090<a>позволяют перебирать</a>и того больше: 70 и 164 миллиарда комбинаций соответственно.</p>
37
<p>Скорость перебора комбинаций брутфорсом - запредельная. В 2018 году компьютер с графическим процессором RTX 2080 за одну секунду перебрал 37 миллиардов паролей, захешированных<a>алгоритмом MD5</a>. А более современные RTX 3090 и RTX 4090<a>позволяют перебирать</a>и того больше: 70 и 164 миллиарда комбинаций соответственно.</p>
45
<p>Лучший способ защититься от брутфорса - использовать надёжные пароли. Компания по кибербезопасности Hive Systems ежегодно составляет таблицу времени, нужного на взлом паролей разной сложности.</p>
38
<p>Лучший способ защититься от брутфорса - использовать надёжные пароли. Компания по кибербезопасности Hive Systems ежегодно составляет таблицу времени, нужного на взлом паролей разной сложности.</p>
46
Таблица сложности паролей. Построена для паролей, которые захешированы алгоритмом MD5 и взламываются с помощью 12 графических процессоров RTX 4090<em>Изображение:</em><a><em>Hive Systems</em></a><p>Предполагается, что указанные в таблице данные актуальны, если взлом осуществляют методом перебора символов. Атака по словарю будет происходить значительно быстрее, но она не сработает, если пароля в словаре нет.</p>
39
Таблица сложности паролей. Построена для паролей, которые захешированы алгоритмом MD5 и взламываются с помощью 12 графических процессоров RTX 4090<em>Изображение:</em><a><em>Hive Systems</em></a><p>Предполагается, что указанные в таблице данные актуальны, если взлом осуществляют методом перебора символов. Атака по словарю будет происходить значительно быстрее, но она не сработает, если пароля в словаре нет.</p>
47
<p>Помимо сложных паролей защитить себя от брутфорса можно следующими способами:</p>
40
<p>Помимо сложных паролей защитить себя от брутфорса можно следующими способами:</p>
48
<ul><li><strong>Использовать разные пароли для разных сервисов.</strong>Единожды взломанный пароль перестаёт быть безопасным, каким бы сложным он ни был. Чтобы не забывать, можно использовать менеджер паролей в браузере.</li>
41
<ul><li><strong>Использовать разные пароли для разных сервисов.</strong>Единожды взломанный пароль перестаёт быть безопасным, каким бы сложным он ни был. Чтобы не забывать, можно использовать менеджер паролей в браузере.</li>
49
<li><strong>Регулярно менять пароли.</strong>Вы не можете знать, в какой момент ваш пароль мог быть скомпрометирован.</li>
42
<li><strong>Регулярно менять пароли.</strong>Вы не можете знать, в какой момент ваш пароль мог быть скомпрометирован.</li>
50
<li><strong>Использовать двухфакторную аутентификацию.</strong>Тогда для входа в аккаунт одного пароля будет недостаточно - понадобится дополнительное подтверждение личности, например, с помощью SMS или биометрии.</li>
43
<li><strong>Использовать двухфакторную аутентификацию.</strong>Тогда для входа в аккаунт одного пароля будет недостаточно - понадобится дополнительное подтверждение личности, например, с помощью SMS или биометрии.</li>
51
</ul><p>Владельцы сервисов заинтересованы в безопасности пользователей, да и своих аккаунтов с правами администраторов тоже. Вот какие меры защиты от брутфорс-атак они внедряют:</p>
44
</ul><p>Владельцы сервисов заинтересованы в безопасности пользователей, да и своих аккаунтов с правами администраторов тоже. Вот какие меры защиты от брутфорс-атак они внедряют:</p>
52
<ul><li><strong>Настраивают требования к сложности паролей.</strong>Например, чтобы он обязательно содержал числа, буквы в разных регистрах и спецсимволы - и был не слишком коротким.</li>
45
<ul><li><strong>Настраивают требования к сложности паролей.</strong>Например, чтобы он обязательно содержал числа, буквы в разных регистрах и спецсимволы - и был не слишком коротким.</li>
53
<li><strong>Устанавливают задержку во времени</strong>при попытке входа в систему. Например, нельзя пытаться войти в аккаунт чаще одного раза в секунду. Человек такое ограничение даже не заметит, а вот брутфорсить будет гораздо труднее.</li>
46
<li><strong>Устанавливают задержку во времени</strong>при попытке входа в систему. Например, нельзя пытаться войти в аккаунт чаще одного раза в секунду. Человек такое ограничение даже не заметит, а вот брутфорсить будет гораздо труднее.</li>
54
<li><strong>Ограничивают число попыток</strong>входа в систему с одного<a>IP-адреса</a>. Если ограничение превышено, пользователя могут попросить пройти капчу или вовсе блокируют дальнейшие попытки войти.</li>
47
<li><strong>Ограничивают число попыток</strong>входа в систему с одного<a>IP-адреса</a>. Если ограничение превышено, пользователя могут попросить пройти капчу или вовсе блокируют дальнейшие попытки войти.</li>
55
<li><strong>Используют соль</strong>в хешах своих паролей. Даже если базу данных украдут, взломать "посоленные" хеши будет гораздо труднее.</li>
48
<li><strong>Используют соль</strong>в хешах своих паролей. Даже если базу данных украдут, взломать "посоленные" хеши будет гораздо труднее.</li>
56
<li>Добавляют<strong>двухфакторную аутентификацию</strong>.</li>
49
<li>Добавляют<strong>двухфакторную аутентификацию</strong>.</li>
57
</ul><p><strong>Брутфорс-атака</strong> - это вид кибератаки, при которой хакер перебирает разные комбинации данных, пока не найдёт нужную. Таким образом взламывают учётные записи и криптографические протоколы.</p>
50
</ul><p><strong>Брутфорс-атака</strong> - это вид кибератаки, при которой хакер перебирает разные комбинации данных, пока не найдёт нужную. Таким образом взламывают учётные записи и криптографические протоколы.</p>
58
<p>С помощью специальных программ хакеры могут перебирать миллиарды комбинаций в секунду, поэтому для защиты от брутфорса нужно выставлять сильные пароли, не использовать их несколько раз и регулярно менять.</p>
51
<p>С помощью специальных программ хакеры могут перебирать миллиарды комбинаций в секунду, поэтому для защиты от брутфорса нужно выставлять сильные пароли, не использовать их несколько раз и регулярно менять.</p>
59
-
<p>Кибербезопасность с нуля: взламываем и защищаем серверы за 5 дней</p>
60
-
<p>Погрузитесь в востребованную профессию специалиста по кибербезопасности. Научитесь защищать веб-серверы, перехватывать пароли, подделывать письма и обезвреживать вредоносное ПО.</p>
61
-
<p><a>Пройти бесплатно</a></p>
62
-
<a><b>Бесплатный курс по кибербезопасности</b>Пройдите курс и узнайте реальные техники взлома и защиты веб-серверов. Решите 3 практические задачи и получите ценные подарки. Пройти курс →</a>