حملات بروت فورس (Brute Force) قوی‌ترین پسوردها را به راحتی می‌شکنند! این حملات، که با امتحان تمامی ترکیب‌های ممکن صورت می‌گیرند، در دنیای دیجیتال امروز تهدیدی جدی به حساب می‌آیند. اما سوال اینجاست: چگونه می‌توان از پسوردهایی که به راحتی قابل حدس نیستند، استفاده کرد؟ 

حمله بروت فورس چیست؟

حمله بروت فورس (Brute Force) از روش‌های قدیمی و رایج برای شکستن رمزهای عبور و دستکاری اطلاعات رمزگذاری شده است. در این نوع حمله، هکر یا مهاجم با استفاده از تکنیک آزمون و خطا (Trial and Error)، تمامی ترکیب‌های ممکن اطلاعات ورودی برای پیدا کردن ترکیب صحیح امتحان می‌کند.
در حملات بروت فورس (brute-force attack)، هیچ استراتژی خاصی برای پیش‌بینی یا تحلیل اطلاعات وجود ندارد. در واقع، هکر همه حالت‌ها را برای رسیدن به هدف خود امتحان می‌کند. این روش بسیار ساده، به زمان و منابع زیادی نیاز دارد.
از ویژگی های مهم حملات بروت فورس، بی‌نیازی هکر به اطلاعات قبلی و پیش‌نیاز اولیه است. حتی اگر هکر هیچ‌گونه اطلاعاتی از رمز عبور نداشته باشد، می‌تواند با صرف زمان و تلاش، رمز عبور بروت فورس (brute force password) را پیدا کند.
حمله بروت فورس به راحتی رمزعبورهای ساده را شکست می‌دهد. در این وضعیت، سیستم‌های امنیتی توسط این نوع حمله نفوذپذیر می‌شوند. مگر اینکه از راهکارهای امنیتی پیشرفته استفاده کنیم.

تاریخچه بروت فورس

تصور کنید در سال ۱۹۶۰ هستید. کامپیوترها، دستگاه‌های عظیمی‌اند که یک اتاق کامل را اشغال می‌کنند. اینترنت هنوز به شکلی که امروز می‌شناسیم وجود ندارد و رمزگذاری داده‌ها، مفهومی ابتدایی است. در این دوران، گروهی از محققان امنیتی، در تلاش بودند تا نقاط ضعف سیستم‌های کامپیوتری اولیه را بررسی کنند. اما برای این کار، یک چالش اساسی داشتند: چگونه می‌توان فهمید که یک رمز عبور، قابل شکستن است؟
آن‌ها تصمیم گرفتند آزمایشی انجام دهند. یک رمز عبور ساده روی سیستم قرار دادند و سپس برنامه‌ای نوشتند که تمام ترکیبات ممکن از حروف و اعداد را یکی‌یکی امتحان کند. بعد از مدتی، رمز شکسته شد! در آن لحظه، متوجه شدند استفاده از این روش توسط افراد نادرست، می‌تواند به یک تهدید واقعی تبدیل شود. این اولین مستندات رسمی از حمله‌ای بود که امروزه به نام بروت فورس (Brute Force) می‌شناسیم.
در دهه ۱۹۸۰ همه چیز تغییر کرد. هکرها و مجرمان سایبری متوجه شدند که این روش، ابزاری قدرتمند برای نفوذ به حساب‌های کاربری است. این حملات در ابتدا بسیار کند بودند؛ چرا که پردازنده‌های کامپیوترهای آن زمان، سرعت بالایی نداشتند. با پیشرفت سخت‌افزارها حملات بروت فورس( brute-force attack) نیز مخرب‌تر شدند.
در دهه ۱۹۹۰، با ظهور اینترنت، بازی تغییر کرد. دیگر نیازی نبود یک هکر به یک سیستم فیزیکی دسترسی داشته باشد. او می‌توانست از هر نقطه‌ جهان تلاش کند تا به حساب‌های کاربری، سرورها، و حتی شبکه‌های بانکی نفوذ کند. در این دوران، ابزارهای بروت فورس مانند John the Ripper معرفی شدند که امکان انجام این حملات را به سرعت بیشتر و روی اهداف وسیع‌تر فراهم می‌کردند.
امروزه، حملات بروت فورس به مراتب پیشرفته‌تر و خطرناک‌تر شده‌اند. با کمک سخت‌افزارهای قدرتمند، به‌خصوص کارت‌های گرافیک (GPU) و حتی رایانش ابری، یک مهاجم می‌تواند میلیاردها ترکیب رمز عبور را در کمتر از چند ثانیه آزمایش کند. شرکت‌های فناوری، از الگوریتم‌های رمزگذاری پیشرفته مانند bcrypt، Argon2 و PBKDF2 استفاده می‌کنند تا کرک کردن رمزهای عبور(password cracking) ، حتی با حملات بروت فورس، غیرممکن شود.

آیا این به معنای پایان حملات بروت فورس است؟ نه دقیقاً! مهاجمان همچنان روش‌های خود را بهبود می‌دهند و از نقاط ضعف سیستم‌ها استفاده می‌کنند. اما با چه روش‌هایی؟

نحوه کار و روش brute force

حمله بروت فورس (Brute Force) به طور کلی مبتنی بر آزمون و خطا است. اما برای درک بهتر، باید مراحل دقیق انجام این حمله را بررسی کنیم. این حمله می‌تواند روی انواع مختلفی از داده‌ها مانند رمزهای عبور، کلیدهای رمزنگاری، و حتی کدهای دسترسی اعمال شود. در اینجا، مراحل و روش brute force را مرور می‌کنیم:

۱. انتخاب هدف

اولین مرحله در هر حمله brute force، انتخاب هدف است. این هدف می‌تواند شامل حساب کاربری، سیستم کامپیوتری یا داده‌های رمزگذاری‌شده باشد. برای مثال، یک هکر ممکن است تصمیم بگیرد به حساب ایمیل یا حساب بانکی یک فرد حمله کرده و رمز عبور آن را پیدا کند.

۲. شکستن الگوریتم رمزنگاری (در صورت لزوم)

در صورتی که هدف حمله، یک سیستم رمزنگاری (Encryption system) باشد (مثلاً رمزنگاری فایل‌ها یا اطلاعات حساس)، گام بعدی شبیه به شکستن الگوریتم رمزنگاری خواهد بود. در این مرحله، هکر به الگوریتم‌های رمزنگاری و روش‌های مختلف محاسباتی برای استخراج رمز عبور اصلی دسترسی پیدا می‌کند. این مرحله به طور معمول شامل تجزیه و تحلیل الگوریتم‌هایی مانند AES، DES، RSA و … می‌شود.

۳. انتخاب ترکیب‌های احتمالی

پس از مشخص شدن هدف، مهاجم تلاش می‌کند تا همه ترکیب‌های ممکن از داده‌ها را امتحان کند. در حمله brute force، هیچ حد و مرزی برای تعداد ترکیب‌ها وجود ندارد. یک رمز عبور چهار رقمی تنها می‌تواند شامل ۱۰,۰۰۰ ترکیب مختلف باشد (از ۰۰۰۰ تا ۹۹۹۹)، در حالی که یک رمز عبور ۱۲ کاراکتری با ترکیب حروف و اعداد میلیاردها ترکیب مختلف دارد.

۴. آزمایش ترکیب‌ها

مرحله بعدی آزمایش ترکیب‌ها است. مهاجم به طور پیوسته هر ترکیب را بر روی هدف اعمال می‌کند. این آزمایش‌ را نرم‌افزار brute force مانند John the Ripper انجام می‌دهد. چنین ابزارهایی به طور خودکار و با سرعت بالا برای شکستن رمز عبور تلاش می‌کنند. هکر در مواجه‌ با رمز عبور پیچیده یا طولانی، زمان بیشتری را صرف می‌کند.

۵. شکستن رمز عبور

پس از آزمایش تمام ترکیب‌ها، اگر رمز عبور صحیح پیدا شود، مهاجم به سیستم نفوذ می‌کند. در این مرحله، ممکن است به اطلاعات حساس مانند ایمیل‌ها، اطلاعات بانکی، یا دیگر داده‌های شخصی دسترسی پیدا کند. این اتفاق آسیب‌های مالی و امنیتی فراوانی به همراه دارد.

۶. تشخیص و جلوگیری (در صورت فعال بودن سیستم‌های امنیتی)

سیستم‌های امنیتی به صورت دفاعی در برابر حمله brute force عمل می‌کنند. به عنوان مثال، سیستم‌ها ممکن است از محدودیت تلاش‌های ناموفق (Rate Limiting) یا احراز هویت چندمرحله‌ای (MFA) برای جلوگیری از موفقیت حمله استفاده کنند. در این شرایط، مهاجم مجبور به تغییر روش‌های خود می‌شود.

انواع حمله brute force: هر روش چگونه کار می‌کند؟

حمله بروت فورس در ظاهر روشی ساده به نظر می‌رسد. اما انواع مختلفی از این حملات وجود دارد که با ترکیبی از ابزارها و تکنیک‌ها، پیچیدگی‌های بیشتری را ایجاد می‌کنند. هر نوع حمله، به شکلی متفاوت به سیستم‌ها و رمزهای عبور نفوذ می‌کند. در ادامه، انواع brute force را بررسی می‌کنیم:

حمله بروت فورس ساده (Simple Brute Force Attack)

حمله brute force ساده یکی از ابتدایی‌ترین و شناخته‌شده‌ترین انواع حملات است. این روش را برای تست نام‌های کاربری و رمزهای عبور به‌ کار می‌گیرند. در حمله ساده مهاجم ایمیل و رمز عبور را مورد هدف قرار می‌دهد. برای مثال، در صورتی که رمز عبور شما ترکیبی ساده از حروف کوچک و اعداد باشد، مهاجم از الگوریتمی استفاده می‌کند که به‌صورت مداوم تمام ترکیب‌ها را آزمایش کند. این نوع حمله کند و زمان‌بر است. اما اگر پسورد یا ایمیل‌تان ساده باشد، موفقیت حتمی دارد.

حمله دیکشنری (Dictionary Attack)

در حمله دیکشنری (Dictionary Attack)، مهاجم به جای امتحان کردن تمام ترکیب‌های ممکن، از یک لیست از پیش تهیه‌شده از کلمات و عبارات متداول (brute force dictionary attack) برای تست رمز عبور استفاده می‌کند. این لیست معمولاً شامل کلمات رایج، اسامی افراد، مکان‌ها، یا حتی ترکیب‌های ساده مانند 123456 یا password است. مهاجم سپس این کلمات را به‌طور مکرر به‌عنوان رمز عبور امتحان می‌کند. این نوع حمله سرعت بیشتری نسبت به حمله بروت فورس ساده دارد چرا که تعداد ترکیب‌ها به‌طور قابل‌توجهی کمتر است. به‌ویژه اگر رمز عبور از کلمات رایج یا قابل پیش‌بینی باشد.

حمله ترکیبی (Hybrid Brute Force Attack)

این حمله، ترکیبی از حمله بروت فورس ساده و دیکشنری است. در این حمله، مهاجم ابتدا از یک لیست کلمات (دیکشنری) استفاده می‌کند، اما در ادامه با افزودن اعداد، نمادها یا تغییرات دیگر، تلاش می‌کند تا ترکیب‌های جدیدی از این کلمات بسازد. برای مثال، مهاجم ممکن است کلمات رایج مانند password را با افزودن اعداد و نمادهایی مانند !password123 امتحان کند. این روش، زمان و تلاش بیشتری می‌طلبد. اما در برابر رمزهای عبور پیچیده‌تر با ترکیبی از حروف، اعداد و نمادها موثرتر است.

حمله به روش پر کردن اعتبارنامه (Credential Stuffing)

در این نوع حمله brute force، مهاجم از ترکیب‌های نام کاربری و رمز عبور که هک شده قبلی سایت استفاده می‌کند. این حمله به‌ویژه زمانی مؤثر است که افراد از رمز عبورهای مشابه برای حساب‌های مختلف استفاده می‌کنند. حمله اعتبار نامه brute force به دلیل استفاده از اطلاعات قبلی، می‌تواند بسیار سریع باشد.

حمله به روش پسورد اسپری (Password Spraying)

یکی از هوشمندانه‌ترین روش‌های حمله بروت فورس، پسورد اسپری (Password Spraying) است. برخلاف روش‌های معمول، مهاجم با این شیوه یک یا چند رمز عبور رایج را روی تعداد زیادی از حساب‌های کاربری تست می‌کند. بسیاری از سیستم‌ها برای جلوگیری brute force پس از چند تلاش ناموفق، حساب کاربری را قفل می‌کنند. اگر هکر به جای تلاش‌های مکرر روی یک حساب، همان رمز عبور را روی هزاران حساب مختلف امتحان کند، احتمال شناسایی و مسدود شدن کاهش می‌یابد. این روش در سایت‌هایی با رمزهای عبور ضعیف و رایج کاربران بسیار کارآمد است.
فرض کنید مهاجم از رمزهای متداولی مثل Password123 استفاده کند و این رمزها را روی هزاران حساب کاربری تست کند. اگر حتی یک نفر از این رمزها استفاده کرده باشد، مهاجم می‌تواند به حساب او دسترسی پیدا کند.

حمله بروت فورس معکوس (Reverse Brute Force Attack)

در این روش brute force حساب کاربری، مهاجم به جای تست کردن رمزهای مختلف برای یک ایمیل، یک رمز عبور مشخص را روی تعداد زیادی از نام‌های کاربری امتحان می‌کند. این تکنیک زمانی مؤثر است که مهاجم بداند کاربران زیادی ممکن است از یک رمز عبور استفاده کنند. برای مثال، رمز عبور 123456 همچنان در میان میلیون‌ها کاربر استفاده می‌شود. هکرها می‌توانند این رمزها را روی لیستی از ایمیل‌ها یا نام‌های کاربری تست کنند تا به حساب‌های آسیب‌پذیر دسترسی پیدا کنند.