atak dictionary

Atak dictionary to metoda łamania haseł polegająca na systematycznym testowaniu słów z gotowej listy.

Na czym polega atak dictionary

Atak dictionary, nazywany po polsku atakiem słownikowym, jest techniką automatycznego odgadywania haseł. Program atakujący pobiera kolejne pozycje z przygotowanej listy i sprawdza, czy dana wartość pozwala zalogować się do konta albo odpowiada skrótowi kryptograficznemu hasła. Lista może zawierać zwykłe słowa, popularne imiona, nazwy firm, drużyn sportowych, miejscowości, tytuły filmów oraz często używane ciągi znaków. W odróżnieniu od pełnego przeszukiwania przestrzeni znaków atak słownikowy nie testuje wszystkich możliwych kombinacji, lecz koncentruje się na hasłach, które użytkownicy rzeczywiście często wybierają.

Podstawowa lista słownikowa może być rozszerzana o warianty tworzone według przewidywalnych reguł. Narzędzie może na przykład sprawdzać zapis z wielką pierwszą literą, dopisanie cyfr na końcu, zamianę litery „a” na znak „@”, dodanie roku albo znaku wykrzyknika. Z tego powodu hasło złożone ze słowa i prostego sufiksu, takie jak nazwa oraz rok, często nie zapewnia odporności oczekiwanej przez użytkownika. Atak słownikowy może być również elementem większej kampanii obejmującej wiele kont, zwłaszcza gdy napastnik dysponuje listą loginów i sprawdza tę samą grupę popularnych haseł po jednym razie dla każdego konta.

Atak online i sprawdzanie haseł poza usługą

W wariancie online próby są kierowane bezpośrednio do formularza logowania, usługi VPN, panelu administracyjnego, protokołu zdalnego dostępu albo innego interfejsu uwierzytelniania. Każda próba jest wtedy obsługiwana przez serwer, który może rejestrować adres źródłowy, identyfikator konta, czas żądania i wynik uwierzytelnienia. Skuteczność takiej metody ograniczają mechanizmy po stronie usługi: limitowanie liczby prób, opóźnienia po błędnych logowaniach, czasowa blokada konta, dodatkowe wyzwania oraz uwierzytelnianie wieloskładnikowe. Nadmiernie agresywna blokada kont może jednak zostać wykorzystana do celowego uniemożliwiania logowania prawidłowym użytkownikom.

Wariant offline jest możliwy wtedy, gdy napastnik uzyska bazę zawierającą skróty haseł lub dane używane do ich weryfikacji. Próby są wykonywane lokalnie, bez wysyłania każdego kandydata do serwera, dlatego ograniczenia logowania nie chronią bezpośrednio przed takim procesem. Znaczenie ma wówczas zastosowany mechanizm przechowywania haseł. Szybkie funkcje skrótu, takie jak SHA-256 użyta samodzielnie, pozwalają sprawdzać bardzo duże liczby kandydatów, natomiast funkcje przeznaczone do haseł, między innymi Argon2id, bcrypt, scrypt lub PBKDF2, celowo zwiększają koszt obliczeniowy weryfikacji. Sól dodana indywidualnie do każdego hasła uniemożliwia wykorzystanie jednego gotowego zestawu skrótów dla wielu identycznych haseł.

Skąd pochodzą listy używane do odgadywania

Listy słownikowe mogą powstawać na podstawie publicznych słowników językowych, wcześniejszych wycieków danych, nazw występujących na stronie internetowej organizacji oraz informacji zebranych o konkretnym użytkowniku. Wyciekłe hasła są szczególnie przydatne, ponieważ pokazują rzeczywiste przyzwyczajenia osób wybierających dane uwierzytelniające. Zestaw może zawierać zarówno całe hasła, jak i ich fragmenty, a także połączenia nazwy, daty, numeru telefonu lub lokalizacji. Użycie hasła, które było już ujawnione w innym serwisie, zwiększa ryzyko przejęcia konta także wtedy, gdy samo konto nie zostało zaatakowane w wyniku włamania do jego systemu.

Atak słownikowy różni się od ataku brute force zakresem sprawdzanych wartości. Brute force systematycznie przegląda kombinacje znaków określonego alfabetu i długości, więc jego koszt rośnie wraz z długością oraz różnorodnością hasła. Atak słownikowy może być znacznie szybszy wobec haseł opartych na słowach, lecz nie musi znaleźć długiego, losowego ciągu znaków, którego nie ma na liście ani nie da się przewidzieć za pomocą typowych reguł. Odmianą wykorzystującą informacje o wcześniejszych hasłach jest password spraying: napastnik sprawdza niewielką liczbę popularnych haseł na wielu kontach, aby ograniczyć ryzyko uruchomienia blokady pojedynczego konta.

Ochrona przed tym zagrożeniem obejmuje używanie długich, unikalnych haseł lub fraz, niepowtarzanie tego samego hasła w różnych usługach oraz korzystanie z menedżera haseł. W systemach obsługujących logowanie warto włączyć uwierzytelnianie wieloskładnikowe, monitorować nietypowe próby i stosować kontrolowane ograniczenia częstotliwości żądań. Administrator powinien przechowywać hasła wyłącznie przy użyciu funkcji przeznaczonych do tego celu, z unikalną solą i parametrami utrudniającymi masowe sprawdzanie kandydatów. Sama obecność wielkich liter, cyfr i znaków specjalnych nie gwarantuje odporności, jeśli całe hasło pozostaje krótkim lub popularnym wzorcem.

Znaczenie diagnostyki komputera po podejrzanych logowaniach

Ślady ataku słownikowego mogą być widoczne w historii logowania, powiadomieniach bezpieczeństwa, nietypowych zmianach ustawień konta, nowych rozszerzeniach przeglądarki albo nieoczekiwanym obciążeniu procesora i łącza. Przy diagnostyce należy rozdzielić nieudane próby logowania od potwierdzonego dostępu, sprawdzić czas zdarzeń oraz ustalić, czy użytkownik korzystał wtedy z danego urządzenia. Na komputerze lokalnym warto również zweryfikować aktualność systemu, stan programu antywirusowego, obecność nieznanych aplikacji uruchamianych wraz z systemem i zapisane sesje przeglądarki. Zmiana hasła powinna nastąpić z zaufanego urządzenia, szczególnie gdy istnieje podejrzenie złośliwego oprogramowania przechwytującego dane.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z logowaniem, wydajnością oraz konfiguracją oprogramowania zabezpieczającego. W przypadku podejrzenia przejęcia konta serwisowa ocena komputera może obejmować analizę uruchamianych procesów, podstawowych wpisów autostartu, aktualizacji systemu i oznak infekcji, bez utożsamiania pojedynczego błędnego logowania z potwierdzonym włamaniem. Wyniki diagnostyki powinny zostać zestawione z informacjami z samej usługi, ponieważ logi serwera wskazują, czy próba rzeczywiście dotarła do konta, a analiza komputera pokazuje, czy urządzenie mogło ujawnić hasło.