Atac de força bruta

La DES Cracking Machine construïda per l'EFF a un cost de USD 250 000 conté més de 1800 chips especialment dissenyats i pot trencar per força bruta una clau DES en qüestió de dies — la fotografia mostra una targeta de circuit imprés DES Cracker que conté varis chips Deep Crack.

En criptografia, es denomina atac de força bruta a la forma de recuperar una clave provant totes les combinacions possibles fins a trobar aquella que permet l'accés.

Dit d'un atre modo, definix al procediment pel qual a partir del coneiximent de l'algoritme de sifrat empleat i d'un parell text clar/text sifrat, es realisa el sifrat (respectivament, dessifrat) d'un dels membres del parell en cada una de les possibles combinacions de clau, fins a obtindre l'atre membre del parell. L'esforç requerit per a que la busca siga exitosa en provabilitat millor que la parell serà $10^n-1$ operacions, a on $n$ és la llongitut de la clau (també conegut com el espai de claus). Este enfocament no depén de tàctiques intelectuals; més be, es basa en fer varis intents.

Un atre factor determinant en el cost de realisar un atac de força bruta és el joc de caràcters que es poden utilisar en la clau. Contrasenyes que només utilisen dígits numèrics seran més fàcils de dessifrar que aquelles que inclouen atres caràcters com a lletres, aixina com les que estan compostes per menys caràcters seran també més fàcils de dessifrar, la complexitat imposta per la cantitat de caràcters en una contrasenya és logarítmica.

Descripció i càlcul

La força bruta sol combinar-se en un atac de diccionari, en el que es troben diferents paraules per a anar provant en elles.

Estos tipos d'atacs, no són ràpits, per a una contrasenya complexa, pot aplegar a tardar sigles (encara que també depén de la capacitat d'operació de l'ordenador que ho eixecute).

En l'actualitat este tipo d'atacs són usats per a hackear Facebook, correus electrònics, auditar rets WiFi i atres rets socials.

Es pot calcular la cantitat de possibles contrasenyes. D'açò depén la cantitat de caràcters de la contrasenya en qüestió, i el conjunt de caràcters. Evidentment, ya que la contrasenya es desconeix, no se sap cuán llarga és, ni quins caràcters conté; no obstant, de moment considerem una contrasenya d'exactament $10$ caràcters, dels quals dits caràcters són els següents $75$: l'alfabet espanyol (a-z, A-Z, contant la eñe, és dir $27\cdot 2=54$ caràcters), els caràcters numèrics (0-9, és dir $10$ caràcters), i els $11$ caràcters #, $, %, &, /, *, -, ., _ i '. És dir, considerarem un total de $54+10+11=75$ possibles caràcters.

Procedim al càlcul. Ya que és possible repetir caràcters, i la seua orde sí importa, el problema es tracta d'una variació en repetició (no d'una combinació, ni una permutació), i per lo tant de l'estadística/combinatòria tenim que existix un total de $75^{10}$ possibles contrasenyes; note's que la cantitat de possibles contrasenyes varia exponencialment, no linealmente. Pero açò és suponent que la contrasenya és exactament de $10$ caràcters, i dels quals tots eixos són alguns dels $75$ mencionats anteriorment. Sabem que la contrasenya desconeguda no necessàriament serà de $10$ caràcters, sino que pot ser més curta o més llarga (de $4,5,6,7,\dots$ caràcters), de manera que també devem considerar eixes possibilitats; supondrem que la contrasenya és d'a lo manco $4$ caràcters i com a molt de $20$, inclusivament. També sabem que és possible que la contrasenya tinga atres caràcters (per eixemple "+", "?", i inclús caràcters d'atres alfabets com el grec o el japonés, i qualsevol caràcter UNICODE), encara que ometrem este fet i nos conformarem en el conjunt anterior. Per lo tant, en definitiva, existix un total de $75^4+75^5+75^6+\cdots +75^{20}$ possibles contrasenyes. El resultat d'esta suma és el següent:

$\sum _{i=4}^{20}75^i=32140661543249931324877448984094140625\approx 3.2141\text{E}37$

possibles contrasenyes. Òbviament en realitat no és necessari provar-les totes; es requeririen $3.2141\text{E}37$ intents només si per moltíssima casualitat l'últim intent de contrasenya és el correcte, pero la provabilitat de que això ocórrega és pràcticament 0; en canvi, podem assumir que en promig s'endevinarà la clau quan s'haja provat la mitat de les possibles combinacions, és dir $\frac{3.2141\text{E}37}{2}=1.6070\text{E}37$, baix les suposicions mencionades abans. Este número és molt gran, per lo que pot prendre molt temps en trobar la contrasenya correcta, manifestant la desventaja de l'atac de força bruta. Per a endevinar una contrasenya també influiran atres factors tals com la rapidea de la computadora usada, en quin número d'intents s'endevinaria (la qual cosa en general es desconeix), si el servidor o sitie web té CAPTCHA, i/o si el servidor o sitie web deshabilita temporalment l'accés a un conte per varis intents de contrasenya (actualment llocs com Facebook deshabilitan temporalment després de varis intents fallancs, i uns atres com Snapchat requerixen resoldre CAPTCHA, pero Instagram no ampra cap d'eixes dos tècniques i per això els seus usuaris són més vulnerables als hackers).

Troy Hunt, un director regional de Microsoft d'Austràlia, va analisar les contrasenyes dels llocs web de Sony i Gawker obtinguts en un breach (violació de senyes) i les publicades pel grup d'hackers LulzSec incloent llocs com pron.com. D'este anàlisis va determinar que el 14 % de contrasenyes són de noms de persones (p. eix. maggie, michael, jennifer), el 8 % són de noms de llocs (p. eix. dallas, canada, boston), el 25 % són paraules de diccionaris (p. eix. password, monkey, dragon), el 14 % són exclusivament números (p. eix. 123456, 12345678, 123456789), el 2.7 % són paraules repetides dos voltes (p. eix. blahblah, poopoo, lovelove), el 2.6 % són paraules del correu de l'usuari (p. eix. murphy666 en murphy666…, baolihua en baolihua…, i racecar73 en racecar73…), entre atres categories.

El lloc web WP Engine (WordPress Engine) va analisar dos conjunts de senyes sobre contrasenyes, un que es va publicar en fòrum rus de BitCoin i un atre publicat pel consultor de seguritat Mark Burnett que inclou més de 10 millons de contrasenyes en tota la web. D'este anàlisis es va observar que algunes de les contrasenyes més comunes són 123456, password, 12345678, qwerty, 123456789, 12345, 1234, 111111, 1234567, dragon, 123123, baseball, abc123, football, monkey, letmein, shadow, master, 696969, michael, mustang, 666666, qwertyuiop, 123321, 1234567890. També es va observar que és comú afegir un número entre 1 i 9 al final de la contrasenya. En eixe anàlisis també es revelen contrasenyes d'empleats d'empreses com Facebook, Yahoo!, Mozilla, BBC, Vimeo, Nike, Microsoft, BuzzFeed, PayPal, IBM, Google, Twitter, GitHub, Pinterest, i Dropbox.