Wachtwoorden worden zelden op prijs gesteld totdat er een beveiligingsbreuk plaatsvindt; Het volstaat te zeggen dat het belang van een sterk wachtwoord alleen duidelijk wordt wanneer het wordt geconfronteerd met de gevolgen van een zwakke. De meeste eindgebruikers zijn echter niet op de hoogte van hoe kwetsbaar hun wachtwoorden zijn voor de meest voorkomende methoden voor het kraken van wachtwoord. Hierna volgen de drie gemeenschappelijke technieken voor het kraken van wachtwoorden en hoe u zich tegen hen kunt verdedigen.
Brute Force Attack
Brute Force -aanvallen zijn eenvoudige maar zeer effectieve technieken voor het kraken van wachtwoorden. Deze aanvallen omvatten kwaadaardige actoren die geautomatiseerde tools gebruiken om elke mogelijke wachtwoordcombinatie systematisch te proberen door herhaalde inlogpogingen. Hoewel dergelijke tools al jaren bestaan, heeft de komst van betaalbare rekenkracht en -opslag ze vandaag nog efficiënter gemaakt, vooral wanneer zwakke wachtwoorden worden gebruikt.
Hoe het werkt
Als het gaat om brute force -aanvallen, gebruiken kwaadaardige acteurs een reeks tactieken – van eenvoudige brute krachtaanvallen die elke mogelijke wachtwoordcombinatie testen tot meer genuanceerde benaderingen zoals hybride en omgekeerde brute krachtaanvallen. Elke methode heeft een duidelijke strategie erachter, maar de motieven achter brute krachtaanvallen zijn hetzelfde: ongeautoriseerde toegang krijgen tot beschermde gegevens of bronnen.
Enkele populaire geautomatiseerde tools voor het uitvoeren van brute force -aanvallen zijn onder meer:
- John the Ripper: een multiplatform wachtwoordcracker met ondersteuning voor 15 verschillende besturingssystemen en honderden hashes en cijfertypen
- L0PHTCRACK: een hulpmiddel dat regenboogtafels, woordenboeken en multiprocessor -algoritmen gebruikt om Windows -wachtwoorden te kraken
- Hashcat: een hulpprogramma Cracking/Password Recovery dat vijf unieke aanvalsmodi ondersteunt voor meer dan 300 zeer geoptimaliseerde hashing-algoritmen
Voorbeelden
In augustus 2021 werd de Amerikaanse mobiele operator T-Mobile het slachtoffer van een datalek die begon met een brute force-aanval. Het beveiligingscompromis resulteerde in de blootstelling van meer dan 37 miljoen klantengegevens met gevoelige gegevens zoals sofi -nummers, informatie over rijbewijs en andere persoonlijk identificeerbare gegevens.
Verdedigingsmaatregelen
Gebruikers moeten een sterke, complexe wachtwoorden en multi-factor authenticatie (MFA) kiezen om te beschermen tegen brute force-aanvallen. Beheerders moeten het beleid van het accountvergrendeling implementeren en hun Windows -omgevingen continu controleren voor zwakke en overtredende wachtwoorden. Tools zoals SpecOops wachtwoord Auditor kunnen deze processen automatiseren in uitgebreide IT -omgevingen.
Woordenboekaanval
In een aanval van een wachtwoordwoordenboek proberen cyberaanvallers toegang te krijgen door een lijst met gemeenschappelijke wachtwoorden of woorden uit een woordenboek te gebruiken. Deze vooraf gedefinieerde tekstlijst bevat meestal de meest gebruikte woorden, zinnen en eenvoudige combinaties (dwz “admin123”). Wachtwoordwoordenboekaanvallen onderstrepen het belang van complexe, unieke wachtwoorden, omdat deze aanvalstypen vooral effectief zijn tegen zwakke of gemakkelijk gundelige wachtwoorden.
Hoe het werkt
Het proces begint met het samenstellen van een lijst met potentiële wachtwoorden uit datalekken, gemeenschappelijke wachtwoordlijsten of openbaar beschikbare bronnen. Met behulp van een geautomatiseerde tool voeren kwaadaardige acteurs een woordenboekaanval uit, die elk wachtwoord systematisch testen op een doelaccount of systeem. Als een match wordt gevonden, kan de hacker toegang krijgen en daaropvolgende aanvallen of bewegingen uitvoeren.
Voorbeelden
Schadelijke actoren gebruikten wachtwoordwoordenboeken om met hashed wachtwoorden te kraken in verschillende spraakmakende beveiligingsincidenten, zoals de 2013 Yahoo Data Breach en de 2012 LinkedIn Data Breach. Hierdoor konden ze de accountinformatie van miljarden gebruikers stelen.
Verdedigingsmaatregelen
Bij het maken of opnieuw instellen van wachtwoorden moeten gebruikers een combinatie van letters, cijfers en speciale tekens gebruiken en voorkomen dat u gemeenschappelijke woorden of gemakkelijk guybare zinnen gebruikt. Beheerders kunnen de vereisten voor wachtwoordcomplexiteit in hun beleid implementeren om deze mandaten in de hele organisatie af te dwingen.
Regenboogtafelaanvallen
Een regenboogtafelaanval maakt gebruik van een speciale tabel (dwz een “regenboogtafel) bestaande uit vooraf berekende tekenreeksen of vaak gebruikte wachtwoorden en bijbehorende hashes om de wachtwoordhashes in een database te kraken.
Hoe het werkt
Regenboogtafelaanvallen werken door ketens van hashing- en reductie -bewerkingen te exploiteren om hash -wachtwoorden efficiënt te kraken. Potentiële wachtwoorden worden eerst gehasht en opgeslagen naast hun platte tekst tegenhangers in de regenboogtabel en vervolgens verwerkt met een reductiefunctie die ze in kaart brengt naar nieuwe waarden, wat resulteert in een keten van hashes. Dit proces wordt meerdere keren herhaald om de regenboogtafel te bouwen. Wanneer hackers een hash -lijst verkrijgen, kunnen ze elke hash -waarde in de regenboogtabel omkeren – een match wordt een match geïdentificeerd, het overeenkomstige wachtwoordwachtwoord wordt blootgesteld.
Voorbeelden
Hoewel het zouten (een methode om willekeurige tekens toe te voegen aan wachtwoorden vóór hashing) de effectiviteit van regenboogtafelaanvallen heeft verminderd, blijven veel hashes ongezouten; Bovendien hebben de vooruitgang in GPU’s en betaalbare hardware de opslagbeperkingen geëlimineerd die eenmaal geassocieerd met regenboogtabellen zijn geassocieerd. Als gevolg hiervan blijven deze aanvallen een waarschijnlijke tactiek in de huidige en toekomstige spraakmakende cyberaanvallen.
Verdedigingsmaatregelen
Zoals eerder vermeld, hebben gezouten hashes de effectiviteit van vooraf berekende tabellen aanzienlijk verminderd; Organisaties moeten daarom sterke hashing -algoritmen (bijv. BCrypt, scrypt) implementeren in hun wachtwoordprocessen. Beheerders moeten ook regelmatig wachtwoorden bijwerken en roteren om de kans op Rainbow Table Dictionary -wedstrijden/hits te verminderen.
Kortom, wachtwoorden zijn niet perfect, maar complexe en voldoende lange passpatje blijven een essentiële eerste lijn van verdediging tegen geavanceerde wachtwoordcracking-technieken. Tools zoals SpecOPS -beleid bieden een extra beschermingslaag door continu Active Directory te scannen tegen een database met meer dan 4 miljard overtredende wachtwoorden. Neem vandaag nog contact met ons op voor een gratis demo.
