كيفية الحماية من هجمات قاموس كلمات المرور

تهدد هجمات القاموس أمن شبكاتك ومنصاتك. يحاولون اختراق حساب مستخدم عن طريق إنشاء كلمة مرور مطابقة. تعرف على طريقة عملها وكيفية التغلب عليها

هجمات القاموس

تحتاج حسابات المستخدمين على أنظمة الكمبيوتر ومواقع الويب والخدمات المستضافة إلى الحماية من الوصول غير المصرح به. مصادقة المستخدم هي الطريقة الأكثر شيوعًا للقيام بذلك. يتم منح المستخدمين معرف مستخدم فريد للحسابات عبر الإنترنت ، وعادة ما يكون هذا هو عنوان البريد الإلكتروني وكلمة المرور. يجب توفير هذين الجزأين من المعلومات والتحقق منهما والتحقق منهما قبل أن يتمكن المستخدم من الوصول إلى الحساب.

هجمات القاموس هي عائلة من الهجمات الإلكترونية تشترك في أسلوب هجوم مشترك. يستخدمون قوائم طويلة - قواعد بيانات كاملة أحيانًا - من الكلمات وجزءًا من البرامج. يقرأ البرنامج كل كلمة من القائمة بدوره ويحاول استخدامها ككلمة مرور للحساب الذي يتعرض للهجوم. إذا تطابقت إحدى الكلمات الموجودة في القائمة مع كلمة المرور الأصلية ، فسيتم اختراق الحساب.

هذه الهجمات تختلف عن نوع هجوم القوة الغاشمة الأكثر بدائية. تحاول هجمات القوة الغاشمة مجموعات عشوائية من الأحرف والشخصيات على أمل أن تتعثر على كلمة المرور عن طريق الصدفة ونتمنى لك التوفيق. هذه الهجمات غير فعالة. إنها تستغرق وقتًا طويلاً وتستغرق وقتًا طويلاً من الناحية الحسابية.

يزداد الجهد المطلوب لاختراق كلمة المرور بشكل كبير مع كل حرف إضافي تضيفه إلى كلمة مرورك. هناك مجموعات بأحجام أكبر في كلمة المرور المكونة من ثمانية أحرف مقارنة بكلمة المرور المكونة من خمسة أحرف.ليس هناك ما يضمن نجاح هجوم القوة الغاشمة على الإطلاق. ولكن مع هجمات القاموس ، إذا تطابق أحد الإدخالات في القائمة مع كلمة المرور الخاصة بك ، سينجح الهجوم في النهاية.

بالطبع ، ستفرض معظم شبكات الشركات عمليات إغلاق الحساب تلقائيًا بعد عدد محدد من محاولات الوصول الفاشلة. في كثير من الأحيان على الرغم من أن الجهات الفاعلة في التهديد تبدأ من مواقع الويب الخاصة بالشركات ، والتي غالبًا ما يكون لديها ضوابط أقل صرامة على محاولات الوصول. وإذا تمكنوا من الوصول إلى موقع الويب ، فيمكنهم تجربة بيانات الاعتماد هذه على شبكة الشركة. إذا أعاد المستخدم استخدام كلمة المرور نفسها ، فإن الجهات المهددة موجودة الآن في شبكة شركتك. في معظم الحالات ، لا يكون موقع الويب أو البوابة الإلكترونية الهدف الحقيقي. إنها مشاركة مرحلية في طريقها إلى الجائزة الفعلية لممثل التهديد - شبكة الشركة

يسمح الوصول إلى موقع الويب للجهات الفاعلة في التهديد بحقن شفرة ضارة ستراقب محاولات تسجيل الدخول وتسجيل معرفات المستخدم وكلمات المرور. سيقوم إما بإرسال المعلومات إلى الجهات المهددة أو تسجيلها حتى يعودوا إلى الموقع لجمعها.

ليست مجرد كلمات في ملف

كانت الهجمات الأولى على القواميس كذلك. استخدموا كلمات من القاموس. هذا هو السبب في أن عبارة "لا تستخدم كلمة معجمية" كانت جزءًا من إرشادات اختيار كلمة مرور قوية.

تجاهل هذه النصيحة واختيار كلمة معجمية على أي حال ، ثم إضافة رقم إليها بحيث لا تتطابق مع كلمة في القاموس ، سيئ للغاية. الجهات المهددة التي تكتب برنامج هجوم القاموس حكيمة في هذا الأمر. لقد طوروا أسلوبًا جديدًا يجرب كل كلمة من القائمة عدة مرات. مع كل محاولة ، يتم إضافة بعض الأرقام إلى نهاية الكلمة. هذا لأن الأشخاص غالبًا ما يستخدمون كلمة ويلحقون رقمًا مثل 1 ، ثم 2 ، وهكذا ، في كل مرة يتعين عليهم تغيير كلمة المرور الخاصة بهم.

في بعض الأحيان يضيفون عددًا مكونًا من رقمين أو أربعة أرقام لتمثيل عام.قد يمثل عيد ميلاد أو ذكرى سنوية أو العام الذي فاز فيه فريقك بالكأس أو بعض الأحداث المهمة الأخرى. نظرًا لأن الأشخاص يستخدمون أسماء أطفالهم أو أسماء أخرى مهمة ككلمات مرور ، فقد تم توسيع قوائم القاموس لتشمل أسماء الذكور والإناث.

وتطور البرنامج مرة أخرى. المخططات التي تحل محل الأرقام للأحرف ، مثل 1 لـ "i" و 3 لـ "e" و 5 لـ "s" وهكذا لا تضيف تعقيدًا كبيرًا إلى كلمة مرورك. يعرف البرنامج الاصطلاحات ويعمل من خلال تلك المجموعات أيضًا.

في الوقت الحاضر ، لا تزال جميع هذه التقنيات مستخدمة ، إلى جانب القوائم الأخرى التي لا تحتوي على كلمات قاموس قياسية. تحتوي على كلمات مرور فعلية.

من أين تأتي قوائم كلمات المرور

يخزن موقع Have I Been Pwned المعروف مجموعة قابلة للبحث تضم أكثر من 10 مليارات حساب مخترق. في كل مرة يحدث خرق للبيانات ، يحاول القائمون على الموقع الحصول على البيانات. إذا تمكنوا من الحصول عليها يقومون بإضافتها إلى قواعد البيانات الخاصة بهم.

يمكنك البحث بحرية في قاعدة بيانات عناوين البريد الإلكتروني الخاصة بهم. إذا تم العثور على عنوان بريدك الإلكتروني في قاعدة البيانات ، فسيتم إخبارك بأي خرق للبيانات سرب معلوماتك. على سبيل المثال ، وجدت أحد عناوين البريد الإلكتروني القديمة في قاعدة بيانات Have I Been Pwned. تم تسريبه في خرق عام 2016 لموقع LinkedIn. هذا يعني أن كلمة المرور الخاصة بي لهذا الموقع قد تم اختراقها أيضًا. ولكن نظرًا لأن جميع كلمات المرور الخاصة بي فريدة ، فكل ما كان علي فعله هو تغيير كلمة المرور لهذا الموقع.

Have I been Pwned لديه قاعدة بيانات منفصلة لكلمات المرور. لا يمكنك مطابقة عناوين البريد الإلكتروني بكلمات المرور على موقع Have I Been Pwned لأسباب واضحة. إذا بحثت عن كلمة مرورك ووجدتها في القائمة ، فهذا لا يعني بالضرورة أن كلمة المرور جاءت من أحد حساباتك. مع وجود 10 مليارات حساب تم اختراقه ، ستكون هناك إدخالات مكررة. النقطة المثيرة للاهتمام هي إخبارك بمدى شعبية كلمة المرور هذه.كنت تعتقد أن كلمات السر الخاصة بك كانت فريدة من نوعها؟ ربما لا.

ولكن سواء جاءت كلمة المرور في قاعدة البيانات من أحد حساباتك أم لا ، إذا كانت موجودة على موقع Have I Been Pwned فستكون قوائم كلمات المرور التي يستخدمها برنامج هجوم الجهات المهددة. لا يهم مدى غموض كلمة مرورك أو غموضها. إذا كانت في قوائم كلمات المرور فلا يمكن الاعتماد عليها ، لذا قم بتغييرها على الفور.

الاختلافات في هجمات التخمين بكلمة المرور

حتى مع الهجمات منخفضة الحاجب نسبيًا مثل هجمات القاموس ، يمكن للمهاجم استخدام بعض الأبحاث البسيطة لمحاولة تسهيل مهمة البرنامج.

على سبيل المثال ، يمكنهم الاشتراك أو الاشتراك جزئيًا في الموقع الذي يرغبون في مهاجمته. سيتمكنون بعد ذلك من رؤية قواعد تعقيد كلمة المرور لهذا الموقع. إذا كان الحد الأدنى للطول ثمانية أحرف ، فيمكن تعيين البرنامج ليبدأ من ثمانية أحرف. لا جدوى من اختبار كل السلاسل المكونة من أربعة وخمسة وستة وسبعة أحرف.إذا كانت هناك أحرف غير مسموح بها فيمكن إزالتها من "الأبجدية" التي يمكن للبرنامج استخدامها.

هنا وصف موجز لأنواع مختلفة من الهجمات القائمة على القوائم.

• هجوم القوة الغاشمة التقليدية: في الواقع ، هذا ليس هجومًا قائمًا على القائمة. تُنشئ حزمة البرامج المخصصة والمكتوبة لغرض معين جميع مجموعات الأحرف والأرقام والأحرف الأخرى مثل علامات الترقيم والرموز ، في سلاسل أطول تدريجيًا. يحاول كل واحد باعتباره كلمة المرور على الحساب المعرض للهجوم. إذا حدث لتوليد مجموعة من الأحرف التي تتطابق مع كلمة المرور للحساب المعرض للهجوم ، فسيتم اختراق هذا الحساب.
• Dictionary Attack: تأخذ حزمة البرامج المخصصة والمكتوبة لغرض معين كلمة واحدة في كل مرة من قائمة كلمات القاموس ، وتجربها ككلمة مرور للحساب الذي يتعرض للهجوم. يمكن تطبيق التحويلات على كلمات القاموس مثل إضافة أرقام إليها واستبدال الأحرف بالأرقام.
• هجوم البحث عن كلمة المرور: مشابه لهجوم القاموس ، لكن قوائم الكلمات تحتوي على كلمات مرور فعلية. يقرأ البرنامج الآلي كلمة مرور في وقت واحد من قائمة ضخمة من كلمات المرور التي تم جمعها من عمليات اختراق البيانات.
• هجوم البحث عن كلمة المرور الذكي: مثل هجوم كلمة المرور ، ولكن تتم تجربة تحويلات كل كلمة مرور بالإضافة إلى كلمة المرور "المجردة". تحاكي التحويلات حيل كلمة المرور شائعة الاستخدام مثل استبدال أحرف العلة بالأرقام.
• API Attack: بدلاً من محاولة اختراق حساب المستخدم ، تستخدم هذه الهجمات برنامجًا لإنشاء سلاسل من الأحرف التي يأملون أن تتطابق مع مفتاح المستخدم لواجهة برمجة التطبيقات. إذا تمكنوا من الوصول إلى واجهة برمجة التطبيقات ، فقد يتمكنون من استغلالها لسرقة المعلومات الحساسة أو حقوق النشر الفكرية.

كلمة حول كلمات المرور

يجب أن تكون كلمات المرور قوية وفريدة من نوعها وغير مرتبطة بأي شيء يمكن اكتشافه أو استنتاجه عنك مثل أسماء الأطفال. عبارات المرور أفضل من كلمات المرور. ثلاث كلمات غير مرتبطة ببعضها ببعض علامات الترقيم هي نموذج قوي جدًا لكلمة المرور. بشكل عكسي ، تستخدم عبارات المرور كلمات القاموس بشكل شائع ، وقد تم تحذيرنا دائمًا من استخدام كلمات القاموس في كلمات المرور. لكن الجمع بينهما بهذه الطريقة يخلق مشكلة صعبة للغاية على برنامج الهجوم لحلها.

يمكننا استخدام موقع ويب How Secure Is My Password لاختبار قوة كلمات المرور الخاصة بنا.

• cloudavvyit: الوقت المقدر للكسر: ثلاثة أسابيع.
• cl0uds4vvy1t: الوقت المقدر للكسر: ثلاث سنوات.
• ثلاثين.الريشة.القطيع: الوقت المقدر للكسر: 41 كوادريليون سنة!

ولا تنس القاعدة الذهبية. يجب استخدام كلمات المرور على نظام أو موقع ويب واحد فقط.يجب عدم استخدامها في أكثر من مكان. إذا كنت تستخدم كلمات مرور في أكثر من نظام وتم اختراق أحد هذه الأنظمة ، فستكون جميع المواقع والأنظمة التي استخدمت كلمة المرور تلك عليها معرضة للخطر لأن كلمة المرور الخاصة بك ستكون في أيدي الجهات الفاعلة في التهديد وفي قوائم كلمات المرور الخاصة بهم. سواء كانت كلمة مرورك تستغرق 41 كوادريليون سنة للتصدع أم لا ، إذا كانت مدرجة في قوائم كلمات المرور الخاصة بهم ، فإن وقت الكراك غير ذي صلة على الإطلاق.

إذا كان لديك الكثير من كلمات المرور لتذكرها ، فاستخدم مدير كلمات المرور.

كيفية الحماية من هجمات القوة الغاشمة

الإستراتيجية الدفاعية متعددة الطبقات هي الأفضل دائمًا. لا يوجد إجراء دفاعي واحد سيجعلك محصنًا من هجمات القاموس ، ولكن هناك عددًا من الإجراءات التي يمكنك وضعها في الاعتبار والتي ستكمل بعضها البعض وتقلل بشكل كبير من خطر تعرضك لهذه الهجمات.

• تمكين المصادقة متعددة العواملحيثما أمكن ذلك. هذا يجلب شيئًا ماديًا يمتلكه المستخدم - مثل الهاتف الخلوي أو مفتاح USB أو fob - في المعادلة.يتم دمج المعلومات التي يتم إرسالها إلى أحد التطبيقات على الهاتف ، أو المعلومات الموجودة في فوب أو مفتاح USB في عملية المصادقة. معرف المستخدم وكلمة المرور لوحدهما غير كافيين للوصول إلى النظام.
• استخدم كلمات مرور وعبارات مرور قويةفريدة من نوعها ، ومخزنة بشكل آمن في شكل مشفر.
• إنشاء وطرح سياسة كلمة المرورالتي تحكم استخدام كلمات المرور وحمايتها وصياغتها المقبولة. قدمه لجميع الموظفين واجعله إلزاميا
• تحديد محاولات تسجيل الدخولإلى رقم منخفض. إما قفل الحساب عند الوصول إلى عدد المحاولات الفاشلة ، أو قفله وفرض تغيير كلمة المرور.
• Enable captchasأو غيرها من خطوات المصادقة الثانوية المستندة إلى الصورة. تهدف هذه إلى إيقاف برامج الروبوت وكلمات المرور لأن على الإنسان تفسير الصورة.
• ضع في اعتبارك استخدام مدير كلمات المروريمكن لمدير كلمات المرور إنشاء كلمات مرور معقدة لك.إنه يتذكر كلمة المرور التي يتم استخدامها مع أي حساب حتى لا تحتاج إلى ذلك. مدير كلمات المرور هو أسهل طريقة للحصول على كلمات مرور فريدة من نوعها لكل حساب تحتاج إلى تتبعه.