حملات بروت فورس ( Brute Force )  یکی از رایج ترین حملات جهت دستیابی به نام کاربری و رمز عبور صفحات لاگین وب سایت ها ، صفحت لاگین ایمیل ها و انواع صفحات ورود میباشد. در این نوع حمله ، هکر با وارد کردن تمامی عبارات ممکن برای نام کاربری و رمز عبور ، آنها را بررسی میکند تا امکان ورود را بدست بیاورد.

در این حملات، هکر با استفاده از بات ، میلیاردها نام کاربری و رمز عبور را ارسال میکند و در نتیجه وب سایت هایی که از نظر امنیتی برای آن اقدامی صورت نگرفته است، آسیب پذیر خواهد بود. هکرها در این حملات هیچ محدودیت زمانی ندارند.

بنابراین آشنایی با این نوع حملات برای تمامی مدیران وب سایت ها و کسانی که دارای حساب کاربری در وب سایتی میباشند ، بسیار ضروری و روش های مقابله با آن نیز حائز اهمیت است.

در این مقاله به مفهوم Brute Force و راهکارهای جلوگیری از آن می پردازیم.

حمله بروت فورس (Brute Force ) چیست؟

بروت فورس نوعی از حملات کرکینگ است که هکر در آن با استفاده از یک ابزار ، با بررسی تمامی احتمالات موجود سعی در یافتن نام کاربری و رمز عبور سایت را دارد. این نوع حمله برای سیستم های مدیریت محتوا مانند وردپرس و جوملا و … و سرویس های رایج مانند FTP و SSH شایع است. این نوع حمله برای عباراتی با بیش از 5 یا 6 کاراکتر پرهزینه و بی ارزش خواهد بود.

حملات کرکینگ  (Cracking)

در حملات کرکینگ (Cracking) هکر با استفاده از ابزارهای مخصوص برای یافتن مقدار اولیه یک عبارت رمزگذاری شده و یا یک رمز عبور ، تلاش میکند. حملات کرکینگ اغلب الگوی خاصی نداشته و با بررسی تمامی احتمالات موجود و یا مورادی که احتمال صحیح بودن آن بیشتر است ، انجام میشود. دو مورد از مهمترین این حملات ، حملات دیکشنری  (Dictionary)  و حملات بروت فورس (Brute Force) است.

برای انجام حمله بروت فورس روش های متفاوتی وجود دارد که معمولترین آن حملات مبتنی بر دیکشنری (dictionary-based) است. در این روش هکرها با استفاده از لیستی شامل رمز عبورهای رایج و یا رمز عبورهایی که در گذشته با استفاده از آن به وب سایت ها نفوذ کرده اند ، به وب سایت حمله کرده و تا زمان بدست آوردن ترکیب درست از نام کاربری و رمز عبور به آن ادامه خواهند داد. پسورد دیکشنری ها با موضوعات مختلفی وجود دارد. به عنوان مثال فردی که به موسیقی علاقمند باشد ، به احتمال زیاد در پسورد خود از نام یک ستاره موسیقی استفاده کرده است.

حملات بروت فورس برای رمزهایی که فقط از اعداد یا کاراکترهای کمی استفاده شده باشد بسیار موثر خواهد بود. مثلاً یک رمز ۸ رقمی که از اعداد ۰-۹ استفاده شده است می‌تواند در کمتر از یک روز با یک کامپیوتر عادی کرک شود. به علاوه این متد برای رمزهایی با طول حدود ۵ و کمتر نیز بسیار مقرون به صرفه و کاربردی خواهد بود. مثلا اگر یک رمز ۵ کاراکتر با همه ۹۶ کاراکتر ممکن وجود داشته باشد، می‌تواند در کمتر از ۱۰ روز کرک شود.

هکرها با استفاده از صفحات لاگین وب سایت ها ( wp-admin یا wp-login برای  وردپرس و یا administrator برای جوملا ) میتوانند حمله خود را به بهترین صورت شروع کنند. بنابراین میتوان با مانیتور کردن این صفحات و بررسی تلاش های ورود ناموفق ، به شناسایی این حملات کمک کرد.

حفاظت در برابر حملات Brute Force 

حفاظت از وب سایت در برابر این حملات ،با استفاده از رمز عبورهای بسیار قوی برای کلیه کاربران و بخش های مختلف وب سایت ، امکانپذیر خواهد بود.برای ایجاد رمزهای قوی و پیچیده میتوان از نرم افزارهای مدیریت پسورد استفاده کرد.

حملات بروت فورس میتواند منجر به مشکل در دسترسی کاربران به وب سایت و به دلیل ارسال درخواست های متعدد در یک زمان به سرور، موجب افزایش لود سرور ، استفاده بیش از حد از منابع سرور و کندی بارگذاری سایت ها شود.

همواره توجه داشته باشید که تمامی کاربران باید دارای رمز عبور پیچیده و قوی بوده و حتی تعیین رمز عبور به صورت  آزمایشی برای انجام امور نیز میتواند منجر به موفقیت این حملات شود.

راهکار در برابر حملات Brute Force 

اولین و مهمترین راه برای جلوگیری از موفقیت آمیز بودن حملات بروت فورس استفاده از رمز عبور قوی و پیچیده است.

دومین راه محدود نمودن دسترسی به لینک های صفحات لاگین وب سایت ها است.شما میتوانید با استفاده از فایل htaccess ، دسترسی به صفحات لاگین را برای رنج های آی پی خاصی تعیین نمایید. اما این تلاش های نافرجام باعث بروز مشکلاتی مثل بالا رفتن لود سرور و کندی سرعت بارگذاری سایت شما خواهد شد.

بعنوان مثال در صورتیکه از وردپرس استفاده می کنید، تغییرات برای فایل htaccess بصورت زیر خواهد بود:

<Files /wp-login>
order deny,allow
allow from MYIP
allow from MYIP2
deny from all
</Files>

راه سوم استفاده از کد تصویر امنیتی Captcha است که قبل از ورود به سیستم میتواند سرعت حملات بورت فورس را کاهش دهد. به خصوص در وب سایت هایی ثبت نام برای کاهش اسپم و ربات ها بسیار مفید خواهد بود.

راه چهارم تایید هویت دو مرحله‌ای (۲FA) برای حساب‌های کاربری آنلاین است که در کاهش میزان احتمال موفقیت این حمله بسیار موثر خواهد بود.

توجه نمایید که هیچ گاه نمیتوان این حملات را متوقف نمود تنها بلکه میتوان با اتخاذ روش هایی از موفقیت آمیز بودن این حملات جلوگیری کرد.