Атака по словарю — метод подбора паролей, при котором перебираются слова, популярные пароли и утёкшие учётные данные из заранее подготовленного списка, а не все возможные комбинации символов.
Как работает атака по словарю
Атака по словарю — более «умная» разновидность брутфорса. Вместо того чтобы проверять «aaaa», «aaab» и так далее, атакующий берёт словарь (wordlist): обычные слова, имена, клавиатурные последовательности и прежде всего реальные пароли из прошлых утечек. Самый известный список, rockyou.txt, появился после взлома RockYou в 2009 году, когда более 32 миллионов паролей хранились в открытом виде.
Атаки бывают двух видов:
- Онлайн — подбор через работающую форму входа, VPN или SSH (MITRE ATT&CK T1110.001). Это медленно и легко заметно, поэтому атакующие часто используют password spraying: несколько популярных паролей против множества учётных записей.
- Офлайн — взлом украденных хешей паролей (T1110.002) инструментами вроде Hashcat или John the Ripper. Правила мутации добавляют цифры, заглавные буквы и замены символов («P@ssw0rd2024»), а видеокарты проверяют миллиарды вариантов в секунду против быстрых хешей.
Почему это важно
Люди выбирают предсказуемые пароли и используют их повторно, поэтому словари позволяют взломать значительную долю реальных учётных записей. Подобранные пароли затем идут в подстановку учётных данных на других сервисах. Заранее вычисленные радужные таблицы ещё сильнее ускоряют атаки на хеши без соли.
Как защититься
- Блокировать распространённые и утёкшие пароли при регистрации, как рекомендует NIST SP 800-63B, и поощрять длинные парольные фразы.
- Хранить пароли с помощью медленных алгоритмов bcrypt, scrypt или Argon2 и уникальной соли.
- Ограничивать частоту попыток входа, отслеживать их и блокировать или проверять подозрительные источники.
- Включить многофакторную аутентификацию и пользоваться менеджером паролей.
