جزيره فناوري اطلاعات

اكثر مردم عادت دارند كه وقتي مي خواهند پسوردي براي يكي از حسابهاي كاربري خودشان چه در گوشي ، چه در ايميل و حتي حسابهاي بانكي و ... بسازند ، از كلمات و واژه هايي يا اسامي استفاده مي كنند كه بصورت روزمره با آن درگير هستند.

عادت به استفاده از كلماتي مثل نام دختر و پسر ، نام همسر ، نام سگ ، نام حيوان مورد علاقه ، نام كشور و نامهاي مختلف باعث شده است كه بسياري از رمزهاي عبوري كه ما امروزه در بين عموم مردم مي شناسيم ، عملا يك كلمه شناخته شده باشد.

• بيشتر بخوانيد : انواع حملات پسورد در هك و نفوذ ( Password Cracking Attacks )

بديهي است كه يكي از روشهاي پيدا كردن رمزهاي عبور ، حدس زدن است و اگر اكثريت مردم را در نظر بگيريم ، بسيار محتمل است كه رمزهاي عبور بسياري از آدم ها در يك دائره العمارف وجود داشته باشد.

استفاده كردن از اين مجموعه كلمات شناخته شده براي هك كردن و پيدا كردن پسورد به حمله ديكشنري يا Dictionary Attack معروف مي باشد. الزاما حمله ديكشنري به معني استفاده از واژه هاي يك ديكشنري نيست ، بلكه به مجموعه كلماتي كه احتمال دارد افراد به عنوان پسورد استفاده كنند نيز ديكشنري در بحث هك و نفوذ گفته مي شود.

حمله ديكشنري مي تواند باعث پيدا كردن كليد رمزگشايي يك پيام يا يك فايل باشد. حمله ديكشنري معمولا حروف بزرگ و كوچك ، تركيب حروف و بزرگ و كوچك ، استفاده همزمان از چند كلمه در كنار هم و ساير احتمالات را بررسي نمي كند و صرفا كلامتي كه عينا براي آن تعريف شده است را بررسي مي كند و به همين دليل سرعت بالايي دارد.

اگر قرار باشد حملات پسورد ، احتمالات را هم در خودش جاي بدهد ديگر به آن Dictionary Attack گفته نمي شود و در اصطلاح حمله Brute Force ناميده مي شود. حمله ديكشنري بر روي پسوردهاي قوي و پيچيده عملا كاربردي ندارد و فقط براي كرك كردن پسوردهاي عامي و شناخته شده كاربرد دارد.

حمله ديكشنري چگونه انجام مي شود؟

حمله ديكشنري با استفاده از يك ليست از پسوردهاي ممكن براي هدف مورد نفوذ انجام مي شود. هر بار يكي از كلماتي كه در ليست وجود دارند با Hash موجود چك مي شود تا در نهايت Hash ها برابر شوند و اين يعني اينكه پسوردها مشابه است. معمولا رمزهاي عبوري كه به سادگي قابل حدس هستند در ليست پسوردهاي اين حمله قرار مي گيرند براي مثال ليستي از پسوردهاي معمول در دنياي فناوري اطلاعات مثل :

• 123456
• 654321
• Qwerty123456
• Password

حتما در ليست پسوردهاي معمول قرار دارند. ليست پسوردهاي موجود با توجه به كشورها و زبان ها ممكن است متفاوت باشد. براي مثلا اگر گروهي از هكرها بخواهند به ايران حمله كنند ، قطعا بايد ليستي از اسامي كه در ايران به وفور استفاده مي شود را تست كنند.

براي مثال اسم Mohammad در ايران بسيار معمولا است و ممكن است رمز عبور شخصي يك نفر همنام باشد. حالا در كنار اين اسامي ، اسم تيم هاي فوتبال ، كلمات مرتبط به فرهنگ ، شهرها ، آثار تاريخي ، مناسبت ها ، آدرس ها و ... نيز در ليست ديكشنري اين حملات قرار ميگيرند.

ليست كلمه هايي كه در حمله ديكشنري مورد استفاده قرار مي گيرد بسيار متنوع و بزرگ مي تواند باشد و به همين دليل تست كردن بصورت دستي در اين حمله وجود ندارد و معمولا با استفاده از ابزارهايي كه حمله Brute Force را انجام مي دهند ، اين حمله انجام مي شود.

• بيشتر بخوانيد : آموزش ساخت پسورد قوي (رمز عبور قوي) بصورت تضميني به زبان ساده

حملاتي معمولا از جنس ديكشنري يا Brute Force هم بصورت آنلاين و هم بصورت آفلاين انجام مي شود اما معمولا حملات آنلاين به دليل Lock شدن يا قفل شدن فيلد ورود پسورد كمتر مورد استفاده قرار مي گيرد. اما در حملات آفلاين معمولا فايل رمزنگاري شده پسوردها در اختيار مهاجم است و تا جاييكه ممكن باشد تست هاي تطبيق را مي تواند با سرعت بالاتر انجام دهد.براي يادگيري بيشتر به دوره سكيوريتي پلاس مراجعه كنيد.