S rozvojem digitálních technologií se zvyšuje i aktivita kybernetických zločinců. Kybernetické útoky, mezi které patří i slovníkové útoky, představují vážnou hrozbu pro osobní i firemní data. Tento článek se zaměří na to, co slovníkové útoky jsou, jak se liší od jiných typů útoků a jak se proti nim můžeme bránit.
Co jsou slovníkové útoky?
Slovníkový útok je metoda, při které se útočník snaží prolomit šifrovací klíč pomocí předem definovaného seznamu hesel, tzv. „slovníku“. Tento seznam obsahuje nejčastěji používaná hesla, která byla dříve odhalena při úniku dat, nebo jsou odhadována na základě různých vzorů. Typicky se takové útoky zaměřují na e-mailové účty, hesla k Wi-Fi sítím, slabě šifrovaná hesla a účty internetového bankovnictví.
Slovník používaný při těchto útocích může obsahovat tisíce, až miliony záznamů. Úspěšnost slovníkových útoků plyne z toho, že mnoho uživatelů používá slabá a snadno uhodnutelná hesla, která lze odvodit na základě dřívějších úniků dat, například kombinací čísel, interpunkčních znamének, osobních identifikačních údajů apod.
Slovníkové útoky, řadící se mezi útoky hrubou silou, mohou probíhat online i offline. Během online útoku se útočník snaží rychle uhodnout heslo, aby si ho vlastník systému nevšiml. Při offline útoku může hacker zkoušet různá hesla z listu bez rizika zablokování účtu.
Dopady slovníkových útoků
Důsledky slovníkových útoků mohou být stejně závažné jako u jiných kybernetických hrozeb. Pokud útočník uhodne heslo, může získat neoprávněný přístup k systému, ukrást citlivé informace, způsobit finanční ztráty, narušit soukromí a identitu obětí.
Organizace mohou následkem těchto útoků čelit značným škodám. Získáním přístupu k více účtům v systému, může hacker způsobit narušení důvěry a poškození reputace. Kromě toho mohou být ohroženy osobní údaje zaměstnanců a zákazníků, což může vést k dalším útokům.
Zvýšené bezpečnostní opatření a ekonomické ztráty spojené s obnovou systému a řešením následků útoků se také negativně odrážejí na rozpočtu organizace. Úplné ovládnutí systému může vést k finančním obtížím, snížení produktivity, a dokonce i právním krokům.
Jak funguje slovníkový útok?
Podívejme se blíže na to, jak slovníkový útok probíhá:
Krok 1: Útočníci si připraví „slovník“ hesel. Někteří používají pouze optimalizovaný seznam nejčastějších hesel, jiní procházejí kompletní rozsáhlé seznamy.
Tato hesla sbírají z databází minulých úniků, zveřejněných hesel a předpokládaných frází. Mnoho lidí například používá jednoduchá hesla jako „heslo123“ nebo „12345“.
Hackeři také do slovníku zahrnují záznamy odvozené z životního stylu a demografických údajů, například hesla „fotbal123“ u mladých fanoušků fotbalu. Tento slovník může obsahovat miliony záznamů.
Krok 2: Po vytvoření slovníku si útočníci vyberou cílový systém, který chtějí prolomit. Může jít o e-mailové účty, profily na sociálních sítích, uživatelské účty webových stránek a aplikací.
Krok 3: Následuje srovnávání hesel ze slovníku s uživatelskými ID cílového systému.
Krok 4: Tento proces je obvykle automatizovaný a využívá robustní software. Pokud se heslo neshoduje, zkouší se další, dokud se nenajde to správné.
Úspěch útoku závisí na síle hesla. Slabá hesla jsou snadným cílem. Pokud je hacker zkušený, dokáže celý proces dokončit velmi rychle a může se mu podařit získat přístup k více účtům se stejnými nebo podobnými hesly.
Slovníkový útok vs. útoky hrubou silou
Slovníkový útok a útok hrubou silou jsou si podobné. Při slovníkovém útoku se útočník snaží uhodnout heslo z předem připraveného seznamu. Výhodou je rychlost, protože se nezkouší všechny možné kombinace znaků.
Útok hrubou silou naproti tomu zkouší všechny možné kombinace znaků, což je časově náročnější a vyžaduje větší výpočetní výkon.
Slovníkový útok vs. sprejování hesel
Sprejování hesel je specifickou formou slovníkového útoku. Rozdíl spočívá v tom, že se pro více uživatelských ID používá stejné heslo. Cílem je získat přístup k více účtům s omezeným počtem hesel. Úspěšnost sprejování hesel je obvykle nižší než u klasických slovníkových útoků, nicméně, může být efektivní u účtů se slabými hesly.
Slovníkový útok vs. útok pomocí duhových tabulek
Útok pomocí duhových tabulek se liší od slovníkového útoku tím, že se porovnávají hashované hodnoty hesel s hodnotami uloženými v tabulce. Na základě takto získané hashované hodnoty se hacker snaží odhalit heslo. Slovníkový útok, naopak, používá přímé porovnávání hesel ze seznamu.
Útoky pomocí duhových tabulek jsou rychlé, protože se neprochází celý seznam hesel, ale vyhledávají se hashované hodnoty. Účinnou obranou proti tomuto typu útoku je zasolení hesel, tedy přidání náhodných dat k heslu před hashováním.
Reálné příklady slovníkových útoků
Únik dat na LinkedIn
V roce 2012 došlo k závažnému úniku dat na LinkedIn. Slovníkový útok odhalil 160 milionů uživatelských pověření kvůli slabému zabezpečení a používání nezasolených hashů SHA-1 pro ukládání hesel.
Hack webu Ashley Madison
Seznamovací web Ashley Madison se stal terčem kontroverzního úniku dat v roce 2015. Útočníci získali přístup k hashovaným heslům, osobním údajům a platebním informacím uživatelů. Příčinou byla nedostatečná bezpečnostní opatření.
Útok na Dropbox
Cloudové úložiště Dropbox bylo zasaženo slovníkovým útokem, při kterém bylo odhaleno 68 milionů hashovaných hesel a e-mailových adres. Opět šlo o důsledek používání slabých hesel.
Hack společnosti Adobe
Společnost Adobe se stala obětí slovníkového útoku v roce 2013. Odhaleno bylo 38 milionů citlivých dat uživatelů, včetně zašifrovaných hesel a informací o kreditních kartách. K útoku došlo kvůli slabým metodám šifrování.
Jak zmírnit dopady slovníkových útoků
Uvedené příklady ukazují, jak důležité je silné šifrování a zabezpečení sítě pro ochranu před slovníkovými útoky. Zde je několik opatření, jak se bránit:
- Dvoufaktorové ověřování (2FA): Je nejlepší metodou ochrany účtu. Po přihlášení na webovou stránku, obdrží uživatel jednorázové heslo prostřednictvím SMS, které slouží k ověření totožnosti. K účtu se tak lze dostat pouze se správným kódem OTP. Toto ověření je velmi bezpečné i pro sociální sítě.
- Silná hesla: Vybírejte unikátní a složitá hesla, která kombinují velká a malá písmena, speciální znaky a číslice. Vyhněte se heslům s opakujícími se čísly, číselnými řadami a vašemu jménu.
- Správci hesel: Používejte správce hesel, kteří vám pomohou generovat silná hesla pro každý účet. Nemusíte si tak pamatovat všechna hesla.
- Pravidelné aktualizace: Udržujte aplikace, software a operační systém aktuální. Útočníci často zneužívají známé zranitelnosti v zastaralém softwaru.
- Zásady uzamčení účtu: Dočasné zablokování účtu po několika neúspěšných pokusech o přihlášení zabrání automatizovaným útokům.
- Používání captcha: Captcha na webových stránkách pomáhá rozlišit mezi aktivitou automatizovaných robotů a lidí.
- Firewally webových aplikací (WAF): WAF blokuje škodlivý provoz a chrání systém před slovníkovými útoky.
- Segmentace sítě: Omezte přístup k citlivým stránkám pomocí segmentace sítě, abyste snížili riziko útoků.
- Bezpečnostní audity a penetrační testy: Pravidelné provádění testů a auditů pomáhá odhalit slabiny systému.
- Implementace nástrojů behaviorální analýzy: Tyto nástroje pomáhají odhalovat neobvyklé aktivity při přihlašování.
- Systémy detekce a prevence narušení (IDPS): IDPS pomáhají detekovat podezřelé síťové aktivity a vzory přihlašování.
- Pravidelná změna hesla: Pravidelná změna hesel snižuje riziko kybernetických útoků.
- Nové technologie: Mnohé společnosti zavádějí nové technologie jako je přihlašování bez hesla, ověřování pomocí OTP nebo zasílání odkazů pro přihlášení e-mailem.
Oblíbení správci hesel pro prevenci slovníkových útoků
- Správce hesel Google bezpečně ukládá hesla a navrhuje silná hesla. Například pro web abc.com navrhne heslo „6exRa$c57GUjas2“.
- 1Password nabízí bezpečné úložiště hesel a citlivých údajů jako jsou informace o kreditních kartách.
- LastPass je výkonný správce hesel, který nabízí generování hesel, bezpečné úložiště a synchronizaci zařízení. Podporuje také vícefaktorové ověřování.
- Dashlane nabízí úložiště hesel, generátor hesel a digitální peněženku. Pravidelně aktualizuje hesla.
- Keeper je šifrovací software, který nabízí správu hesel, šifrované zprávy, monitorování temného webu a ukládání digitálních souborů.
Co dělat, když se stanete obětí slovníkového útoku
- Zkontrolujte své účty a hledejte podezřelou aktivitu na e-mailech, sociálních sítích a dalších platformách.
- Okamžitě změňte hesla a přidejte dvoufaktorové ověření.
- Nahlaste útok zákaznické podpoře a zeptejte se na další bezpečnostní opatření.
- Buďte ostražití a pravidelně kontrolujte a aktualizujte svůj software.
Závěr
S rozvojem technologií se vyvíjejí i metody kybernetických útočníků. Větší informovanost o online aktivitách a dodržování bezpečnostních zásad nám pomůže chránit se před slovníkovými útoky. Chcete-li se dozvědět více, můžete se podívat na základy kybernetické bezpečnosti pro začátečníky.