Serangan Online vs Offline

Serangan kata sandi terbagi menjadi dua dunia. Serangan luring bekerja pada hash yang diperoleh secara lokal — cepat, senyap, dan hanya dibatasi oleh perangkat keras. Serangan daring menebak kata sandi terhadap layanan aktif melalui jaringan — lambat, berisik, dan dibatasi lajunya.

Pembobolan luring (Hashcat, John) mengharuskan Anda terlebih dahulu memperoleh hash — dari pembuangan basis data, /etc/shadow, atau jabat tangan yang ditangkap. Setelah memilikinya, Anda dapat melakukan miliaran tebakan per detik tanpa lalu lintas jaringan sama sekali.

Serangan daring mengirimkan percobaan login langsung ke layanan: SSH, RDP, FTP, formulir web, dan sebagainya. Kecepatan dibatasi oleh latensi jaringan dan batas laju server, dan setiap percobaan dapat dicatat atau memicu penguncian akun.

THC-Hydra adalah alat brute force daring standar. Alat ini mendukung banyak protokol dan menjalankan percobaan login secara paralel. Anda memberikan nama pengguna/daftarnya, daftar kata sandi, target, dan modul layanan.

Opsi utama:

• -l satu pengguna / -L daftar pengguna
• -p satu kata sandi / -P daftar kata sandi
• -t tugas paralel
• -f berhenti saat berhasil untuk pertama kali

Untuk formulir login HTTP POST, Hydra memerlukan jalur, isi POST dengan penampung ^USER^/^PASS^, dan string kegagalan agar dapat mengetahui respons mana yang salah.

Spraying membalikkan brute force: coba satu kata sandi umum (misalnya Spring2024!) pada banyak akun. Cara ini menghindari ambang penguncian per akun dan sangat efektif terhadap organisasi dengan kebijakan kata sandi yang lemah.

Credential stuffing mengulangi pasangan nama pengguna/kata sandi yang bocor dari pelanggaran lain, dengan mengandalkan kebiasaan pengguna memakai ulang kredensial. Cara ini sama sekali tidak memerlukan pembobolan — cukup pasangan yang valid dari pembuangan data sebelumnya.

Pihak yang bertahan mengurangi dampak serangan daring dengan penguncian akun, pembatasan laju, CAPTCHA, MFA, dan pemantauan terhadap banyak kegagalan. Semua ini tidak banyak membantu melawan pembobolan luring, sehingga hashing kuat (bcrypt/Argon2) ditambah salt penting untuk ketahanan terhadap serangan luring.

Jika Anda dapat mencuri basis data hash, pilih cara luring — lebih cepat dan lebih sulit terdeteksi. Jika Anda hanya memiliki titik akhir login, Anda terpaksa bekerja secara daring — jadi sebarkan beberapa kata sandi yang baik secara perlahan, bukan membombardir satu akun.

Serangan daring dapat mengunci pengguna yang sebenarnya dan memicu peringatan — berkoordinasilah dengan klien dan hormati kebijakan penguncian. Lakukan serangan hanya dalam pekerjaan yang berwenang dan memiliki cakupan yang jelas.

Bedakan jenis-jenis serangan.

Anda telah membandingkan strategi serangan:

• Luring = membobol hash yang ditangkap secara lokal; cepat dan senyap
• Daring = menebak terhadap layanan aktif; lambat, berisik, dan dibatasi lajunya
• Hydra melakukan brute force terhadap protokol dan formulir web
• Spraying dan credential stuffing menghindari penguncian dan memanfaatkan kebocoran yang digunakan ulang

Kursus Pembobolan Kata Sandi telah selesai.