オンライン攻撃とオフライン攻撃

パスワード攻撃は、大きく2つの世界に分かれます。オフライン攻撃は、取得したハッシュに対してローカルで実行するため、高速かつ静かで、制限となるのはハードウェアだけです。オンライン攻撃は、ネットワーク経由で稼働中のサービスに対して推測を行うため、低速で痕跡が残りやすく、レート制限も受けます。

オフラインクラック（Hashcat、John）では、まずデータベースダンプ、/etc/shadow、取得したハンドシェイクなどからハッシュを入手する必要があります。ハッシュを入手できれば、ネットワーク通信なしで毎秒数十億回の推測を実行できます。

オンライン攻撃では、SSH、RDP、FTP、Webフォームなどのサービスにログイン試行を直接送信します。速度はネットワーク遅延とサーバーのレート制限によって制限され、各試行が記録されたり、アカウントロックアウトを引き起こしたりする可能性があります。

THC-Hydraは、オンラインの総当たり攻撃で標準的に使われるツールです。多数のプロトコルに対応し、ログイン試行を並列化できます。ユーザー名またはユーザー名リスト、パスワードリスト、対象、サービスモジュールを指定して使用します。

主なフラグ：

• -l単一のユーザー / -Lユーザーリスト
• -p単一のパスワード / -Pパスワードリスト
• -t並列タスク数
• -f最初の成功時に停止

HTTP POSTログインフォームに対しては、Hydraにパス、^USER^と^PASS^のプレースホルダーを含むPOST本文、そしてどのレスポンスが不正解かを判定するための失敗文字列が必要です。

スプレー攻撃は総当たり攻撃を逆転させたものです。1つのよく使われるパスワード（例：Spring2024!）を多数のアカウントに対して試します。これにより、アカウントごとのロックアウトしきい値を回避でき、パスワードポリシーが弱い組織に対して非常に効果的です。

クレデンシャルスタッフィングでは、他の情報漏えいで流出したユーザー名とパスワードの組み合わせを再利用し、ユーザーが認証情報を使い回していることを狙います。クラックはまったく必要なく、以前のダンプから有効な組み合わせを入手するだけで実行できます。

防御側は、アカウントロックアウト、レート制限、CAPTCHA、MFA、そして多数の失敗試行の監視によってオンライン攻撃の効果を抑えます。これらはオフラインクラックにはほとんど効果がありません。そのため、オフライン攻撃への耐性には、ソルトを付加した強力なハッシュ（bcrypt/Argon2）が重要です。

ハッシュデータベースを盗み出せるなら、より高速で見つかりにくいオフライン攻撃を選びます。ログインエンドポイントしか利用できない場合はオンライン攻撃に限られるため、1つのアカウントを執拗に攻撃するのではなく、少数の有力なパスワードをゆっくりスプレーします。

オンライン攻撃は実際のユーザーをロックアウトさせたり、アラートを発生させたりする可能性があります。クライアントと調整し、ロックアウトポリシーを尊重してください。攻撃は、認可され、範囲が明確に定められた業務の中でのみ実施してください。

攻撃の種類を区別しましょう。

攻撃戦略を比較しました。

• オフライン＝取得したハッシュをローカルでクラックする。高速で静か
• オンライン＝稼働中のサービスに対して推測する。低速で痕跡が残りやすく、レート制限がある
• HydraはプロトコルやWebフォームに対して総当たり攻撃を行う
• スプレー攻撃とクレデンシャルスタッフィングは、ロックアウトを回避したり、流出した認証情報を再利用したりする

これで「Password Cracking」コースは完了です。