Ataki online a offline

Ataki na hasła dzielą się na dwa rodzaje. Ataki offline działają lokalnie na przechwyconych hashach — są szybkie, ciche i ograniczone wyłącznie możliwościami sprzętu. Ataki online sprawdzają hasła w działającej usłudze przez sieć — są powolne, głośne i ograniczane limitami częstotliwości.

Łamanie offline (Hashcat, John) wymaga najpierw pozyskania hashy — ze zrzutu bazy danych, pliku /etc/shadow lub przechwyconego handshake'u. Po ich uzyskaniu można wykonywać miliardy prób na sekundę, bez żadnego ruchu sieciowego.

Ataki online wysyłają próby logowania bezpośrednio do usługi: SSH, RDP, FTP, formularzy internetowych itp. Szybkość ograniczają opóźnienia sieci i limity częstotliwości serwera, a każda próba może zostać zarejestrowana lub wywołać blokadę konta.

THC-Hydra to standardowe narzędzie do przeprowadzania brute force online. Obsługuje wiele protokołów i wykonuje próby logowania równolegle. Należy podać nazwę użytkownika lub ich listę, listę haseł, cel oraz moduł usługi.

Najważniejsze opcje:

• -l pojedynczy użytkownik / -L lista użytkowników
• -p pojedyncze hasło / -P lista haseł
• -t zadania wykonywane równolegle
• -f zatrzymanie po pierwszym sukcesie

W przypadku formularzy logowania HTTP POST Hydra potrzebuje ścieżki, treści żądania POST z symbolami zastępczymi ^USER^/^PASS^ oraz ciągu oznaczającego błąd, aby rozpoznawać nieudane odpowiedzi.

Spraying odwraca kolejność brute force: jedno często używane hasło (np. Spring2024!) jest sprawdzane dla wielu kont. Pozwala to uniknąć progów blokady dotyczących pojedynczego konta i jest bardzo skuteczne przeciw organizacjom ze słabą polityką haseł.

Credential stuffing polega na ponownym wykorzystaniu par nazw użytkowników i haseł wyciekłych podczas innych naruszeń, przy założeniu, że użytkownicy używają tych samych danych w wielu miejscach. Nie wymaga żadnego łamania haseł — wystarczą poprawne pary pochodzące z wcześniejszego wycieku.

Obrońcy ograniczają ataki online za pomocą blokady kont, limitowania częstotliwości, CAPTCHA, MFA oraz monitorowania dużej liczby nieudanych prób. Zabezpieczenia te niewiele dają przeciw łamaniu offline, dlatego w celu ochrony przed nim ważne są silne funkcje skrótu (bcrypt/Argon2) oraz sole.

Jeśli można wykraść bazę hashy, należy działać offline — szybciej i bardziej dyskretnie. Jeśli dostępny jest tylko endpoint logowania, pozostaje działanie online — wtedy lepiej powoli sprawdzać kilka dobrych haseł dla wielu kont, zamiast intensywnie atakować jedno konto.

Ataki online mogą zablokować prawdziwych użytkowników i wywołać alerty — należy uzgodnić działania z klientem i przestrzegać zasad blokowania kont. Każdy atak należy przeprowadzać wyłącznie w ramach autoryzowanego zlecenia o określonym zakresie.

Porównałeś(-aś) strategie ataków:

• Offline = lokalne łamanie przechwyconych hashy; szybko i cicho
• Online = zgadywanie haseł w działającej usłudze; powoli, głośno i z ograniczeniem częstotliwości
• Hydra wykonuje brute force protokołów i formularzy internetowych
• Spraying i credential stuffing omijają blokady i wykorzystują wycieki danych

To kończy kurs Password Cracking.