Como funcionam os ataques de força bruta

Um ataque de força bruta contra uma cifra testa todas as chaves possíveis até encontrar a correta. Para uma chave de n bits, existem 2^n chaves possíveis. Com uma chave de 3 bits, há apenas 8 possibilidades; com uma chave de 56 bits, há mais de 72 quatrilhões. A defesa fundamental contra a força bruta é escolher chaves grandes o suficiente para que a busca exaustiva seja computacionalmente inviável em qualquer período significativo.

DES (Padrão de Criptografia de Dados) usa uma chave de 56 bits, resultando em um espaço de chaves de aproximadamente 7.2 * 10^16. Em 1977, isso parecia enorme. Em 1998, a máquina Deep Crack da EFF quebrou o DES em 56 horas por US$ 250.000. Em 2006, um conjunto dedicado de computadores conseguia quebrar o DES em menos de 9 dias por menos de US$ 10.000. A lição era clara: 56 bits já não ofereciam segurança suficiente contra um adversário motivado.

AES-128 usa chaves de 128 bits, resultando em 2^128 chaves possíveis, aproximadamente 3.4 * 10^38. Se cada átomo do universo observável fosse um computador que realizasse um bilhão de testes de chaves por segundo desde o Big Bang, a busca não estaria nem perto de ser concluída. Mesmo com equipamentos futuros exponencialmente mais rápidos, espera-se que chaves de 128 bits permaneçam seguras contra a força bruta clássica no futuro previsível.

Os ataques de força bruta on-line têm como alvo sistemas ativos, enviando repetidamente solicitações de autenticação. Eles são limitados pela latência da rede, pelo tempo de resposta do servidor e pela limitação de taxa, o que os torna lentos. Os ataques de força bruta off-line funcionam contra dados roubados, como um banco de dados de resumos criptográficos de senhas. Com os resumos em mãos, um invasor pode testar bilhões de candidatos por segundo usando hardware local, sem restrições de rede.

As GPUs modernas contêm milhares de núcleos de processamento paralelo otimizados para aritmética de ponto flutuante. O Hashcat, principal ferramenta de quebra de resumos criptográficos em GPU, pode testar mais de 100 bilhões de resumos MD5 por segundo em uma única GPU de alto desempenho. Um conjunto com oito GPUs pode testar mais de 800 bilhões de candidatos por segundo. Isso torna senhas mal escolhidas e funções de resumo fracas vulneráveis à quebra rápida off-line.

Circuitos integrados de aplicação específica são chips projetados exclusivamente para um cálculo. Mineradores de Bitcoin usam ASICs que calculam resumos SHA-256 a dezenas de terahashes por segundo, muito mais rapidamente do que qualquer GPU. Embora os ASICs de Bitcoin realizem uma operação diferente daquela usada na quebra de senhas, o princípio se aplica: hardware criado para uma finalidade específica oferece um aumento de velocidade de várias ordens de magnitude em relação ao hardware de uso geral para cálculos criptográficos específicos.

A Lei de Moore observou que a densidade de transistores aproximadamente dobra a cada dois anos, proporcionando historicamente um aumento equivalente no poder computacional. Um comprimento de chave considerado seguro hoje precisa continuar seguro diante das melhorias de hardware das próximas décadas. Por isso, as recomendações de segurança incluem margens de segurança significativas. O AES-128 precisaria de um aumento de 2^64 vezes na velocidade computacional para se tornar vulnerável à força bruta clássica, algo muito além de qualquer extrapolação plausível da Lei de Moore.

A NIST SP 800-57 especifica níveis de segurança para algoritmos criptográficos. A segurança de 112 bits é o mínimo atual para sistemas novos. Recomenda-se segurança de 128 bits para proteção de longo prazo. Chaves simétricas de 256 bits proporcionam uma margem de segurança além das ameaças da computação clássica atualmente previsíveis. A NIST recomenda não usar níveis de segurança de 80 bits ou menos, considerados inadequados para qualquer aplicação nova.

O algoritmo quântico de busca de Grover oferece um ganho quadrático para buscas não estruturadas, o que significa que pode pesquisar um espaço de chaves com N itens em aproximadamente sqrt(N) etapas, em vez de N. Para o AES-128, isso reduz efetivamente a segurança para 64 bits contra um adversário quântico. Para o AES-256, a segurança efetiva contra o algoritmo de Grover é de 128 bits, razão pela qual chaves simétricas de 256 bits são recomendadas para a segurança pós-quântica.

Para manter uma segurança de 128 bits contra um computador quântico que execute o algoritmo de Grover, as chaves simétricas precisam ter pelo menos 256 bits. O AES-256 já tem esse tamanho e é considerado seguro contra ataques quânticos para criptografia simétrica. Para contextualizar, duplicar o comprimento da chave de 128 para 256 bits não duplica o esforço computacional do usuário legítimo — acrescenta apenas algumas rodadas do AES —, mas exige elevar ao quadrado os recursos quânticos do invasor.

As equipes de segurança usam ferramentas de força bruta em auditorias autorizadas de senhas para identificar credenciais fracas antes que os invasores o façam. Hashcat e John the Ripper são executados contra bancos de dados exportados de resumos criptográficos de senhas para determinar qual fração das senhas poderia ser quebrada. Os resultados da auditoria orientam melhorias nas políticas de senha: requisitos de comprimento mínimo, regras de complexidade e adoção de algoritmos modernos de resumo criptográfico de senhas, como bcrypt ou Argon2.

Como o algoritmo quântico de Grover afeta a segurança efetiva do AES-128?

A força bruta testa todas as chaves possíveis; a segurança exige espaços de chaves grandes demais para serem enumerados na prática. O DES de 56 bits foi quebrado em 1998. O AES-128, com 2^128 chaves, é inviável para computadores clássicos. Clusters de GPUs quebram resumos criptográficos a centenas de bilhões por segundo off-line. O algoritmo quântico de Grover reduz pela metade a segurança em bits, exigindo chaves de 256 bits para obter segurança pós-quântica de 128 bits. A NIST recomenda segurança mínima de 128 bits para sistemas novos.