暴力破解攻击的工作原理

针对密码算法的暴力破解会尝试每一把可能的密钥，直到找到正确的密钥。对于 n 位密钥，共有 2^n 把可能的密钥。3 位密钥只有 8 种可能；56 位密钥则超过 7.2×10^16 种可能。防御暴力破解的根本方法，是选择足够长的密钥，使穷举搜索在任何有实际意义的时间内都无法通过计算完成。

DES（数据加密标准）使用 56 位密钥，密钥空间约为 7.2 * 10^16。1977 年，这个规模看起来大得惊人。到 1998 年，EFF 的 Deep Crack 机器以 25 万美元的成本在 56 小时内破解了 DES。到 2006 年，一组专用计算机集群可以在不到 9 天内破解 DES，成本低于 1 万美元。教训十分明确：面对有动机的对手，56 位密钥已经不再提供足够的安全性。

AES-128 使用 128 位密钥，因此有 2^128 把可能的密钥，约为 3.4 * 10^38。如果可观测宇宙中的每个原子都变成一台计算机，并且从大爆炸开始每秒进行十亿次密钥测试，搜索也远未完成。即使未来出现速度呈指数级提升的硬件，在可预见的将来，128 位密钥预计仍能抵御传统暴力破解。

在线暴力破解攻击的目标是正在运行的系统，攻击者会反复发送身份验证请求。这类攻击会受到网络延迟、服务器响应时间和速率限制的约束，因此速度较慢。离线暴力破解攻击则针对被窃取的数据，例如存储密码哈希值的数据库。攻击者掌握哈希值后，可以利用本地硬件每秒测试数十亿个候选密码，不受网络限制。

现代 GPU 包含数千个并行处理核心，专门针对浮点运算进行了优化。Hashcat 是领先的 GPU 哈希破解工具，在单个高端 GPU 上每秒可以测试超过 1000 亿个 MD5 哈希值。由八个 GPU 组成的设备组每秒可以测试超过 8000 亿个候选密码。因此，选择不当的密码和较弱的哈希函数很容易受到快速离线破解的攻击。

专用集成电路是专门为单一计算任务设计的芯片。比特币矿工使用 ASIC，以每秒数十万亿次的速度计算 SHA-256 哈希值，速度远超任何 GPU。虽然比特币 ASIC 执行的运算与密码破解不同，但其原理是相同的：对于特定的密码学计算，专用硬件相较于通用硬件可以带来数量级的速度提升。

摩尔定律指出，晶体管密度大约每两年翻一番，历史上也因此带来了相应的计算能力提升。今天被认为安全的密钥长度，必须能够在未来几十年的硬件改进中继续保持安全。因此，安全建议通常会加入显著的安全余量。要让 AES-128 容易受到经典暴力破解攻击，计算能力需要提升 2^64 倍，这远远超出任何合理的摩尔定律推算。

NIST SP 800-57 规定了加密算法的安全强度。对于新系统，112 位安全性是目前的最低标准。对于长期保护，建议使用 128 位安全性。256 位对称密钥提供了超出当前可预见的经典计算威胁的安全余量。NIST 不建议使用 80 位及以下的安全级别，因为对于任何新应用而言，这些级别都被认为不够安全。

Grover 量子搜索算法可以为无结构搜索提供平方级加速，这意味着它搜索包含 N 个项目的密钥空间时，大约只需 sqrt(N) 步，而不是 N 步。对于 AES-128，面对量子攻击者时，有效安全性会降至 64 位。对于 AES-256，Grover 算法下的有效安全性为 128 位，这也是建议使用 256 位对称密钥以实现后量子安全性的原因。

为了抵御运行 Grover 算法的量子计算机并维持 128 位安全性，对称密钥长度必须至少为 256 位。AES-256 已达到这一长度，因此被认为可以为对称加密提供抗量子安全性。作为参考，将密钥长度从 128 位增加到 256 位，并不会让合法用户的计算量翻倍（只需增加少量 AES 轮次），但会要求攻击者的量子资源提升到平方数量级。

安全团队会在获得授权的密码审计中使用暴力破解工具，以便在攻击者之前发现薄弱凭据。Hashcat 和 John the Ripper 会针对导出的密码哈希数据库运行，用于确定有多少比例的密码可以被破解。审计结果会推动密码策略改进，包括最低长度要求、复杂度规则，以及采用 bcrypt 或 Argon2 等现代密码哈希算法。

暴力破解会测试每个可能的密钥；要保证安全，密钥空间必须大到无法在实践中枚举。56 位的 DES 在 1998 年被破解。AES-128 的密钥数量为 2^128，经典计算机无法实际遍历。GPU 集群在离线环境下每秒可以破解数千亿个哈希值。Grover 量子算法会使位安全性减半，因此要实现 128 位后量子安全性，需要使用 256 位密钥。NIST 建议新系统至少采用 128 位安全性。