Jak łamane są hasła
Atakujący mogą zgadywać popularne hasła, wykorzystywać ujawnione dane logowania lub testować kombinacje offline na skradzionych skrótach haseł.
Krótka odpowiedź
Atakujący mogą próbować danych logowania użytych ponownie po wyciekach, odgadywać typowe ludzkie schematy lub sprawdzać kandydatów na hasła względem skradzionych danych służących do ich weryfikacji. Metoda zależy od tego, czy atakują działający formularz logowania, czy zdobyli dane weryfikacyjne.
Ataki z użyciem wykradzionych danych logowania
Credential stuffing polega na sprawdzaniu par nazw użytkownika i haseł ujawnionych w jednym wycieku w innych usługach. Unikalne hasło do każdego konta zapobiega użyciu jednego ujawnionego hasła do otwarcia niezwiązanych ze sobą kont. (OWASP Authentication Cheat Sheet)
Zgadywanie online i łamanie offline
Próby online przechodzą przez usługę, która może je ograniczać lub wykrywać. Łamanie offline korzysta ze skradzionych weryfikatorów haseł i pozwala sprawdzać kandydatów bez kontaktu z usługą; solony, celowo kosztowny schemat haszowania haseł zwiększa koszt każdej próby. (NIST SP 800-63B-4) (OWASP Password Storage Cheat Sheet)
Co pomaga chronić konta?
Używaj unikalnych haseł, włącz uwierzytelnianie wieloskładnikowe, instaluj aktualizacje i zmieniaj hasło, gdy usługa zgłasza naruszenie bezpieczeństwa. Nie używaj hasła ponownie tylko dlatego, że wygląda na skomplikowane. (NIST SP 800-63B-4)
Poznaj powiązane narzędzia
Przeglądaj wszystkie bezpłatne narzędzia lub przeglądaj narzędzia według zawodu.