ブルートフォース攻撃

暗号学におけるブルートフォース攻撃は、攻撃者が多数のパスワードやパスフレーズを提出し、最終的に正しく推測することを期待するものである。攻撃者は、正しいものが見つかるまで、すべての可能性のあるパスワードとパスフレーズを体系的にチェックする。あるいは、攻撃者は、通常、鍵導出関数を使用してパスワードから作成される鍵を推測しようとする。これは、網羅的鍵検索と呼ばれる。このアプローチは、知的戦術に依存せず、むしろ、複数回の試行に依存している。^[要出典]

ブルートフォース攻撃は、理論的にはあらゆる暗号化されたデータ（情報理論的に安全な方法で暗号化されたデータを除く）を解読しようとするために使用される暗号解読攻撃です。 ^[1] このような攻撃は、暗号化システムの他の弱点（存在する場合）を利用して作業を容易にすることが不可能な場合に使用される可能性があります。

パスワードを推測する場合、この方法はすべての短いパスワードをチェックするのに使用すると非常に高速ですが、長いパスワードの場合は、総当たり検索に時間がかかりすぎるため、辞書攻撃などの他の方法が使用されます。長いパスワード、パスフレーズ、キーにはより多くの値があり、文字の多様性により、短いパスワードよりも解読が指数関数的に困難になります。^[2]

ブルートフォース攻撃は、暗号化するデータを難読化して、攻撃者がコードが解読されたことを認識しにくくしたり、攻撃者が推測をテストするためにより多くの作業を行わせたりすることで、効果を弱めることができます。暗号化システムの強度を測る基準の 1 つは、理論上、攻撃者がブルートフォース攻撃を成功させるのにどれくらいの時間がかかるかです。^[3]

ブルートフォース攻撃は、すべての候補を列挙し、それぞれをチェックするという一般的な問題解決手法であるブルートフォース検索の応用です。ブルートフォース攻撃を説明するために「ハンマリング」という言葉が使われることもあります。 ^[4]対抗策として「アンチハンマリング」が使われます。^[5]

ブルートフォース攻撃は、パスワードを構成する可能性のあるすべての組み合わせを計算し、それが正しいパスワードであるかどうかをテストすることによって機能します。パスワードの長さが長くなると、正しいパスワードを見つけるのにかかる平均時間は指数関数的に増加します。^[6]

ブルートフォース攻撃に必要なリソースは、キーのサイズが大きくなるにつれて、線形ではなく指数関数的に増加します。米国の輸出規制では、歴史的にキーの長さが 56 ビットの対称キーに制限されていましたが(例: Data Encryption Standard )、これらの制限はなくなったため、現代の対称アルゴリズムでは通常、計算的に強力な 128 ～ 256 ビットのキーが使用されます。

128 ビットの対称鍵はブルートフォース攻撃に対して計算上安全であるという物理的な議論があります。物理法則によって暗示されるランダウアー限界は、計算で消去されるビットあたりkT  · ln 2の計算を実行するために必要なエネルギーの下限を設定します。ここで、 Tはケルビン単位での計算デバイスの温度、kはボルツマン定数、 2 の自然対数は約 0.693 (0.6931471805599453) です。原理上も、不可逆な計算デバイスはこれより少ないエネルギーしか使用できません。^[7]したがって、128 ビットの対称鍵の可能な値を単純に反転するには (実際の計算を実行して確認することは無視します)、理論的には、従来のプロセッサで2 ¹²⁸ − 1ビットの反転 が必要になります。計算が室温（≈300 K）付近で行われると仮定すると、フォン・ノイマン・ランダウアー限界を適用して、必要なエネルギーを≈10 ¹⁸ ジュールと見積もることができます。これは、1年間で30ギガワットの電力を消費することに相当します。これは、30×10 ⁹ W×365×24×3600 s = 9.46×10 ^{17 Jまたは262.7 TWh（}世界の年間エネルギー生産量の約0.1％）に相当します。実際の計算全体（各キーをチェックして解が見つかったかどうかを確認する）では、この量の何倍も消費されます。さらに、これは単にキー空間を循環するために必要なエネルギーであり、各ビットを反転するのにかかる実際の時間は考慮されていません。これは確かに0より大きいです（ブレーマーマンの限界を参照）。^[要出典]

しかし、この議論は、レジスタ値が従来のセットおよびクリア操作を使用して変更されることを前提としており、必然的にエントロピーが生成されます。計算ハードウェアは、この理論的な障害に遭遇しないように設計できることが示されています（可逆コンピューティングを参照）が、そのようなコンピュータが構築されたことは知られていません。^[要出典]

政府向けASICソリューションの商用後継製品が利用可能になり、カスタムハードウェア攻撃としても知られるようになったため、2つの新興技術が特定の暗号に対するブルートフォース攻撃の能力を実証しました。1つは最新のグラフィックス処理装置（GPU）技術、^{[8] [ページが必要]、}もう1つはフィールドプログラマブルゲートアレイ（FPGA）技術です。GPUは幅広い可用性と価格性能比のメリットを享受し、FPGAは暗号化操作あたりのエネルギー効率のメリットを享受します。どちらの技術も、並列処理のメリットをブルートフォース攻撃に持ち込もうとしています。GPUの場合は数百、FPGAの場合は数千の処理ユニットがあり、従来のプロセッサよりもパスワードのクラッキングに適しています。たとえば、2022年には、8つのNvidia RTX 4090 GPUがリンクされ、ソフトウェアHashcatを使用してパスワードの強度がテストされ、48分で2000億の8文字のNTLMパスワードの組み合わせを循環できることが示されました。^{[9] [10]}

暗号解析の分野におけるさまざまな出版物によって、今日の FPGA 技術のエネルギー効率が証明されています。たとえば、COPACOBANA FPGA クラスター コンピューターは、単一の PC (600 W) と同じエネルギーを消費しますが、特定のアルゴリズムでは 2,500 台の PC と同等のパフォーマンスを発揮します。多くの企業が、単一の FPGA PCI Expressカードから専用の FPGA コンピューターまで、ハードウェア ベースの FPGA 暗号解析ソリューションを提供しています。^[要出典] WPAおよびWPA2暗号化は、ブルート フォース攻撃に成功し、従来の CPU ^{[11] [12]}と比較して作業負荷を 50 分の 1 に削減し、FPGA の場合は数百分の 1 に削減しました。

高度暗号化標準(AES) では、256 ビットのキーの使用が許可されています。ブルートフォースで対称 256 ビット キーを破るには、128 ビット キーの 2 ^{128倍の計算能力が必要です。2019 年の最速スーパーコンピューターの 1 つは 100}ペタフロップスの速度を備えており、理論的には 1 秒あたり 100 兆 (10 ¹⁴ ) 個の AES キーをチェックできます (チェックごとに 1000 回の操作を想定)。ただし、256 ビット キー空間を使い切るには3.67×10 ^{55年かかります。 [13]}

ブルートフォース攻撃の根底にある前提は、鍵空間全体が鍵生成に使用され、有効な乱数生成器に依存していること、そしてアルゴリズムやその実装に欠陥がないことである。例えば、当初はブルートフォースでは解読不可能と考えられていた多くのシステムが、疑似乱数生成器のエントロピー不足のために、検索する鍵空間が当初考えられていたよりもはるかに小さいことが判明したため、解読されている。これには、NetscapeのSecure Sockets Layer (SSL) の実装 ( 1995年にIan GoldbergとDavid Wagnerによって解読) や、 2008 年に欠陥があることが発見されたDebian / Ubuntu版のOpenSSLが含まれる。^{[14] [15]同様の実装されたエントロピー不足が、}エニグマの暗号 解読につながった。^{[16] [17]}

資格情報のリサイクルとは、以前のブルートフォース攻撃で収集されたユーザー名とパスワードの組み合わせを再利用するハッキング手法です。資格情報のリサイクルの特殊な形式は、パスザハッシュであり、ソルト化されていないハッシュ化された資格情報が盗まれ、ブルートフォース攻撃を受けることなく再利用されます。^[18]

特定の種類の暗号化は、その数学的特性により、ブルートフォースでは破ることができません。その一例がワンタイムパッド暗号で、この暗号では、すべての平文ビットに、真にランダムなキービットのシーケンスから生成された対応するキーがあります。140 文字のワンタイムパッドでエンコードされた文字列をブルートフォース攻撃にかけると、最終的には、正解を含む 140 文字の文字列がすべて明らかになりますが、与えられたすべての答えのうちどれが正しいのかを知る方法はありません。Venonaプロジェクトで行われたように、このようなシステムを破壊するには、通常、純粋な暗号ではなく、キーパッドが真にランダムではない、キーパッドが傍受される、またはオペレーターがミスをするなど、実装上のミスに依存します。^[19]

オフライン攻撃の場合、攻撃者が暗号化された資料にアクセスできれば、発見や妨害のリスクなしにキーの組み合わせを試すことができます。オンライン攻撃の場合、データベースおよびディレクトリ管理者は、パスワードの試行回数を制限する、連続した試行の間に時間遅延を導入する、回答の複雑さを増やす（例：CAPTCHA回答の要求または多要素認証の採用）、ログイン試行の失敗後にアカウントをロックするなどの対策を講じることができます。^{[20] [ページが必要]} ウェブサイト管理者は、特定のIPアドレスがサイト上のどのアカウントに対しても、事前に設定された回数を超えてパスワードを試行するのを防ぐことができます。^[21]さらに、MITRE D3FENDフレームワークは、ネットワークトラフィックフィルタリング、デコイ認証情報の展開、認証キャッシュの無効化などの戦略を実装することで、ブルートフォース攻撃に対する防御に関する構造化された推奨事項を提供します。^[22]

リバースブルートフォース攻撃では、単一の（通常は共通の）パスワードが複数のユーザー名または暗号化されたファイルに対してテストされます。 ^[23]このプロセスは、選択されたいくつかのパスワードに対して繰り返される場合があります。このような戦略では、攻撃者は特定のユーザーをターゲットにしていません。

• ビットコインマイニング
• 暗号鍵の長さ
• 分散ネット
• ヘイルメリークラウド
• キー導出関数
• MD5CRK
• メタスプロイトエクスプレス
• サイドチャネル攻撃
• きらきらとくるくる
• 単一距離
• RSA ファクタリング チャレンジ
• セキュアシェル

• RSA 主催の DES-III クラッキング コンテスト
• iOS 10.3.3 を実行しているロックされたiPhoneのパスコードを推測するように設計されたブルートフォース デバイスのデモンストレーション
• コードブックの暗号を解読する方法 –コードブックのチャレンジで優勝したチームによるエッセイ