Брутфорс: что это и как защититься
Брутфорс — подбор пароля перебором: программа пробует вариант за вариантом, пока не угадает. Звучит примитивно, но работает — потому что многие пароли короткие, простые или уже утекли. Разбираем, как устроен брутфорс и что реально от него защищает.
Содержание
Коротко
- Брутфорс — подбор пароля перебором: по всем комбинациям, словарю или утечкам.
- Длина пароля важнее сложности: каждый символ умножает число вариантов.
- Лимит попыток делает онлайн-подбор почти бесполезным.
- Против перебора с тысяч адресов нужны проверка браузера и двухфакторный вход.
Что такое брутфорс простыми словами
Брутфорс (от английского brute force — «грубая сила») — способ взлома, при котором пароль не крадут и не угадывают по смыслу, а перебирают. Программа пробует «000000», «000001», «000002» — или слова из словаря, или пароли из утечек — пока один не подойдёт. Человек так перебирать не может, а бот делает тысячи попыток в минуту.
Виды перебора
| Вид | Как работает |
|---|---|
| Полный перебор | Все комбинации символов подряд. Надёжно против коротких паролей, бессилен против длинных |
| По словарю | Популярные пароли и слова: qwerty, 123456, password, имена, даты |
| Credential stuffing | Пары «логин — пароль» из утечек других сайтов: люди часто используют один пароль везде |
| Password spraying | Один популярный пароль на тысячи аккаунтов — так попытки на каждый аккаунт редкие и не вызывают блокировку |
| Офлайн-перебор | Если украдена база с хешами паролей, их перебирают на своих компьютерах без ограничений |
Сколько времени нужно на подбор
Время зависит от длины пароля, набора символов и скорости попыток. Посмотрите, как быстро растёт число вариантов:
- Вариантов
- —
- В среднем на подбор
- —
- Если сайт пускает 5 попыток в минуту
- —
1 000 попыток в секунду — скорость атаки на сайт без лимитов. При офлайн-переборе украденных хешей скорость бывает в миллионы раз выше.
Отсюда два вывода. Первый: длина пароля важнее сложности — каждый символ умножает число вариантов. Второй: ограничение попыток на сайте превращает подбор онлайн в почти невозможный, а если у сайта украли базу паролей, решают только длина и хорошее хеширование.
Анализатор логовЗагрузите access.log — увидите попытки входа, адреса атакующих и запросы к wp-login.php и xmlrpc.php.ОткрытьПризнаки брутфорс-атаки
- много неудачных входов в журнале — по одному аккаунту или по многим сразу;
- в логах сервера частые POST-запросы к странице входа, xmlrpc.php, /admin;
- нагрузка на сервер растёт без роста посетителей;
- пользователи получают письма о попытках входа или блокировке аккаунта.
Как защитить сайт от брутфорса
- Лимит попыток
Не больше нескольких неудачных входов в минуту на аккаунт и на адрес, с растущей паузой.
- Двухфакторный вход
Код из приложения или письма делает угаданный пароль бесполезным. Обязательно для администраторов.
- Правильное хранение паролей
Только медленные хеши с солью — bcrypt, scrypt, Argon2. Тогда даже украденную базу перебирать долго.
- Запрет утёкших и коротких паролей
Минимум 10–12 символов и проверка по базам утечек при регистрации.
- Проверка браузера перед входом
Боты ботнетов приходят с тысяч адресов и обходят лимиты по IP, но не проходят проверку браузера.
- Журнал и оповещения
Всплеск неудачных входов — сигнал атаки. Пользователю — письмо о входе с нового устройства.
Как защитить свои аккаунты
- используйте длинные пароли — фразу из нескольких слов;
- не повторяйте пароли на разных сайтах — для этого есть менеджеры паролей;
- включите двухфакторный вход в почте, банке, соцсетях;
- смените пароль, если сервис сообщил об утечке.
Частые вопросы
Что такое брутфорс-атака?
Попытка взломать аккаунт или систему, перебирая пароли подряд — по всем комбинациям, по словарю популярных паролей или по базам утечек. Выполняется программами, а не вручную.
Законно ли пользоваться брутфорсом?
Подбор паролей к чужим аккаунтам и системам без разрешения владельца — неправомерный доступ к информации, за него предусмотрена ответственность. Законно проверять только собственные системы или с письменного разрешения владельца.
Защищает ли капча от брутфорса?
Частично: она замедляет простых ботов. Надёжнее сочетание лимитов попыток, двухфакторного входа и проверки браузера перед формой входа.
Какой пароль не подобрать брутфорсом?
Длинный и уникальный: фраза из 4–5 случайных слов или 14+ символов из букв, цифр и знаков. Главное — не использовать его на других сайтах.
Что такое словарная атака?
Перебор не всех комбинаций, а популярных паролей и слов: qwerty, 123456, имена, даты. Она быстрая и успешна против простых паролей.
Чем брутфорс отличается от credential stuffing?
Брутфорс подбирает пароль, credential stuffing пробует готовые пары логин — пароль из утечек. Второй опаснее для людей, которые повторяют пароли.
Помогает ли блокировка по IP?
Против перебора с одного адреса — да. Против ботнетов и прокси с тысяч адресов — нет, нужны лимиты по аккаунту, проверка браузера и двухфакторный вход.