¿Cómo pueden los piratas informáticos adivinar las contraseñas (usando el ataque de diccionario o la fuerza bruta) sin ser bloqueados?

El bloqueo de la cuenta es una medida efectiva de limitación de la tasa contra los inicios de sesión forzados brutos cuando el atacante está apuntando a una cuenta en particular. No es efectivo contra un ataque masivo en muchas cuentas. Uno podría, por ejemplo, probar todos los nombres de usuario posibles mientras intenta la misma contraseña común para todos, y recuperar parte de las cuentas.

Incluso CAPTCHA es solo una característica limitante de la velocidad frente al agrietamiento y los agricultores CAPTCHA.

  

Sé que sucede porque me pasó a mí.

No es seguro que haya ocurrido debido a la fuerza bruta contra la interfaz de inicio de sesión. Aparte de los ataques de phishing y troyanos mencionados, además de otras posibles vulnerabilidades web como XSRF, la base de datos de Yahoo definitivamente se ha visto comprometida en el pasado (probablemente hashes de fugas que probablemente sean reversibles para contraseñas comunes y cortas); Además, si usó la contraseña en otro lugar, el otro sitio podría haber sido comprometido. Yahoo ha tenido históricamente una reputación particularmente mala para los compromisos de cuenta, que probablemente sea una mezcla de todas estas cosas.

En este caso, tendrían que conseguir de alguna manera el hash de tu contraseña. Ejecute una herramienta contra ella, que compararía posibles hashes resultantes con su hash real. Si el hash coincide, entonces saben qué contraseña se tomó para generar ese hash. Ahora solo se necesita un intento para iniciar sesión en su cuenta de Yahoo.

Tener un mecanismo de bloqueo o CAPTCHA evita que el atacante en línea realice la búsqueda de fuerza bruta. Si el tiempo de bloqueo es de 10 minutos, para forzar bruscamente un diccionario de 1 millón de palabras (2 ^ 20), el atacante requiere 6944 días o casi 20 años. El cálculo se muestra a continuación:

i. Con 10 min de tiempo de bloqueo, el atacante puede probar 6 palabras / hora del diccionario. ii. En un día 24 * 6 = 144 palabras. iii. Número de días requeridos para agotar el diccionario = 2 ^ 20/144 = 6944 días.

Por lo tanto, si configura su contraseña desde el diccionario, dentro de 20 años utilizando el ataque en línea, su contraseña definitivamente se rompe. En promedio, tomará 10 años para hacerlo.

Sin embargo, la mayor amenaza proviene del ataque sin conexión. Si el atacante tiene el hash de la contraseña del diccionario, puede romperla en un segundo.

La mayoría de los ataques de fuerza bruta hoy en día usan listas combinadas en lugar de una contraseña o un ataque de diccionario. Una lista combinada es un nombre de usuario y su contraseña en este formato nombre de usuario: contraseña. Los obtienen a través de la piratería de bases de datos con inyección SQL, páginas de phishing, registradores clave e incluso utilizando Google Dorks para encontrar volcados de sitios web en la red.

Tome el escenario que acaba de registrarse en un sitio web o foro, y este sitio web mantiene su nombre de usuario y contraseña de inicio de sesión en su base de datos que es vulnerable a la inyección SQL. Un hacker piratea la base de datos y extrae todos los nombres de usuario y contraseñas. La mayoría de la gente usa el mismo nombre de usuario y contraseña para todo, por lo que al ejecutar esta lista combinada de nombres de usuario y contraseñas en sitios web diferentes, por lo general, siempre obtiene algunas visitas. Otra forma es robando listas de miembros del foro. Al hacer esto, ya tiene los nombres de usuario de inicio de sesión en la mayoría de los casos. Uno de los errores más comunes que cometen las personas es tener su contraseña igual que su nombre de usuario, o tener 123456 o incluso la palabra contraseña como su contraseña. Entonces, lo que haces es crear una lista donde todos los nombres de usuario tengan la misma contraseña. Siempre obtienes a alguien que ha usado 123456, la contraseña o su nombre de usuario como contraseña.