Brute force attack

Brute force attack (atak siłowy, atak brute force) to metoda łamania zabezpieczeń polegająca na systematycznym sprawdzaniu możliwych haseł lub kluczy, aż trafi się na właściwy. Nie wymaga znajomości słabości systemu – tylko mocy obliczeniowej i czasu. Dlatego o skuteczności ataku decyduje jedna rzecz: liczba możliwych kombinacji, czyli przestrzeń kluczy.

Rodzaje ataków siłowych

Rodzaj	Na czym polega	Na co działa
Czysty brute force	sprawdza wszystkie kombinacje znaków po kolei	krótkie hasła, PIN-y
Atak słownikowy	sprawdza listy popularnych haseł i wycieków	hasła typu „qwerty123”
Atak hybrydowy	słowa ze słownika plus cyfry i znaki, np. „Bitcoin2024!”	hasła „wzmocnione” schematem
Credential stuffing	loguje się parami login–hasło z wycieków innych serwisów	to samo hasło w wielu miejscach
Password spraying	jedno popularne hasło na wielu kontach	omija blokadę po kilku próbach

Przestrzeń kluczy – ile trwa zgadywanie

Liczba kombinacji to liczba możliwych znaków podniesiona do potęgi długości hasła. Załóżmy, że atakujący ma wykradzioną bazę skrótów haseł i sprawdza 10 mld haseł na sekundę (to umowne tempo dla szybkiego sprzętu przy słabej funkcji skrótu).

Hasło	Liczba kombinacji	Czas pełnego przeszukania
8 małych liter	ok. 2,1 × 1011	ok. 21 sekund
8 znaków z pełnej klawiatury (94)	ok. 6,1 × 1015	ok. 7 dni
16 małych liter	ok. 4,4 × 1022	ok. 138 tys. lat
12 znaków z pełnej klawiatury	ok. 4,8 × 1023	ok. 1,5 mln lat

Wniosek: długość daje więcej niż wymyślne znaki. Pod warunkiem, że hasło jest losowe – hasło ze słownika pada w ułamku sekundy niezależnie od długości.

Dlaczego nie da się złamać klucza prywatnego ani frazy seed

Klucz prywatny bitcoina to liczba z przestrzeni około 2²⁵⁶, czyli około 1,16 × 10⁷⁷ możliwości. Fraza seed z 12 słów (standard BIP-39, 2048 słów na liście) daje 2¹²⁸ prawidłowych kombinacji, czyli około 3,4 × 10³⁸. Nawet przy fantastycznym tempie 10¹⁸ prób na sekundę przeszukanie połowy przestrzeni 12-słowowej frazy zajęłoby około 5,4 × 10¹² lat – setki razy dłużej niż istnieje Wszechświat. Frazy z 24 słów są jeszcze silniejsze.

Kryptografia portfeli jest więc bezpieczna, dopóki fraza lub klucz powstały z prawdziwej losowości. Wyjątki są zawsze skutkiem ludzkiego działania:

• Brainwallety – portfele, których klucz wyliczano z zapamiętanego zdania lub hasła. Znane cytaty i frazy zostały przeszukane, a środki z takich adresów wyczyszczone.
• Słabe generatory liczb losowych – błędy w oprogramowaniu portfeli zawężały przestrzeń kluczy do możliwej do przeszukania.
• Własnoręcznie „wybrana” fraza – słowa dobrane przez człowieka nie są losowe. Jeśli z frazy znanych jest większość słów, a brakuje dwóch, przeszukanie reszty to kwestia sekund.

Realnym celem ataków siłowych są więc nie klucze, tylko hasła do kont giełdowych, poczty i plików z kopiami portfeli.

Jak się chronić

1. Używaj menedżera haseł i osobnego, losowego hasła do każdej giełdy i poczty.
2. Włącz uwierzytelnianie dwuskładnikowe przez aplikację lub klucz sprzętowy – SMS jest najsłabszą opcją.
3. Szczególnie chroń skrzynkę e-mail – przez nią resetuje się hasła do wszystkiego innego.
4. Generuj frazę seed wyłącznie w portfelu, nigdy samodzielnie, i nie przechowuj jej w chmurze ani na zdjęciu.
5. Szyfrowane kopie portfeli zabezpieczaj długim, losowym hasłem.

Najczęstsze błędy

• To samo hasło do giełdy i do forum, które kiedyś wyciekło.
• Schemat „Nazwa + rok + wykrzyknik” uznawany za silne hasło.
• Wymyślanie frazy seed z ulubionych słów zamiast generowania jej w portfelu.
• Przekonanie, że kryptografię portfela da się „złamać komputerem” – to straszak używany przez oszustów oferujących „odzyskiwanie” środków.

Perspektywa tradera

Konto na giełdzie to Twój kapitał roboczy, a jego przejęcie jest ryzykiem nieograniczonym przez żaden stop. Ustaw białą listę adresów wypłat, klucze API twórz bez prawa wypłaty i z ograniczeniem do adresu IP, a kapitał, którym nie handlujesz, trzymaj w portfelu z kluczem pod Twoją kontrolą. Sprawdź też w ustawieniach konta historię logowań – nieudane próby z obcych lokalizacji to sygnał, że Twoje dane krążą po bazach z wycieków.

Najczęstsze pytania

Czy komputer kwantowy złamie frazę seed siłowo?

Algorytm Grovera teoretycznie zmniejsza wysiłek do pierwiastka z liczby kombinacji. Dla 2¹²⁸ to wciąż 2⁶⁴ operacji kwantowych, co jest dziś poza zasięgiem jakiejkolwiek maszyny.

Ile znaków powinno mieć hasło do giełdy?

Przy haśle losowym z menedżera – co najmniej 16 znaków. Ważniejsze od długości jest to, żeby było unikalne i nigdzie indziej nie używane.

Czy blokada po kilku nieudanych logowaniach wystarczy?

Chroni przed zgadywaniem przez formularz logowania, ale nie przed atakiem na wykradzioną bazę skrótów ani przed credential stuffingiem z poprawnym hasłem.

Czym jest credential stuffing?

To logowanie się na wielu serwisach parami login–hasło z wycieków. Działa, gdy używasz tego samego hasła w kilku miejscach.

Czy da się odzyskać frazę, jeśli brakuje mi jednego słowa?

Tak – jedno brakujące słowo to tylko 2048 możliwości, które narzędzia sprawdzają w chwilę. Robisz to jednak lokalnie, offline, nigdy przez stronę lub osobę oferującą „odzyskanie”.

Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.