Brute Force أو “هجوم القوة الغاشمة” هو أبسط أشكال كسر كلمات المرور: تجربة احتمالات كثيرة جداً بشكل آلي حتى تنجح إحداها. ورغم بساطته يظل فعالاً بسبب كلمات المرور الضعيفة والخدمات المكشوفة على الإنترنت دون حماية.
أشكال الهجوم
- Pure Brute Force: تجربة كل التركيبات الممكنة، وهو عملي فقط مع كلمات المرور القصيرة.
- Dictionary Attack: تجربة قوائم كلمات شائعة ومسربة مثل
123456وP@ssw0rdواسم الشركة مع السنة. - Password Spraying: تجربة كلمة مرور شائعة واحدة على آلاف الحسابات، لتجنب قفل أي حساب.
- Credential Stuffing: استخدام أزواج بريد وكلمة مرور مسربة من مواقع أخرى، اعتماداً على تكرار المستخدمين لكلمات مرورهم.
- Offline Cracking: عند سرقة ملف يحتوي على قيم Hash لكلمات المرور، يجرّب المهاجم الاحتمالات على أجهزته بسرعات هائلة بمعالجات الرسوميات دون أن يراه أحد.
أهداف شائعة
خدمات RDP و SSH المفتوحة على الإنترنت، وبوابات VPN، وصفحات دخول WordPress، وواجهات إدارة الراوترات وجدران الحماية، وحسابات البريد السحابي. أي سيرفر يُفتح فيه منفذ SSH للعامة سيبدأ سجله في تسجيل محاولات دخول آلية خلال دقائق.
مثال عملي
شركة تفتح منفذ RDP على سيرفر محاسبة لتسهيل العمل من المنزل، وحساب Administrator بكلمة مرور بسيطة. تقوم أدوات آلية بتجربة آلاف كلمات المرور يومياً حتى تنجح، ثم يُستخدم الوصول لاحقاً لنشر برمجية فدية. هذا السيناريو من أشهر بدايات هجمات الفدية على الشركات الصغيرة.
طرق الحماية
- كلمات مرور طويلة (عبارات مرور من 14 حرفاً فأكثر) وفريدة لكل خدمة، مع مدير كلمات مرور.
- تفعيل MFA، فهو يُبطل أثر كلمة المرور المكتشفة في أغلب الحالات.
- قفل الحساب مؤقتاً أو إبطاء المحاولات (Rate Limiting) وأدوات مثل Fail2ban على لينكس.
- عدم تعريض RDP و SSH وواجهات الإدارة للإنترنت، والوصول إليها عبر VPN، واستخدام مفاتيح SSH بدلاً من كلمات المرور.
- على أجهزة سيسكو:
login block-forلإيقاف الدخول مؤقتاً بعد محاولات فاشلة، وتخزين كلمات المرور بخوارزميات قوية. - تخزين كلمات المرور في التطبيقات بخوارزميات بطيئة مخصصة مثل bcrypt أو Argon2 لإبطاء الكسر دون اتصال.
الفرق بين Brute Force و Credential Stuffing
الـ Brute Force يخمّن كلمات مرور غير معروفة، بينما Credential Stuffing يستخدم كلمات مرور حقيقية مسربة مسبقاً، لذلك ينجح حتى مع كلمات المرور القوية إذا أُعيد استخدامها في أكثر من موقع.
