Képzeld el, hogy egy betörő ott áll az ajtód előtt egy hatalmas kulcscsomóval, és sorra próbálgatja az összes kulcsot, amíg meg nem találja azt, amelyik nyitja a zárat. Nem ravaszkodik, nem tör be az ablakon, egyszerűen csak addig próbálkozik, amíg be nem jut. Nagyjából ezt csinálja egy brute force támadás is, csak nem kulcsokkal, hanem jelszavakkal, és nem néhány próbálkozással, hanem másodpercenként akár több százzal.

A brute force támadás egy próbálgatáson alapuló módszer, amelynek során a támadó addig próbál különböző jelszó- és felhasználónév-kombinációkat, amíg meg nem találja a helyeset. A módszer nem kifinomult, cserébe viszont egyszerű, és elegendő idő, valamint védelem hiányában végül szinte mindig működik. Éppen ezért az egyik leggyakoribb támadástípus az interneten.

Ebben az útmutatóban közérthetően, kezdőbarát módon nézzük meg, hogyan működik a brute force támadás, milyen fajtái vannak, miért veszélyes, és ami a legfontosabb, hogyan védheted meg ellene a weboldaladat. A cél, hogy a végére pontosan tudd, milyen lépésekkel zárhatod be az ajtót a próbálgató betörők előtt.

Hogyan működik a brute force támadás?

A brute force támadás lényege a tömeges próbálgatás. A támadó nem kézzel gépeli be a jelszavakat, hiszen az emberi tempóban reménytelen lenne. Ehelyett automata programokat, robotokat használ, amelyek másodpercenként rengeteg kombinációt tesztelnek egy bejelentkezési űrlapon.

A módszer ereje az állhatatosságában rejlik. Ha van elég idő, és nincs semmilyen védelmi mechanizmus, a támadás elméletileg mindig sikerrel jár, hiszen előbb-utóbb minden lehetséges kombinációra sor kerül. A gyengesége viszont éppen az idő: minél hosszabb és összetettebb egy jelszó, annál tovább tart a feltörése. Egy rövid, egyszerű jelszó másodpercek alatt elesik, míg egy hosszú, véletlenszerű jelszó feltörése gyakorlatilag emberi léptékben lehetetlenné válik.

Ez a felismerés adja a védekezés alapját is: nem kell tökéletesen bevehetetlenné tenned az oldalt, elég annyira megnehezíteni a támadó dolgát, hogy ne érje meg neki a próbálkozás. A legtöbb automata támadás ugyanis a könnyű célpontokat keresi, és továbbáll, ha ellenállásba ütközik.

A brute force támadások típusai

Bár az alapelv mindig ugyanaz, a brute force támadásoknak több változata is létezik. Érdemes ismerni őket, mert a védekezés szempontjából is hasznos tudni, mivel állsz szemben.

Egyszerű brute force

Az egyszerű brute force a legalapvetőbb forma, amelyben a program módszeresen végigpróbálja a lehetséges karakterkombinációkat. Ez a rövid, egyszerű jelszavak ellen hatékony, a hosszú, összetett jelszavaknál viszont beleütközik az időkorlátba.

Szótár alapú támadás

A szótár alapú támadás okosabb megközelítés: a program nem véletlenszerűen próbálkozik, hanem egy előre összeállított listából dolgozik, amely a leggyakoribb jelszavakat és szavakat tartalmazza. Mivel sokan használnak könnyen kitalálható jelszavakat, ez a módszer meglepően eredményes tud lenni.

Hitelesítőadat-visszaélés

A hitelesítőadat-visszaélés, angolul credential stuffing, egy különösen alattomos változat. Ilyenkor a támadó korábbi adatszivárgásokból származó, már ismert felhasználónév-jelszó párokat próbál ki. Mivel sokan ugyanazt a jelszót használják több helyen, egy máshol kiszivárgott jelszó a te oldaladon is működhet. Éppen ezért olyan fontos, hogy soha ne használd ugyanazt a jelszót több szolgáltatásnál.

Miért népszerű célpont a weboldalad?

Sokan azt hiszik, hogy a brute force támadások csak a nagy cégeket érintik. Ez tévedés. A támadások túlnyomó része nem célzott, hanem automata robotok végzik, amelyek válogatás nélkül pásztázzák az internetet, és minden elérhető bejelentkezési oldalt megpróbálnak feltörni.

A támadók számára teljesen mindegy, hogy egy nagy webshopot vagy egy kis blogot találnak meg, hiszen egy feltört oldal mindegyik esetben értékes: fel lehet használni spam küldésére, kártékony kód terjesztésére vagy további támadások indítására. A bejelentkezési oldal pedig különösen népszerű célpont, mert sok rendszernél könnyen megtalálható, és közvetlen utat kínál az adminfelülethez. Éppen ezért a mérete vagy az ismertsége egyetlen oldalt sem véd meg automatikusan.

Mi a következménye egy sikeres brute force támadásnak?

Ha egy brute force támadás sikerrel jár, a támadó teljes hozzáférést szerez az oldalad adminfelületéhez, és onnantól gyakorlatilag azt tesz, amit akar. Ez a lehető legrosszabb forgatókönyv egy weboldal-tulajdonos számára.

A támadó kártékony kódot helyezhet el, átirányíthatja a látogatókat, ellophatja az adatokat, vagy éppen teljesen tönkreteheti az oldalt. Emellett a szervert felhasználhatja spam küldésére vagy mások megtámadására, ami hosszú távon a domained jó hírnevét is rombolja. Ha a Google észleli a fertőzést, feketelistára is teheti az oldalt, ami után a látogatókat piros figyelmeztetés fogadja. A helyreállítás pedig jellemzően sokkal több időbe és pénzbe kerül, mint amennyibe a megelőzés került volna.

Hogyan védekezz a brute force támadás ellen?

A jó hír, hogy a brute force támadások ellen viszonylag egyszerű és hatékony védekezni. Nem kell hozzá programozónak lenned, csak néhány alapelvet következetesen betartanod. Nézzük a legfontosabb védelmi lépéseket.

Erős, egyedi jelszó

A legfontosabb védelem a hosszú, egyedi jelszó. Minél hosszabb és összetettebb, annál tovább tartana a feltörése, gyakorlatilag a lehetetlenségig. Kerüld a könnyen kitalálható jelszavakat, és soha ne használd ugyanazt több helyen, mert azzal a hitelesítőadat-visszaélésnek nyitsz kaput.

Kétlépcsős azonosítás

A kétlépcsős azonosítás (2FA) az egyik leghatékonyabb védelem, mert a jelszó mellett egy második, egyszer használatos kódot is kér a belépéshez. Így akkor sem tudnak bejutni, ha a jelszavadat valahogy kitalálják vagy megszerzik. Ez a néhány perces beállítás önmagában a brute force támadások túlnyomó részét hatástalanná teszi.

A belépési kísérletek korlátozása

Egy másik alapvető védelem, ha korlátozod a hibás belépési kísérletek számát. Ha valaki néhány sikertelen próbálkozás után ideiglenesen kizárásra kerül, akkor a másodpercenkénti több száz próbálkozás egyszerűen ellehetetlenül. Ezt a funkciót a legtöbb biztonsági bővítmény beépítve tartalmazza, és néhány kattintással bekapcsolható.

CAPTCHA és a felhasználónév védelme

A bejelentkezési oldalra tett CAPTCHA hatékonyan szűri az automata botokat, hiszen olyan feladatot ad, amelyet egy program nehezen old meg. Emellett érdemes kerülni a nyilvánvaló felhasználóneveket is: az „admin” felhasználónév használata gyakorlatilag felezi a támadó munkáját, hiszen a nevet már nem kell kitalálnia, csak a jelszót.

Rendszeres frissítés és biztonsági megoldás

Végül a rendszeres frissítés és egy megbízható biztonsági megoldás használata is fontos. A frissítés bezárja azokat a réseket, amelyeket a támadók a bejutás után kihasználhatnának, egy jó biztonsági eszköz vagy tűzfal pedig már a gyanús forgalmat is kiszűri, mielőtt az elérné a bejelentkezési oldalt. Ezek a rétegek együtt adják a valódi védelmet.

Mit tegyél, ha már folyamatban van a támadás?

Ha azt gyanítod, hogy éppen brute force támadás éri az oldaladat, akkor néhány gyors lépéssel csökkentheted a kockázatot. Az első és legfontosabb, hogy azonnal változtasd meg a jelszavadat egy hosszú, egyedi jelszóra, és ha még nincs bekapcsolva, aktiváld a kétlépcsős azonosítást is.

Ezután érdemes korlátozni a belépési kísérleteket, és bekapcsolni a CAPTCHA-t, hogy az automata próbálkozások fennakadjanak. Ha egy biztonsági eszköz mutatja, mely IP-címekről érkezik a támadás, akkor ezeket akár közvetlenül is letilthatod, bár a támadók gyakran váltogatják a címeiket.

Fontos ellenőrizni azt is, hogy nem jutottak-e már be: nézd át, van-e ismeretlen adminfelhasználó, gyanús fájl vagy szokatlan aktivitás. Ha bármi ilyet találsz, akkor már nem pusztán támadásról, hanem lehetséges feltörésről van szó, és a takarítást is meg kell kezdened. A legtöbb esetben azonban egy jól beállított védelem magától elhárítja a próbálkozásokat, és neked csak figyelned kell a jelzéseket. Érdemes az ilyen incidens után átgondolni, hol lehet még szorítani a védelmen, hiszen egy próbálkozás mindig jó emlékeztető arra, hogy a biztonság folyamatos figyelmet kíván.

Összegzés

A brute force támadás egy próbálgatáson alapuló módszer, amelyben automata robotok másodpercenként rengeteg jelszó- és felhasználónév-kombinációt tesztelnek, amíg be nem jutnak. Egyszerű, de kitartó módszer, amely védelem hiányában előbb-utóbb sikerrel jár, és mérettől függetlenül minden weboldalt fenyeget, hiszen a támadások nagy része automatikus és válogatás nélküli.

A jó hír, hogy a védekezés egyszerű és hatékony. A hosszú, egyedi jelszó, a kétlépcsős azonosítás, a hibás belépési kísérletek korlátozása, a CAPTCHA, a nyilvánvaló felhasználónevek kerülése, valamint a rendszeres frissítés és egy megbízható biztonsági megoldás együtt a brute force támadások túlnyomó részét eleve hatástalanná teszi. A cél nem a tökéletes bevehetetlenség, hanem hogy annyira megnehezítsd a támadó dolgát, hogy ne érje meg neki próbálkozni. Aki ezeket a lépéseket megteszi, az nyugodtan alhat, mert a próbálgató betörők zárt ajtóba ütköznek.

GYIK – Gyakori kérdések a brute force támadásról

Honnan tudom, hogy brute force támadás éri az oldalamat?

A leggyakoribb jel a szokatlanul sok hibás belépési kísérlet, gyakran különböző IP-címekről, rövid idő alatt. Sok biztonsági eszköz és tűzfal riaszt, ha ilyen mintázatot észlel, és mutatja is a próbálkozásokat. Ha az oldalad hirtelen lelassul, vagy sok gyanús belépési aktivitást látsz, az szintén utalhat folyamatban lévő támadásra. Fontos, hogy ez önmagában még nem jelenti azt, hogy be is jutottak, csak azt, hogy próbálkoznak.

Mennyire hatékony a kétlépcsős azonosítás a brute force ellen?

Rendkívül hatékony, gyakorlatilag ez az egyik legjobb védelem. A kétlépcsős azonosítás esetén a jelszó önmagában nem elég a belépéshez, mert egy második, egyszer használatos kódra is szükség van. Ezért hiába találja ki a támadó a jelszavadat próbálgatással, a második lépcső nélkül nem tud bejutni. Ez a néhány perces beállítás a brute force támadások túlnyomó részét eleve értelmetlenné teszi.

Elég egy erős jelszó a védelemhez?

Az erős, egyedi jelszó nagyon fontos alap, de önmagában nem a teljes megoldás. A valódi biztonságot a rétegek együttese adja: az erős jelszó mellett a kétlépcsős azonosítás, a hibás belépési kísérletek korlátozása és egy megbízható biztonsági megoldás is kell. Így még akkor is védve maradsz, ha az egyik réteg valamiért gyengének bizonyulna. A biztonság mindig több egymásra épülő védelmi vonalból áll.