امنیت توهمی؛ رمز عبور شما در چند ثانیه هک می‌شود؟

بسیاری از ما تصور می‌کنیم که با انتخاب یک رمز عبور ترکیبی اطلاعات دیجیتال خود را در امن‌ترین دژ ممکن ذخیره کرده‌ایم اما واقعیت فناوری‌های امروزی بسیار ترسناک‌تر از این تصورات ساده است. درک سرعت و قدرت پردازشی هکرهای مدرن برای هرکسی که در اینترنت فعالیت دارد ضروری و حیاتی است. در این مقاله می‌خواهیم با هم مرور کنیم که چگونه ابزارهای پیشرفته نفوذ می‌توانند پیچیده‌ترین رمزهای عبور را در کسری از ثانیه بشکنند. آیا واقعاً الگوهای ذهنی ما برای ساخت پسورد در برابر الگوریتم‌های هوش مصنوعی شانسی برای بقا دارند؟ چطور هکرها بدون داشتن رمز اصلی می‌توانند به حساب‌های کاربری ما نفوذ کنند؟ پاسخی علمی به این دغدغه‌ها خواهیم داد.

۱. ریاضیات پشت حملات بروت فورس

حملات بروت فورس (Brute Force Attacks) ساده‌ترین و در عین حال خشن‌ترین روش برای یافتن رمزهای عبور هستند که اساس آن‌ها بر پایه آزمون و خطای ریاضی استوار است. در این روش هکر تمام ترکیب‌های ممکن از حروف، اعداد و نمادها را برای پیدا کردن کلید درست امتحان می‌کند. فرمول محاسبه تعداد ترکیب‌ها ساده است: تعداد حالت‌های ممکن به توان طول رمز عبور. به عنوان مثال یک رمز ۸ رقمی فقط عددی تنها ده میلیون حالت ممکن دارد که برای کامپیوترهای امروزی خنده‌دار است.

اضافه کردن حروف بزرگ و کوچک و نمادهای خاص پایه محاسبات را بزرگ‌تر می‌کند و زمان مورد نیاز را به شدت افزایش می‌دهد. با این حال اگر طول پسورد کم باشد حتی با وجود استفاده از نمادها زمان هک همچنان ناچیز خواهد بود. الگوریتم‌های ریاضی بروت فورس با بهینه‌سازی مداوم زمان جستجو را کوتاه می‌کنند. به همین دلیل است که امروزه طول رمز عبور اهمیت بسیار بیشتری نسبت به پیچیدگی ظاهری آن دارد.

۲. نقش کارت‌های گرافیک مدرن در سرعت هک

پردازنده‌های گرافیکی (GPUs) به دلیل معماری موازی خود توانایی فوق‌العاده‌ای در انجام محاسبات تکراری و همزمان دارند. هکرها از کلاسترهای کارت‌های گرافیک قدرتمند برای کرک کردن رمزهای عبور استفاده می‌کنند. یک کارت گرافیک رده بالا می‌تواند میلیاردها حدس در ثانیه را روی سیستم‌های رمزنگاری شده آزمایش کند. این قدرت پردازشی بالا تفاوت بزرگی با پردازنده‌های مرکزی معمولی (CPUs) ایجاد کرده است.

با موازی‌سازی چندین کارت گرافیک ابرکامپیوترهای خانگی هک ساخته می‌شوند که قادرند رمزهای پیچیده را در چند ساعت کشف کنند. این سخت‌افزارها که در ابتدا برای بازی‌های ویدیویی یا استخراج رمزارز طراحی شده بودند اکنون بازوی اجرایی هکرهای کلاه‌سیاه هستند. قدرت پردازشی کارت‌های گرافیکی مدرن نشان می‌دهد که چرا روش‌های سنتی حفاظتی دیگر پاسخگوی تهدیدات امروز نیستند. سرعت این سخت‌افزارها سال به سال با قانون مور افزایش می‌یابد.

۳. آسیب‌پذیری رمزهای عبور متداول و روانشناسی انتخاب رمز

انسان‌ها در انتخاب کلمات عبور بسیار پیش‌بینی‌پذیر عمل می‌کنند زیرا مغز ما تمایلی به حفظ کردن کاراکترهای کاملاً تصادفی ندارد. استفاده از نام اعضای خانواده، تاریخ تولد، شماره تلفن یا کلمات ساده‌ای چون «۱۲۳۴۵۶» از رایج‌ترین اشتباهات امنیتی هستند. روانشناسی انتخاب رمز عبور نشان می‌دهد که ما معمولاً حروف اول کلمات را بزرگ می‌نویسیم و از علامت تعجب در انتهای رمز استفاده می‌کنیم. هکرها این الگوهای ذهنی را به خوبی می‌شناسند و در کدهای خود اعمال می‌کنند.

ابزارهای کرک با اولویت‌بندی این الگوهای رایج زمان رسیدن به پاسخ درست را به شدت کاهش می‌دهند. این الگوی رفتاری باعث می‌شود که حتی رمزهای به ظاهر طولانی نیز به سرعت فاش شوند. تا زمانی که ما از الگوهای زبانی و فرهنگی برای ساخت رمز استفاده کنیم امنیت ما در حد یک فرضیه باقی خواهد ماند. برای داشتن یک پسورد امن باید تفکر انسانی را از فرآیند تولید آن حذف کرد.

۴. حملات دیکشنری و جدول‌های رنگین‌کمان

حملات دیکشنری (Dictionary Attacks) به جای تست کردن تمام حروف به صورت تصادفی از لیست‌های آماده کلمات پرکاربرد استفاده می‌کنند. این لیست‌ها شامل کلمات فرهنگ لغت، اسامی خاص و رمزهای فاش شده در هک‌های قبلی هستند. این رویکرد هوشمندانه باعث صرفه‌جویی عظیمی در زمان پردازش هکر می‌شود. جدول‌های رنگین‌کمان (Rainbow Tables) نیز ابزارهای پیشرفته‌تری هستند که مقادیر هش شده رمزهای عبور متداول را از پیش محاسبه و ذخیره کرده‌اند.

هنگامی که یک هکر به پایگاه داده هش شده یک سایت دسترسی پیدا می‌کند با مقایسه مقادیر هش بدون نیاز به حدس زدن رمز اصلی را می‌یابد. این تکنیک‌های بهینه‌سازی سرعت نفوذ را به طرز چشمگیری افزایش می‌دهند. استفاده از تکنیک‌های نمک‌زنی (Salting) در پایگاه‌های داده برای مقابله با این جداول طراحی شده است اما متاسفانه بسیاری از سایت‌های قدیمی هنوز از این استانداردهای امنیتی استفاده نمی‌کنند. این کاستی‌ها امنیت کاربران را به شدت به خطر می‌اندازد.

۵. نشت داده‌های بزرگ و تحلیل الگوهای رفتاری

نشت داده‌های بزرگ (Data Breaches) که به صورت دوره‌ای در شرکت‌های بزرگ فناوری رخ می‌دهد گنجینه‌ای برای هکرهاست. این اطلاعات نشت رفته در دارک‌وب فروخته شده و برای ساخت دیکشنری‌های شخصی‌سازی شده استفاده می‌شوند. اگر شما از یک پسورد مشترک در چندین سایت استفاده کنید با هک شدن یکی از آن‌ها تمام حساب‌های دیگر شما نیز در خطر سقوط قرار می‌گیرند. این زنجیره آسیب‌پذیری یکی از متداول‌ترین شیوه‌های نفوذ گروهی است.

الگوریتم‌های هوش مصنوعی با تحلیل این نشت‌ها می‌توانند الگوهای تغییر پسورد کاربران را نیز پیش‌بینی کنند. به عنوان مثال اگر کاربر پسورد قبلی خود را به نسخه جدیدی با تغییر عدد انتهایی به‌روز کند هوش مصنوعی این تغییر را حدس می‌زند. این سطح از تحلیل رفتاری دفاع در برابر هکرهای مجهز به ابزارهای یادگیری ماشین را بسیار دشوار می‌کند. بازیابی امنیت پس از نشت داده نیازمند تغییر فوری و کلی تمام حساب‌های کاربری است.

۶. احراز هویت چندعاملی و راه‌های دور زدن آن

احراز هویت چندعاملی (MFA) به عنوان لایه دفاعی دوم برای جبران ضعف‌های رمز عبور معرفی شده است. این روش با ارسال کد تایید به گوشی همراه یا ایمیل تلاش دارد دسترسی غیرمجاز را متوقف کند. با این حال هکرها روش‌های خلاقانه‌ای برای دور زدن این سد دفاعی ابداع کرده‌اند. حملات خستگی ام‌اف‌ای (MFA Fatigue) با ارسال مکرر درخواست‌های تایید به گوشی قربانی او را کلافه می‌کنند تا در نهایت دکمه تایید را فشار دهد.

همچنین روش‌های فیشینگ پیشرفته با شبیه‌سازی دقیق صفحه ورود و درخواست کد تایید دو مرحله‌ای در لحظه اطلاعات را سرقت می‌کنند. سرقت سیم‌کارت (Sim Swapping) نیز راه دیگری است که هکر با فریب اپراتور مخابرات شماره تلفن شما را روی سیم‌کارت خود فعال می‌کند و کدهای پیامکی را می‌رباید. بنابراین داشتن احراز هویت دو مرحله‌ای گرچه ضروری است اما به معنای امنیت مطلق نیست. کاربران باید در تایید درخواست‌های دریافتی دقت بالایی داشته باشند.

۷. مدیریت پسوردها؛ آیا واقعاً امن هستند؟

نرم‌افزارهای مدیریت پسورد (Password Managers) برای حل مشکل حفظ کردن ده‌ها رمز عبور پیچیده طراحی شده‌اند. این ابزارها رمزهای تصادفی قوی تولید کرده و آن‌ها را در یک گاوصندوق رمزنگاری شده ذخیره می‌کنند. با این حال تمرکز تمام کلمات عبور در یکجا ریسک تمرکز اطلاعات را به همراه دارد. اگر رمز عبور مستر (Master Password) این برنامه‌ها لو برود یا خود سرویس هک شود تمام دارایی دیجیتال کاربر در معرض نابودی قرار می‌گیرد.

برخی از معروف‌ترین ارائه‌دهندگان این سرویس‌ها در سال‌های اخیر هدف حملات موفق سایبری قرار گرفته‌اند. با این وجود کارشناسان همچنان استفاده از مدیریت پسوردهای معتبر آفلاین یا آنلاین را بسیار امن‌تر از روش‌های سنتی یادداشت روی کاغذ یا استفاده از رمزهای تکراری می‌دانند. انتخاب یک برنامه معتبر با ممیزی‌های امنیتی مستقل گامی مهم در مسیر حفاظت از اطلاعات شخصی است. امنیت این سیستم‌ها بر پایه رمزنگاری بسیار قوی استوار است.

۸. بیومتریک در برابر رمز عبور؛ امنیت یا تهدید جدید؟

سیستم‌های بیومتریک (Biometrics) مانند حسگر اثر انگشت و تشخیص چهره جایگزین جذابی برای پسوردهای متنی سنتی شده‌اند. این روش‌ها سرعت ورود را بالا می‌برند و مشکل فراموشی رمز را برای همیشه حل می‌کنند. با این حال برخلاف رمزهای عبور داده‌های بیومتریک در صورت سرقت یا افشا دیگر قابل تغییر نیستند. شما نمی‌توانید چهره یا اثر انگشت خود را پس از هک شدن پایگاه داده تغییر دهید.

هکرها با استفاده از تصاویر باکیفیت بالا یا پرینت‌های سه‌بعدی موفق به فریب برخی از این سیستم‌های شناسایی شده‌اند. همچنین قوانین حقوقی در برخی کشورها پلیس را مجاز می‌سازد تا بدون اجازه شما انگشتتان را روی حسگر گوشی قرار دهد در حالی که مجبور کردن شما به گفتن پسورد چالش‌های قانونی بیشتری دارد. تلفیق بیومتریک با رمزهای عبور متنی یکی از بهترین استراتژی‌ها برای افزایش ضریب ایمنی است. امنیت بیومتریک نباید ما را از خطرات نفوذ فیزیکی غافل کند.

۹. حملات مهندسی اجتماعی و فیشینگ هدفمند

گاهی هکرها بدون نیاز به محاسبات سنگین ریاضی رمز عبور شما را مستقیماً از خودتان دریافت می‌کنند. حملات مهندسی اجتماعی (Social Engineering) با بازی با احساسات انسانی مانند ترس، طمع یا کنجکاوی قربانی را به افشای اطلاعات ترغیب می‌کنند. ایمیل‌های فیشینگ هدفمند (Spear Phishing) که بسیار شبیه به پیام‌های رسمی بانک یا محل کار شما طراحی شده‌اند کاربران را به صفحات ورود جعلی هدایت می‌کنند.

این صفحات فیشینگ با دقت بالا شبیه‌سازی می‌شوند و در نگاه نخست تفاوت آن‌ها با نسخه اصلی غیرقابل تشخیص است. به محض اینکه نام کاربری و رمز خود را وارد کنید داده‌ها در دیتابیس هکر ثبت می‌شوند. هوش مصنوعی اکنون به هکرها کمک می‌کند تا ایمیل‌های فیشینگ بدون غلط املایی و بسیار باورپذیرتر بنویسند. آموزش مداوم رفتارهای شک‌گرایانه در مواجهه با پیام‌های ناشناس بهترین سپر دفاعی در برابر این حملات است.

۱۰. تحلیل قدرت الگوریتم‌های درهم‌سازی مدرن

هنگامی که رمز عبوری را در سایتی ثبت می‌کنید سیستم آن را به صورت مستقیم ذخیره نمی‌کند بلکه آن را به یک هش تبدیل می‌کند. الگوریتم‌های درهم‌سازی (Hashing Algorithms) مانند بیکریپت (bcrypt) یا آرگون۲ (Argon2) برای کند کردن عمدی فرآیند محاسبه هش‌ها طراحی شده‌اند. این کندی عمدی تاثیر ناچیزی بر تجربه کاربر معمولی دارد اما کار هکرها را برای تست میلیاردها ترکیب در ثانیه به شدت سخت می‌کند.

اگر سایتی از الگوریتم‌های قدیمی و منسوخ مانند ام‌دی۵ (MD5) استفاده کند کرک کردن دیتابیس آن کار چند دقیقه خواهد بود. متاسفانه بسیاری از توسعه‌دهندگان وب به دلیل تنبلی یا عدم آگاهی از استانداردهای جدید امنیتی استفاده نمی‌کنند. انتخاب الگوریتم رمزنگاری مناسب در سمت سرور نقش تعیین‌کننده‌ای در امنیت نهایی داده‌های کاربران دارد. امنیت پسورد یک معادله دوطرفه بین کاربر و مدیر سایت است.

۱۱. آینده بدون پسورد و استاندارد فیدو۲

پاسخ نهایی دنیای فناوری به ضعف‌های ذاتی کلمات عبور حذف کامل آن‌ها و حرکت به سمت آینده بدون پسورد (Passwordless) است. استاندارد فیدو۲ (FIDO2) و کلیدهای عبور (Passkeys) بر پایه رمزنگاری کلید عمومی کار می‌کنند. در این روش کلید خصوصی هرگز دستگاه شما را ترک نمی‌کند و نیازی به ذخیره هیچ پسوردی روی سرورهای سایت‌ها نیست. برای ورود به حساب تنها کافی است قفل گوشی خود را با اثر انگشت یا پین‌کد باز کنید.

این فناوری عملاً حملات فیشینگ و نشت داده‌های پسورد را بی‌اثر می‌کند زیرا هکری که سرور سایت را هک کرده هیچ کلید ورودی به دست نمی‌آورد. شرکت‌های بزرگی چون اپل، گوگل و مایکروسافت به شدت در حال پیاده‌سازی و ترویج این استاندارد جدید هستند. انتقال به این سیستم جدید ممکن است زمان‌بر باشد اما بزرگ‌ترین جهش امنیتی اینترنت در دهه‌های اخیر است. پایان دوران کلمات عبور سنتی نزدیک‌تر از آن چیزی است که فکر می‌کنیم.

۱۲. راهکارهای عملی برای ساخت دیوارهای امنیتی نفوذناپذیر

تا زمان همه‌گیر شدن کامل کلیدهای عبور کاربران باید روش‌های سنتی خود را برای حفظ امنیت ارتقا دهند. اولین قدم استفاده از عبارات عبور (Passphrases) به جای رمزهای تک‌کلمه‌ای است. انتخاب چند کلمه بی‌ربط در کنار هم طول رمز را به شدت افزایش می‌دهد بدون اینکه حفظ کردن آن سخت باشد. قدم دوم عدم استفاده مجدد از پسوردهای تکراری در حساب‌های مختلف است تا نشت داده یک سایت کل امنیت شما را نابود نکند.

فعال‌سازی احراز هویت دو مرحله‌ای با استفاده از اپلیکیشن‌های تولید کد به جای پیامک گام بعدی است. همچنین استفاده از برنامه‌های مدیریت پسورد معتبر برای مدیریت این آشفتگی دیجیتال بسیار توصیه می‌شود. بازبینی منظم امنیت حساب‌ها و بررسی فاش شدن احتمالی ایمیل‌ها در ابزارهای آنلاین پایش نشت داده از اقدامات ضروری دیگر است. امنیت صددرصدی وجود ندارد اما می‌توان هزینه هک شدن را برای نفوذگران به شدت بالا برد.

سوالات متداول

دکتر علیرضا مجیدی

پزشک، نویسنده و بنیان‌گذار وبلاگ «یک پزشک»

دکتر علیرضا مجیدی، نویسنده و بنیان‌گذار وبلاگ «یک پزشک».
با بیش از ۲۰ سال نویسندگی «ترکیبی» مستمر در زمینهٔ پزشکی، فناوری، سینما، کتاب و فرهنگ.
باشد که با هم متفاوت بیاندیشیم!

دربارهٔ علیرضا مجیدی در یک پزشک