L'attacco della forza bruta — operazione completa

Documento di riferimento del progetto Time2Crack

Recipienti: sviluppatori, ricercatori di sicurezza, utenti avanzati

Contenuto

1. Panoramica

La forza cruda è l'attacco più fondamentale in cracking password: si compone di test sistematicamente tutte le combinazioni possibili Nessuna intelligenza, nessuna euristica — solo la potenza di calcolo raw contro le dimensioni dello spazio per viaggiare.

Nel Time2Crack, la forza bruta gioca un duplice ruolo:

2. Sfondo storico e accademico

2.1 Origini

La forza cruda precede il computer: il principio di testare tutte le possibili combinazioni viene utilizzato fin dalle prime macchine di crittografia meccanica (Enigma durante la seconda guerra mondiale). La bomba di Alan Turing era, in senso lato, un dispositivo di forza cruda forzato da un'ipotesi di presepi.

Con l'avvento dei computer, la forza password unix è stata formalizzata dagli anni '70 agli anni '80:

2.2 Benchmarks

La rivoluzione della GPU ha cambiato l'ordine di grandezza della forza grezzo. Su CPU, un attaccante degli anni '90 ha testato ~10.000 password MD5/second. 168,9 miliardi al secondo — un'accelerazione di 16 milioni di volte in 30 anni.

• Gosney, J (2012) : primo benchmark pubblico multi-GPU su LM/NTLM, che mostra 180 GH/s con 8 GPU
• Sistemi di sollevamento (2025) : tabelle annuali calibrate su 12× RTX 4090, citate da Forbes, CNBC, BBC
• Diffamazione, M. (2011) : Tesi di Radboud University su cracking GPU, formalizzazione matematica

3. Basi matematiche: keyspace e entropia

3.1 Spazio chiave

Keyspace (keyspace) è il numero totale di possibili password per una data lunghezza e serbatoio:

keyspace = charset_size ^ length

Esempi:

3.2 entropia binaria

Entropia (misurata in bit) è la formulazione logaritmica dello spazio chiave:

entropie = length × log₂(charset_size)

In Time2Crack (funzione entropy())

function entropy(pw) {
  return pw.length * Math.log2(getCharset(pw).size);
}

Il rapporto tra entropia e keyspace:

keyspace = 2^entropie
entropie = log₂(keyspace)

3.3 Speranza matematica: Keyspace / 2

La forza cruda non sempre prova keyspace Combinazioni Integer — in media, trova la password a metà strada, in quanto l'obiettivo è equiprobabilmente distribuito nello spazio.aspettativa matematica il numero di tentativi è quindi:

tentatives_attendues = keyspace / 2

Questo è esattamente ciò che modelli bruteTime() in Time2Crack:

// "For brute force: expected value is keyspace/2 (uniform random search)"
function bruteTime(keyspace, rate) {
  const ls = Math.log(keyspace / 2) - Math.log(rate);
  return Math.exp(ls); // = (keyspace / 2) / rate
}

Questa divisione di 2 è corretta secondo l'ipotesi che l'attaccante viaggi lo spazio linearmente (non ripetitivo). keyspace/2 Tentativi.

14. Efficace difesa

14.1 lato utente: lunghezza e casualità

La forza lorda è sconfitta da due fattori combinati:

• Password Manager + Generazione casuale ≥ 16 caratteri con galleggiante completo = fuori gamma di qualsiasi forza grezza in un orizzonte di vita umana

14.2 lato server: algoritmi resistenti

La scelta dell'algoritmo hash moltiplica o divide il tempo di forza cruda per fattori fino a diversi milioni :

15. Riferimenti biblici

Accademica

Industria