Brute force

Brute force (atak siłowy) to metoda łamania zabezpieczeń polegająca na systematycznym sprawdzaniu kolejnych kombinacji haseł, kluczy lub kodów, aż trafi się na właściwą. Atak nie wykorzystuje żadnej luki w oprogramowaniu — bazuje wyłącznie na mocy obliczeniowej i czasie, dlatego jego skuteczność zależy od długości i złożoności hasła oraz od tego, czy system ogranicza liczbę prób.

Jak działa atak brute force

W praktyce spotyka się kilka odmian:

• klasyczny brute force — sprawdzanie wszystkich możliwych kombinacji znaków; skuteczny tylko wobec krótkich haseł,
• atak słownikowy — testowanie list popularnych haseł i ich wariantów (np. „admin123!”), znacznie szybszy od pełnego przeszukiwania,
• credential stuffing — próby logowania parami login+hasło wykradzionymi z innych serwisów; wykorzystuje powtarzanie haseł przez użytkowników,
• password spraying — jedno popularne hasło testowane na wielu kontach, co omija blokady per konto,
• brute force offline — łamanie wykradzionych skrótów (hashy) haseł na GPU, bez limitów prób.

Celem są najczęściej panele logowania (WordPress wp-login.php, panele hostingowe), usługi SSH i FTP, konta pocztowe oraz API. Ataki prowadzą botnety rozproszone na tysiące adresów IP, co utrudnia proste blokowanie.

Zastosowanie w praktyce — jak się bronić

Skuteczna ochrona łączy kilka warstw. Po stronie kont: długie, unikalne hasła (menedżer haseł) i dwuskładnikowe uwierzytelnianie, które unieważnia odgadnięte hasło. Po stronie serwera: limity prób i automatyczna blokada adresów IP (np. Fail2ban analizujący logi), rate limiting na formularzach, CAPTCHA po kilku nieudanych próbach oraz logowanie do SSH wyłącznie kluczem. Administratorzy VPS-ów dodatkowo wyłączają logowanie roota i przenoszą SSH na niestandardowy port, co odsiewa masowe skanery.

Warto też monitorować logi uwierzytelniania — nagły wzrost nieudanych logowań to zwykle pierwszy sygnał trwającego ataku i dobry moment na zaostrzenie reguł firewalla.