Brute Force Attack คืออะไร?
Brute Force Attack เป็นวิธีโจมตีที่ลองทุกชุดค่าที่เป็นไปได้ (Exhaustive Search) เพื่อค้นหาคีย์ลับ รหัสผ่าน หรือข้อมูลที่ถูกซ่อนไว้ โดยไม่ใช้ความรู้เฉพาะทางหรือช่องโหว่ของระบบ แค่ลองซ้ำๆ จนสำเร็จ
ประเภทของ Brute Force Attack
| ประเภท | รายละเอียด | ตัวอย่าง |
|---|
| Simple Brute Force | ลองทุกชุดตัวอักษรตามลำดับ (aaa, aab, aac...) | PIN 4 หลัก: 0000-9999 (10,000 ครั้ง) |
| Dictionary Attack | ใช้รายการรหัสผ่านยอดนิยม/รั่วไหลมาก่อน (rockyou.txt, SecLists) | ลอง "password", "123456", "admin", "qwerty" |
| Hybrid Attack | Dictionary + Mutations (เพิ่มตัวเลข, สัญลักษณ์, เปลี่ยนพิมพ์ใหญ่/เล็ก) | "Password123!", "Admin@2024" |
| Credential Stuffing | นำ Username/Password ที่รั่วไหลจากเว็บอื่น มาลองล็อกอินเว็บเป้าหมาย | ใช้ Combo List จาก Collection #1, BreachCompilation |
| Reverse Brute Force | รหัสผ่านคงที่ 1 ชุด ลอง Username หลายตัว | Password="Welcome123" ลอง user1, user2, admin... |
| Rainbow Table Attack | ใช้ Pre-computed Hash Tables ย้อนหา Password จาก Hash (ถ้าไม่มี Salt) | LM/NTLM Hash, MD5, SHA-1 (เก่า) |
| Distributed/GPU/Cloud Brute Force | กระจายงานไปหลายเครื่อง/GPU/Cloud เร่งความเร็ว | Hashcat บน 8x RTX 4090, Botnet |
เป้าหมายทั่วไป
- Login Forms (Web, SSH, RDP, VPN, FTP, Database)
- Encryption Keys (Weak/Short Keys)
- Wi-Fi WPA/WPA2 Handshake (Offline Crack)
- API Keys, JWT Secrets, Certificate Private Keys
- Hidden Web Directories/Files (Directory Brute Force)
ตัวอย่างความเร็วการโจมตี (2024 Hardware)
| เป้าหมาย | อัลกอริทึม | Hardware (8x RTX 4090) | ความเร็ว (ประมาณ) |
|---|
| MD5 | Hashcat | GPU Cluster | ~400 Gh/s (400 พันล้าน/วินาที) |
| SHA-256 | Hashcat | GPU Cluster | ~15 Gh/s |
| NTLM | Hashcat | GPU Cluster | ~500 Gh/s |
| WPA2 Handshake | Hashcat -m 22000 | GPU Cluster | ~1.2 Mh/s (1.2 ล้าน/วินาที) |
| Bcrypt (Cost 10) | Hashcat | GPU Cluster | ~200 kh/s (ช้ามาก เนื่องจากออกแบบให้ช้า) |
| Argon2id | Hashcat | GPU Cluster | ~10 kh/s (Memory-hard) |
วิธีป้องกัน Brute Force Attack
| มาตรการ | รายละเอียด | ความมีประสิทธิภาพ |
|---|
| Strong Password Policy | Min 12-14 chars, ผสมชนิด, ไม่อยู่ใน Wordlist, ไม่ใช้ซ้ำ | ⭐⭐⭐⭐⭐ (รากเหง้า) |
| Multi-Factor Authentication (MFA) | TOTP, FIDO2/WebAuthn, Push Notification แม้รหัสรั่วก็เข้าไม่ได้ | ⭐⭐⭐⭐⭐ (สำคัญที่สุด) |
| Account Lockout / Rate Limiting | ล็อกบัญชีหลังลองผิด 3-5 ครั้ง, Delay ระหว่างครั้ง, CAPTCHA | ⭐⭐⭐⭐ (Online Attack) |
| Passwordless / Passkeys (FIDO2) | ไม่มีรหัสผ่านให้โจมตี ใช้ Public Key Cryptography | ⭐⭐⭐⭐⭐ (ทิศทางอนาคต) |
| Slow Hashing (KDF) | Bcrypt (cost≥12), Argon2id, PBKDF2 (iterations≥600k) สำหรับเก็บ Password Hash | ⭐⭐⭐⭐⭐ (Offline Crack) |
| Salting | Random Salt ต่อ User ทำให้ Rainbow Table ไม่ได้ | ⭐⭐⭐⭐⭐ (Offline) |
| IP Reputation / Geo-blocking | บล็อก IP ที่โจมตีมาก, Tor, VPN, Datacenter ASN | ⭐⭐⭐ (Layer เพิ่ม) |
| Monitoring & Alerting | SIEM Alert: Failed logins spike, Impossible travel, Known bad IPs | ⭐⭐⭐⭐ (Detection) |
| Honeypots / Deception | Fake accounts/services ดักจับ Attacker | ⭐⭐⭐ (Intelligence) |
เครื่องมือ Brute Force ยอดนิยม (สำหรับ Penetration Testing ที่ได้รับอนุญาต)
- Hashcat: เร็วที่สุด รองรับ GPU, 300+ Hash modes, Rules-based attacks
- John the Ripper: CPU-based, รองรับหลาย Format, Jumbo version รองรับ GPU
- Hydra / Medusa / Ncrack: Online Brute Force (SSH, RDP, FTP, HTTP, SMB, Databases)
- Aircrack-ng: Wi-Fi WPA/WPA2 Handshake Cracking
- Dirb / Gobuster / Feroxbuster / ffuf: Web Directory/File Brute Force
- Burp Suite Intruder: Web Form/API Brute Force (GUI, รองรับ Macros, Session handling)
กรณีศึกษาจริง
- 2012 LinkedIn Breach: 167M SHA-1 Unsalted Hashes → Cracked >90% ในไม่กี่วัน
- 2016 Dropbox: 68M Bcrypt Hashes → ยากกว่ามาก แต่ Weak Passwords ยังแตกได้
- 2021 Colonial Pipeline: VPN Account ไม่มี MFA, Password รั่วไหล → Ransomware
- ประจำปี: Verizon DBIR รายงาน >80% ของ Hacking-related breaches เกี่ยวข้อง Brute Force/Stolen Credentials
สรุป
Brute Force Attack ยังคงเป็นภัยคุกคามอันดับหนึ่ง เพราะทำได้ง่าย ทำอัตโนมัติได้ และมี Hardware/Cloud เร่งความเร็ว ป้องกันได้ดีที่สุดด้วย MFA + Strong Unique Passwords + Slow Hashing (Argon2id/Bcrypt) + Rate Limiting + Monitoring ไม่ควรพึ่งพาเพียงอย่างเดียว
