大多數人都知道良好的線上安全習慣。但是，人們往往會有所疏漏，使自身暴露於字典攻擊的危險之中。儘管意識到他們應該保護自己的線上賬戶安全，但是很多人還是未能遵循簡單的指引，比如創建強密碼。實際上，谷歌研究發現，估計有 65% 的人在多個賬戶所用密碼都是一樣的。此外，59% 的人所用的密碼內含很容易被人猜到或發現的個人資料，比如寵物的名字和生日等。
而且，人們經常使用簡單且過於明顯的密碼，很容易被破解。研究表明，「123456」和「qwerty」等連續按鍵以及「Password」、「iloveyou」和「Welcome」等短語都是最常用的密碼，會經常出現資料洩露的情況。
這意味著這些攻擊非常普遍且非常成功，僅僅是因為人們不太重視預防字典攻擊。
字典攻擊：定義
字典攻擊使用最簡單的形式，屬於一種暴力破解攻擊，駭客企圖透過快速運行一連串的常用字、詞以及數字組合，猜測使用者線上賬戶的密碼。在透過字典攻擊成功破解密碼後，駭客就能憑此登入諸如銀行賬戶、社交媒體檔案，甚至是有密碼保護的檔案。這對受攻擊的使用者來說，就是一個實實在在的問題了。
字典攻擊是如何運作的？
這種駭客攻擊採用的是一種系統性的密碼破解方法。成功實施這些駭客攻擊基本需要三個步驟，瞭解這些步驟有助於學習如何有效防止字典攻擊。
- 通常，攻擊者會創建預先確定的潛在密碼清單，即暴力破解字典，主要是流行的字詞及數字組合。
- 然後，自動化軟體就會使用這種暴力破解字典嘗試侵入線上賬戶。
- 一旦字典攻擊成功侵入防禦性不強的賬戶，駭客就可以透過使用儲存在檔案中的任何敏感資料，滿足其自身目的。這可能包括實施欺詐、惡意行為或僅為經濟利益而存取賬戶等。
為編製潛在密碼清單，攻擊者通常會使用常見的寵物名稱、可識別的流行文化角色或著名的體育隊及運動員等。這是因為，很多人使用此類字詞創建密碼，這些密碼對他們有特殊意義且好記。此清單通常包括這些字詞的變體，比如字詞的不同組合或添加特殊的字符。
採用自動化工具運行這種清單也降低了字典攻擊成功得逞的難度。結合使用密碼清單和自動化工具可大幅提升破解密碼及侵入線上賬戶的速度。如果透過手動破解，則較為費時，這同時也給了賬戶所有者或系統管理者時間發現攻擊的企圖並對攻擊進行防禦。
由於其運作方式，這些字典攻擊的目標往往不是單個目標。相反，字典攻擊的目的是希望找到清單上的某一密碼恰好正確。但是，如果攻擊者的目標是某個特定的地方或組織，則他們會創建更具針對性且更為本地化的字詞清單。例如，如果他們計劃在西班牙發起攻擊，他們可能會使用常見的西班牙單詞，而非英文單詞。或者，如果他們的目標是某個特定的組織，則他們可能會使用與該公司相關的字詞。
字典攻擊對比暴力破解：有甚麼不同？
即便字典駭客攻擊是一種暴力破解攻擊，兩者也存在重大區別。字典攻擊使用預先確定的字詞清單對賬戶密碼進行系統性嘗試及破解，而暴力破解則不使用清單，而是嘗試所有可能用於創建密碼的字母、符號及數字的任意組合。因此，字典攻擊通常更為高效且成功幾率更高，僅僅只是因為其需要嘗試的組合要少得多。
字母表上 26 個字母加上 10 個個位數字共計有 36 個字符，可能的組合數量眾多，暴力破解攻擊想要成功，幾乎是不現實的。在這一背景下，暴力破解攻擊要破解一個 10 個字符的密碼，就需要嘗試 3.76 百萬的四次方個潛在字母數字混合密碼。
但是，暴力破解攻擊的優勢在於其更有可能透過反覆試錯的方法，破解複雜且唯一的密碼。這是因為，暴力破解攻擊會透過嘗試一份可能密碼的全面清單，更有可能最終發現任何特定密碼字符的正確組合。
如何防止字典攻擊
要防止字典攻擊的發生，首先要瞭解甚麼是字典攻擊以及這些攻擊是如何運作的。但對於注重字典攻擊防範的人士來說，以下建議可能會有所幫助：
- 盡量避免使用密碼：要避免字典駭客攻擊，最簡單且最可靠的方法是徹底避免使用密碼。相反，如果情況允許，可使用無密碼認證方案以及生物識別登入，確保自身賬戶安全。
- 使用隨機密碼：創建密碼時盡量避免含有如生日、寵物名等個人資料或容易被發現的其他資訊。密碼管理器可有助於安全創建、儲存及輸入密碼。
- 避免使用過於明顯的密碼：令人倍感意外的是，很多人都使用一些諸如「Password123」或「abcd1234」等最簡單、很容易遭到破解的字词和數字組合密碼。這些密碼最容易遭到駭客攻擊，因為字典攻擊就是專門用來破解這些容易猜到的密碼的。
- 選一個口令：不用選擇字詞及數字組合作為密碼，您可創建一個完整的口令，登入您的賬戶。這些口令被猜到的可能性更小，而且好記。比如，喜歡足球的人，可能會用「I want to be a linebacker for the Patriots」這樣的口令。為確保口令的安全性更高，可加入任意數字、字符以及大寫字母，將口令變成「IW@nT2B@L!n3B@ckER4THEPatr!0tS!」。
- 採用雙因素身份認證：將賬戶設定為每次登入需要進行雙（或以上）因素身份認證。比如，一個密碼、身份認證程式產生的一次性密碼及指紋。
- 盡量使用身份認證應用程式：有可能的話，盡量使用身份認證應用程式代替密碼或與密碼同時使用。這些應用程式有很多很容易下載到手機並連結到特定的賬戶，並在每次登入時提供隨機產生的一次性密碼。
- 限制登入次數：一些網站及應用程式目前會有特定時間內嘗試登入次數的限制。如果有此功能，可在各個賬戶上啟動，避免字典攻擊。
- 強制重設：字典駭客攻擊往往依賴多次嘗試去破解密碼。在一定次數的嘗試失敗後，強制重設密碼，這樣可將攻擊成功的可能性降到最低。如果您的賬戶上無法自動啟動這一功能，您可選手動设定，如果有登入失敗的情況，可啟動線上賬戶向您發送電子郵件。如果您收到通知，提示有人嘗試存取您的賬戶，尤其是您在短時間內連續收到這些通知的情況下，您可登入賬戶，變更您的密碼，確保密碼安全。
- 避免使用特定字詞：在您的所有密碼中避免使用常見的字詞，可為您的賬戶安全提供多一層保護。
密碼管理器有助於防止字典攻擊嗎？
密碼管理器可用於管理您的賬戶憑證，非常有用且安全，可將受到字典駭客攻擊的可能性降到最低。類似 Kaspersky Password Manager 的應用程式有助於確保密碼安全，益處多多。以下是選擇使用密碼管理器的部分原因：
- 僅使用一個密碼：有了密碼管理器，您僅須記住一個主密碼，就可登入您的賬戶，並對個人賬戶的其他登入進行管理。
- 生成強大的隨機密碼：這些程式大部分都允許使用者創建非常強大的隨機生成密碼。因為這些密碼未使用常見字詞或短語，因而可防止字典駭客攻擊，通常是安全的。但是，暴力破解攻擊仍存在成功破解的可能性。
- 便於存取賬戶：密碼管理器通常都能夠安全儲存各個賬戶登入資料，然後在每次登入網站、賬戶或應用程式時，自動填寫這些資料。
- 可安全共享密碼：如果需要與朋友、家人或同事等共享賬戶密碼，密碼管理器就可確保使用者安全地共享賬戶密碼，同時還能管理存取。
- 使用安全儲存：許多密碼管理器現在也能夠同時具有以加密形式儲存個人檔案、醫療記錄及照片等，確保所有敏感資料安全。
採取措施防止字典攻擊
字典駭客攻擊是一種非常常見的網絡犯罪，駭客透過其獲取個人賬戶存取權限，包括銀行賬戶、社交媒體檔案及電子郵件等。獲取權限後，駭客就可實施各種活動，從金融詐騙、在社交媒體上發佈惡意貼文到網絡釣魚等網絡犯罪。但是，防止字典攻擊非常簡單，採取某些保護措施就可以將受到這些攻擊的風險降到最低。例如，透過遵循智能密碼管理習慣、採用不同的身份認證方式及使用現有的密碼管理器，就能夠始終確保密碼及賬戶安全。
Kaspersky Endpoint Security 獲得三項 2021 年 AV-TEST 的企業終端安全防護產品奬項，包括最佳效能、保護和用途。在所有測試中， Kaspersky Endpoint Security 都顯示出出色的效能、保護和用途。
相關產品和服務：
