Brute Force (Atak siłowy)
Brute force to metoda odgadywania tajemnicy (hasła, PIN-u, klucza) przez systematyczne sprawdzanie kandydatów: od pełnej przestrzeni znaków po listy słownikowe i reguły mutacji. Nazwa sugeruje siłę. W praktyce wygrywa matematyka przestrzeni i koszt próby.
Na blackweb.pl brute force odróżniamy od credential stuffing: stuffing używa gotowych par z wycieków; brute force zgaduje. Oba bywają zautomatyzowane. Oba żywią się słabymi secretami i brakiem limitów.
Przestrzeń i czas
Krótki PIN numeryczny ma małą przestrzeń. Losowe 12 znaków z pełnego alfabetu ma przestrzeń, przy której online brute force na żywym logowaniu pada na rate limicie długo przed sukcesem. Offline, przy skradzionym hashu, ograniczeniem jest moc GPU/ASIC i jakość funkcji skrótu (bcrypt/argon2 vs stary MD5).
Atak słownikowy i hybrid (słownik plus reguły: dopiski roku, zamiany liter) to nadal rodzina brute force w szerszym sensie: nie magiczna wiedza, tylko priorytetyzacja prawdopodobnych kandydatów. Ludzie wybierają przewidywalne hasła. Narzędzia to wykorzystują.
Online vs offline
Online: próby przeciwko usłudze (login, SSH, panel). Obrona: lockout, opóźnienia, MFA, wykrywanie anomalii, zakaz popularnych haseł. Offline: napastnik ma hash albo zaszyfrowany plik i liczy lokalnie. Wtedy liczy się sól, wolna funkcja KDF i długość secretu. Rainbow table historycznie przyspieszały offline przy braku soli; dziś sól jest normą w sensownych systemach, ale legacy bazy wciąż wyciekają.
Brute force na kluczach kryptograficznych o właściwej długości jest w praktyce nierealny. „Złamali szyfr brute forcem” w mediach często znaczy: zgadli hasło, wyciągnęli klucz z pamięci albo trafili w implementację, nie w AES-256 czołem.
Obrona (opisowo)
Dla użytkownika: menedżer haseł, długie losowe sekrety, 2FA, passkeys gdzie są. Dla serwisu: twarde limity, monitoring, HIBP-style blokady znanych haseł, wolne KDF przy przechowywaniu, nigdy plaintext. Po wycieku hashów czas do złamania słabych haseł mierzy się minutami, nie mitologią.
W opsec PIN telefonu i krótkie hasła do lokalnych vaultów bywają najsłabszym ogniwem całej układanki narzędzi. Warstwy nad nimi nie liczą się, jeśli PIN to cztery cyfry z daty urodzenia.
W praktyce threat intel rzadko opisuje „złamano AES brute forcem”. Częściej: słabe hasło do panelu, domyślne credentials na routerze, słownik na VPN bez MFA. Słowo z nagłówka zostaje. Mechanizm pod spodem jest prostszy i przez to częstszy.
Czego tu nie ma
Nie ma tabel „ile sekund na RTX” jako instrukcji łamania ani list wordlist do ataku. Jest model przestrzeni i rozróżnienie online/offline, bo bez tego hasło „brute force” w newsie nic nie wyjaśnia.