Sikkerhed

Brute force

Et brute force-angreb er en angrebsmetode, hvor en angriber systematisk afprøver mulige kombinationer af brugernavne og adgangskoder, indtil den rigtige kombination giver adgang til et system. Metoden udnytter ikke fejl i koden, men bygger på vedholdenhed og regnekraft. Navnet kommer af engelsk brute force, der betyder rå styrke.

I praksis sidder angriberen sjældent og taster gæt i hånden. Forestil dig en lille webshop, hvor administratorkontoen er beskyttet af adgangskoden “admin2024”: Et automatiseret program kan sende den ene loginanmodning efter den anden til loginsiden og vil typisk prøve netop den slags almindelige og forudsigelige adgangskoder først. Hvis siden ikke begrænser antallet af loginforsøg, kan programmet fortsætte, indtil det rammer rigtigt. Telenor sammenligner det med at prøve tusindvis af nøgler i den samme lås, bare digitalt og meget hurtigere.

Læs i denne artikel:

Sådan foregår et brute force-angreb

Et brute force-angreb følger som regel et genkendeligt forløb:

Valg af mål: Angriberen finder et loginfelt, fx en mailkonto, en VPN-forbindelse, en webshop, en server eller en programmeringsgrænseflade (API), der kræver login.
Indsamling af oplysninger: Angriberen samler viden om, hvordan brugernavne er opbygget, hvilke krav systemet stiller til adgangskoder, og om der findes lækkede loginoplysninger fra tidligere databrud.
Automatiserede forsøg: Et specialiseret program genererer og afprøver kombinationer i stort tempo.
Misbrug af adgangen: Når en gyldig kombination er fundet, får angriberen samme rettigheder som den kompromitterede konto og kan fx læse mails, hente data eller bevæge sig videre i netværket.

Hvor lang tid et brute force-angreb tager, afhænger især af adgangskodens længde og kompleksitet. En kort adgangskode med få tegntyper har langt færre mulige kombinationer end en lang adgangskode, og derfor kan tiden spænde fra få sekunder til mange år. Angribere kan øge tempoet ved at bruge grafikkort (GPU’er), der kan udføre mange beregninger parallelt, eller ved at fordele arbejdet på et botnet af kaprede computere.

Typer af brute force-angreb

Begrebet dækker over flere varianter, som alle bygger på gætning, men med forskellig strategi:

Simpelt brute force-angreb

Angriberen afprøver tegnkombinationer systematisk eller gætter ud fra viden om målet, fx navne, fødselsdatoer eller typiske mønstre. Metoden virker bedst mod korte og forudsigelige adgangskoder og pinkoder.

Ordbogsangreb

I stedet for tilfældige tegnkombinationer bruger angriberen en liste med ord, almindelige adgangskoder og tidligere lækkede adgangskoder. Fordi de mest sandsynlige adgangskoder afprøves først, kan et ordbogsangreb være langt hurtigere end at afprøve alle kombinationer.

Hybridangreb

Et hybridangreb kombinerer ordbogsangrebet med systematiske variationer, fx ved at erstatte “a” med “@” eller tilføje tal til sidst. Adgangskoder som “Sommer2023!” er typiske mål for denne variant.

Omvendt brute force-angreb

Her starter angriberen med en kendt adgangskode, ofte fra et databrud, og afprøver den mod mange forskellige brugernavne for at finde en konto, der bruger netop den adgangskode.

Credential stuffing

Ved credential stuffing afprøves lækkede kombinationer af brugernavn og adgangskode fra én tjeneste på mange andre tjenester. Metoden udnytter, at mange brugere genbruger den samme adgangskode flere steder.

Password spraying

I stedet for at afprøve mange adgangskoder mod én konto afprøver angriberen få almindelige adgangskoder mod mange konti. Fordi hver konto kun får få forsøg, kan angrebet i mange tilfælde undgå at udløse automatisk kontospærring.

Hvordan adskiller brute force sig fra andre angreb?

Mange angreb udnytter en konkret svaghed i et system. Ved SQL injection narrer angriberen fx en database ved at indsætte ondsindet kode i et inputfelt. Et brute force-angreb kræver derimod ikke nogen fejl i softwaren: Det bruger blot loginfunktionen, som den er tænkt, bare med et meget stort antal forsøg. Derfor handler forsvaret mod brute force-angreb i høj grad om adgangskoder og om, hvordan systemet håndterer gentagne loginforsøg.

Tegn på et brute force-angreb

Et brute force-angreb er ikke altid synligt for den enkelte bruger, men nogle tegn kan pege på det:

mange mislykkede loginforsøg inden for kort tid
loginforsøg fra ukendte lande eller IP-adresser
brugerkonti, der uventet bliver låst
beskeder om loginforsøg, som brugeren ikke selv har foretaget
usædvanlig belastning af en server eller hjemmeside, fordi den modtager mange loginanmodninger

Sådan kan man beskytte sig

Ingen kombination af brugernavn og adgangskode er fuldstændig umulig at gætte, men flere lag af beskyttelse kan gøre et brute force-angreb så tidskrævende, at det i praksis bliver urealistisk:

Lange og unikke adgangskoder: Både Okta og Gawistik anbefaler adgangskoder på mindst 12 tegn uden almindelige ord, navne eller forudsigelige mønstre. Lange adgangssætninger kan være lettere at huske og samtidig sværere at gætte.
Ingen genbrug: En unik adgangskode til hver tjeneste begrænser skaden, hvis én tjeneste bliver ramt af et databrud. En adgangskodeadministrator kan gøre det nemmere i hverdagen.
Tofaktorgodkendelse: Når login kræver mere end en adgangskode, fx en kode på mobilen, er en gættet adgangskode ikke i sig selv nok til at komme ind.
Begrænsning af loginforsøg: Systemet kan låse en konto midlertidigt eller indføre stigende ventetid efter et antal mislykkede loginforsøg.
CAPTCHA: En CAPTCHA-test efter mislykkede loginforsøg kan bremse automatiserede programmer uden at genere almindelige brugere meget.
Blokering og overvågning: IP-adresser med mistænkelige mønstre kan blokeres, og loginaktivitet fra ukendte steder eller enheder kan undersøges nærmere.

Beskyttelse mod brute force-angreb bør ses som en del af den samlede IT-sikkerhed sammen med opdaterede systemer, firewall, backup og gode loginvaner hos brugerne.

En angriber lader et program afprøve tusindvis af adgangskoder mod loginsiden på en webshop, indtil én af dem giver adgang til administratorkontoen.

Ofte stillede spørgsmål

Er brute force-angreb ulovlige?

Ja, i Danmark er det strafbart at skaffe sig uberettiget adgang til andres IT-systemer, og det gælder også, når adgangen opnås ved at gætte adgangskoder. Sikkerhedsfolk må kun afprøve brute force-angreb mod systemer, som de har udtrykkelig tilladelse til at teste, fx i en aftalt penetrationstest.

Kan brute force-angreb også bruges mod krypterede filer?

Ja. Metoden kan også bruges offline mod fx en krypteret ZIP-fil eller en stjålet database med hashede adgangskoder. Her er der ingen loginside, der kan låse kontoen efter mislykkede forsøg, så det er især adgangskodens længde og den anvendte hashfunktion, der afgør, hvor lang tid angrebet tager.

Hvad er forskellen på et ordbogsangreb og et simpelt brute force-angreb?

Et simpelt brute force-angreb afprøver tegnkombinationer systematisk, mens et ordbogsangreb kun afprøver adgangskoder fra en forberedt liste med almindelige ord og lækkede adgangskoder. Ordbogsangrebet er ofte hurtigere, men virker kun, hvis adgangskoden står på listen eller ligner noget på den.

Hjælper det at skifte adgangskode ofte?

Hyppige tvungne skift giver ikke nødvendigvis bedre beskyttelse, fordi mange brugere så vælger forudsigelige variationer som at ændre et tal til sidst, og den slags fanges let af hybridangreb. En lang, unik adgangskode kombineret med tofaktorgodkendelse giver i mange tilfælde bedre beskyttelse. Adgangskoden bør dog skiftes med det samme, hvis der er mistanke om et læk.

Hvordan opdager jeg, om min adgangskode er lækket?

Tjenester som Have I Been Pwned og indbyggede funktioner i mange browsere og adgangskodeadministratorer kan advare, hvis en e-mailadresse eller adgangskode optræder i kendte databrud. Lækkede adgangskoder er særligt udsatte for credential stuffing og bør udskiftes på alle tjenester, hvor de er brugt.

Mange loginsider bremser brute force-angreb ved at bede brugeren bevise, at der sidder et menneske bag skærmen. Se, hvordan de små tests skelner mellem mennesker og automatiserede programmer.

CAPTCHA →

Kilder