云中的密碼破解
對于那些在短期內(nèi)需要一些計算容量，但又不想在固定資產(chǎn)方面長期投資的企業(yè)來說，隨需提供的云計算是一種非常神奇的工具。由于相同的原因，云計算對于黑客來說也非常有用——很多黑客活動都牽涉到口令、密鑰破解，以及其它形式的暴力破解，所有這些活動需要的都是昂貴和高度并行的計算。
對于黑客來說，隨需的計算資源有兩個主要來源：由消費者PC構(gòu)成的僵尸網(wǎng)絡(luò)和服務(wù)商提供的基礎(chǔ)設(shè)施即服務(wù)（IaaS）。每種形式都可以提供暴力計算所需的隨需計算能力。僵尸網(wǎng)絡(luò)的可靠性較差，并且采用異型設(shè)備，“提供服務(wù)”所需的時間較長。但它們完全是免費使用的，并且可以擴展到非常大的規(guī)模；一些研究人員發(fā)現(xiàn)，有些僵尸網(wǎng)絡(luò)甚至由數(shù)十萬臺PC機組成。作為商品提供的云計算提供服務(wù)的速度更快，性能可以預測，而且可以通過盜用的信用卡來付賬。
如果您真正了解攻擊者在當前能夠以極低的成本獲得多少高性能計算能力，您就會發(fā)現(xiàn)，安全控制和攻擊方法之間的力量平衡正在悄然發(fā)生戲劇性的變化。以口令為例?？诹畹拈L度和復雜性決定了對其進行暴力解破所需要的精力。假設(shè)攻擊者能夠訪問口令數(shù)據(jù)庫中的“亂數(shù)”值，而存在漏洞的Web服務(wù)器或驗證服務(wù)器都有可能泄露這種數(shù)據(jù)庫。亂數(shù)通常基于加密亂數(shù)算法等類型的算法，而且不可逆轉(zhuǎn)，但可以通過嘗試所有可能的口令值對其進行暴力破解。這種暴力計算會在遠離驗證服務(wù)器的地方進行，因此不會受到三次嘗試后鎖死機制的限制。
如果采用單核CPU，破解一個8個字符的口令需要很長的時間。根據(jù)算法和口令復雜性的不同，可能需要幾個月，也可能是幾年。但這個問題可以通過高度并行的方式來解決：搜索空間可以按需要分割為許多“批次”，并且交給多個CPU以并行方式加以處理。使用僵尸網(wǎng)絡(luò)或IaaS時，攻擊者可以在幾分鐘或幾小時的時間里計算出過去需要幾年才能得到的結(jié)果。
一位德國的研究人員使用Amazon的彈性計算云，以及專門為CPU密集型圖形計算而設(shè)計的新型集群計算服務(wù)在這方面進行了演示。從算法的角度來看，圖形和口令破解的計算過程非常相似：矩陣和矢量數(shù)學計算。結(jié)果很有啟發(fā)性：使用單個集群實例，該研究人員只用49分鐘便破解了最多6個字母組成的口令。此次試驗的總成本：每小時的計算2.10美元（最短可按小時收費）。
隨著云計算的盛行，云計算也像任何其它技術(shù)一樣，會被壞人發(fā)現(xiàn)并成為他們的新工具。在考慮風險和收益的平衡時，我們必須進行安全控制的成本/利益評價，并且考慮到所有人的計算成本已經(jīng)大幅度降低，當然也包括攻擊者在內(nèi)。在這種情況下，我們必須對口令、無線密鑰、靜態(tài)加密，甚至老式的SSL算法都進行重新評價。您認為“不可行”的難題或許對于“普通”黑客來說已經(jīng)變成非常輕松平常的事情。
【編輯推薦】
