Ordboksattack

Ordboksattack (engelska: Dictionary attack) är en term inom datasäkerhet som beskriver när någon försöker knäcka ett lösenord genom att testa olika ord och andra teckenkombinationer från en lista, och olika varianter och enkla kombinationer av "orden".

För att skydda sig mot en ordboksattack gäller det att ha ett lösenord som inte finns med vare sig i en traditionell ordlista eller en lista på tänkbara beståndsdelar i lösenord – istället för att använda lösenordet ”lassie” (om vi säger att ägaren till lösenordet har en hund som heter så) eller ”lassie50” (som är en trivial variation av lösenordet) kan man använda ett mer avancerat lösenord, till exempel ”L2mhs5t!” (av ”Lassie är min hund sedan jag fyllde 5 tio år!”) eller ariue5i! (med ordens andra bokstav istället för den första). Sådana lösenord genereras knappast i en ordboksattack, men kan brytas med "brute force", genom att pröva alla kombinationer av bokstäver. Att även siffror och specialtecken används, här med siffrorna på svårgissade ställen, försvårar en sådan attack, men hindrar den inte helt om angriparen har tillgång till tillräcklig beräkningskapacitet och lösenordet är någorlunda kort, som här.

Lösenordets längd

Lösenorden sparas i allmänhet på servern i form av en "hash" ur vilken lösenordet inte kan härledas, men mot vilken man kan kontrollera lösenordet. I äldre system användes bara ett begränsat antal tecken (åtta i Unix' modifierade DES), varför det var viktigt att dessa valdes väl. Moderna hashfunktioner utnyttjar fler tecken, så att längre fraser kan användas – men äldre hashfunktioner kan fortfarande vara i bruk. "Lassie är min hund sedan jag fyllde 5tio år!" är sannolikt ett minst lika bra lösenord som de förkortade versionerna om alla tecken utnyttjas, och lättare att minnas. Däremot är lösenfrasen usel om endast de första åtta tecknen används ("Lassie" finns sannolikt i de använda ordböckerna, mellanslag efter ordet är inte överraskande och "ä", antagligen omvandlat till "d", ett enda tecken på slutet).

Då fraser med flera ord används är det inte farligt om flera av orden är vanliga, om frasen i sig är svår att gissa. Det finns fler någorlunda vanliga ord än vad det finns bokstäver, så ett lösenord på tio ord är vanligen betydligt tryggare än ett lösenord med tio bokstäver. "Blinka lilla stjärna där", "Min hund heter Lassie" och liknande, med få ord och utan överraskande element, är dåliga trots att de innehåller många tecken.

Användbara program

• Crack
• Cain & Abel
• John the Ripper
• L0phtCrack