ব্রুট ফোর্স আক্রমণ (Brute Force Attack) কী?
ব্রুট ফোর্স আক্রমণ হল একটি ক্রিপ্টোগ্রাফিক হামলা যেখানে আক্রমণকারী সমস্ত সম্ভাব্য কী/পাসওয়ার্ড কম্বিনেশন চেষ্টা করে সঠিকটি খুঁজে বের করার চেষ্টা করে। এটি "Trial-and-Error" পদ্ধতি, যেখানে কোনো বুদ্ধিমত্তা বা হিউরিস্টিক ব্যবহার না করে ব্রুট ফোর্স (প্রযোগ বল) প্রয়োগ করা হয়।
কীভাবে কাজ করে?
- আক্রমণকারী টার্গেট সনাক্ত করে (লগইন পেজ, SSH, RDP, VPN, এনক্রিপ্টেড ফাইল)
- অটোমেটেড টুল/স্ক্রিপ্ট ব্যবহার করে পাসওয়ার্ড/কী গেস করা হয়
- প্রতিটি失敗ের পর নতুন কম্বিনেশন চেষ্টা করা হয়
- সঠিক কী মেলা পর্যন্ত বা অ্যাকাউন্ট লকআউট পর্যন্ত চলতে থাকে
ব্রুট ফোর্স আক্রমণের প্রকারভেদ
| প্রকার | বর্ণনা | দক্ষতা |
|---|---|---|
| Simple Brute Force | সব সম্ভাব্য কম্বিনেশন ক্রমাগত চেষ্টা (aaa, aab, aac...) | খুব ধীর, কী লেথ বাড়লে এক্সপোনেনশিয়ালি কঠিন |
| Dictionary Attack | সাধারণ পাসওয়ার্ডের শব্দকোষ (rockyou.txt, SecLists) ব্যবহার | দ্রুত, মানুষের পাসওয়ার্ড অভ্যাসের ওপর ভিত্তি করে |
| Hybrid Attack | Dictionary + নিয়ম (Rules: capitalization, leetspeak, suffix/prefix) | Dictionary-র চেয়ে বেশি কার্যকর |
| Credential Stuffing | লিক করা ইউজারনেম/পাসওয়ার্ড জোড়া অন্য সাইটে চেষ্টা | খুব কার্যকর (পাসওয়ার্ড রি-ইউজের কারণে) |
| Reverse Brute Force | একটি সাধারণ পাসওয়ার্ড দিয়ে অনেক ইউজারনেম চেষ্টা | অ্যাকাউন্ট লকআউট এড়াতে কার্যকর |
| Rainbow Table Attack | পূর্ব-গণনা করা হ্যাশ টেবিল ব্যবহার করে পাসওয়ার্ড রিভার্স | স্যাল্ট না থাকলে খুব দ্রুত |
বাস্তব উদাহরণ
- দুর্বল পাসওয়ার্ড: "123456", "password", "admin123" — সেকেন্ডে ভাঙা যায়
- ৮-অক্ষরের কমপ্লেক্স পাসওয়ার্ড: GPU ক্লাস্টার দিয়ে ~৫ ঘণ্টা (NVIDIA RTX 4090: ~১০০ GH/s NTLM)
- ১২+ অক্ষরের র্যান্ডম পাসওয়ার্ড: বর্তমান হার্ডওয়্যার দিয়ে অসম্ভব (শতাব্দী লাগবে)
- SSH/RDP এক্সপোজার: ইন্টারনেট-ফেসিং পোর্টে ২৪/৭ ব্রুট ফোর্স বট স্ক্যান
প্রতিরোধ ও 완화 কৌশল
১. অ্যাকাউন্ট লকআউট পলিসি
- ৫-১০ বার ব্যর্থ লগইনের পর ১৫-৩০ মিনিট লকআউট
- প্রগ্রেসিভ লকআউট (বারবার ব্যর্থ হলে সময় বাড়ান)
২. মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA/2FA)
- সর্বোত্তম প্রতিরোধ—পাসওয়ার্ড জানলেও দ্বিতীয় ফ্যাক্টর ছাড়া প্রবেশ অসম্ভব
- TOTP (Authenticator App), FIDO2/WebAuthn (YubiKey), Push Notification
৩. শক্তিশালী পাসওয়ার্ড নীতি
- ন্যূনতম ১২ অক্ষর, ১৬+ সুপারিশ
- পাসওয়ার্ড ম্যানেজার ব্যবহার (Bitwarden, 1Password, KeePass)
- পাসওয়ার্ড রি-ইউজ নিষিদ্ধ করুন
৪. রেট লিমিটিং ও IP ব্লকিং
- WAF/Load Balancer/Firewall-এ রেট লিমিট (৫ রিকোয়েস্ট/মিনিট)
- Fail2Ban, CrowdSec (সার্ভারে)
- Geo-blocking (দুশ その後 kraju থেকে ব্লক)
৫. CAPTCHA / hCAPTCHA / Turnstile
- লগইন ফর্মে বট সনাক্তকরণ
৬. পাসওয়ার্ড-লেস অথেনটিকেশন
- FIDO2/WebAuthn (Passkeys), Magic Links, SMS/Email OTP (কম নিরাপদ)
৭. মনিটরিং ও অ্যালার্টিং
- SIEM-এ ফেইলড লগইন কোরিলেশন (৫ মিনিটে ১০+ ব্যর্থ = অ্যালার্ট)
- হানিপট অ্যাকাউন্ট ডিপ্লয় করুন
পопуляр ব্রুট ফোর্স টুলস (শুধু রক্ষণাবেক্ষণ/অথরাইজড টেস্টিং için)
- Hydra / Medusa: নেটওয়ার্ক সার্ভিস (SSH, FTP, HTTP, RDP, SMB)
- Hashcat / John the Ripper: অফলাইন হ্যাশ ক্র্যাকিং (GPU-accelerated)
- Aircrack-ng: Wi-Fi WPA/WPA2 হ্যান্ডশেক ক্র্যাকিং
- Burp Suite Intruder: ওয়েব অ্যাপ্লিকেশন লগইন ফর্ম
কानুনি ও নৈতিক দিক
অনুমতিবিহীন ব্রুট ফোর্স আক্রমণ lanza করতে গैरقانونী (Computer Fraud and Abuse Act, UK Computer Misuse Act, বাংলাদেশে ICT Act 2006)। শুধুমাত্র লিখিত অনুমতिप্রাপ্ত পেনটেস্টিং/রেড টিমিং-এর সময় ব্যবহার করুন।
