Ataque de dicionário
Um ataque de dicionário é uma metodologia de quebra de credenciais frequentemente utilizada para comprometer sistemas de autenticação por meio da tentativa sistemática de listas pré-compiladas de possíveis senhas. Também conhecida como ataque baseado em dicionário, essa técnica explora a tendência dos usuários de escolher senhas com base em palavras comuns, frases usadas com frequência, nomes próprios ou combinações previsíveis de caracteres. Além disso, invasores costumam usar métodos baseados em dicionário para identificar automaticamente endereços de e-mail válidos para campanhas de spam.
Ao contrário dos ataques de força bruta, que tentam exaustivamente todas as combinações possíveis de caracteres (consumindo tempo e recursos computacionais significativos), os ataques de dicionário utilizam listas predefinidas de palavras que contêm senhas comumente escolhidas ou vazadas, permitindo tentativas de invasão mais rápidas e eficientes em termos de recursos.
Dicionários e ferramentas de software especializadas para realizar ataques de dicionário estão amplamente disponíveis, tanto comercialmente quanto gratuitamente em recursos da comunidade de segurança. Os dicionários variam de milhares a milhões de entradas. Administradores de TI e especialistas em segurança costumam usar essas ferramentas e esses dicionários de forma proativa — realizando testes de segurança, testes de invasão e auditorias de senhas — para avaliar a vulnerabilidade de seus sistemas a esse vetor de ataque.
Uma técnica comum de mitigação consiste em aplicar políticas de criação de senhas que rejeitem automaticamente credenciais derivadas exclusivamente de termos de dicionário ou de listas de senhas previsíveis. No entanto, políticas excessivamente restritivas de filtragem por dicionário podem prejudicar a experiência do usuário e dificultar a escolha de senhas que atendam aos requisitos. Portanto, os profissionais de segurança devem equilibrar os requisitos de complexidade das senhas com considerações práticas de usabilidade.
Outra política essencial é eliminar as “contas Joe” — contas de usuário nas quais o nome de usuário e a senha são idênticos —, pois elas costumam ser os principais alvos de ferramentas automatizadas de ataque de dicionário. Os administradores de segurança devem, no mínimo, implementar controles que impeçam a criação de contas Joe e aplicar diretrizes de complexidade de senhas para reduzir as chances de sucesso das tentativas de adivinhação de credenciais.
