暴力破解 Brute Force

暴力破解（Brute Force）是按照一定范围逐一尝试密码、密钥或其他候选值，直到找到正确结果的穷举方法。

概述

暴力破解的基本原理并不复杂：先确定可能的字符、长度或取值范围，再由程序自动生成并验证候选组合。例如，四位纯数字密码共有一万个组合，在允许无限尝试的情况下，最终可以遍历整个范围。

破解所需时间主要取决于搜索空间、验证速度和计算资源。密码越长、字符种类越多，组合数量通常增长得越快。针对在线账号的尝试会受到网络速度、验证码、登录限速和账号锁定影响；针对已获得密码哈希的离线破解，则可能借助高性能硬件并行计算。

防范暴力破解通常需要同时保护用户端和服务端。用户应使用较长、随机且不重复的密码，并启用多因素认证；服务端可采用登录限速、异常检测、验证码、临时锁定和安全告警。密码不应明文保存，而应使用专门的密码哈希算法，并配合随机盐值和合理的计算成本，降低离线破解效率。

问：暴力破解一定能成功吗？答：不一定。虽然有限空间可以被穷举，但实际所需时间可能超过可接受范围，系统也可能限制尝试次数。

问：暴力破解和字典攻击有什么区别？答：暴力破解系统地尝试组合，字典攻击则优先尝试常见密码、单词及其变体，通常速度更快但覆盖范围较小。

问：复杂密码是否足够安全？答：复杂度有帮助，但长度、随机性和唯一性通常更重要，同时还应配合多因素认证与服务端防护。