暴力破解 Brute-force Attack

暴力破解（Brute-force Attack）是通过程序反复尝试可能的密码、密钥或字符组合，直到找到正确结果的一种密码分析与网络攻击方法。

概述

暴力破解的基本思路是穷举搜索。例如，一个仅由数字组成的短密码，其可能组合数量有限，攻击程序可以依次测试；密码越长、字符种类越多，完整搜索所需的计算量通常越大。

攻击既可能在线进行，例如不断尝试登录网站或服务器，也可能离线进行，例如攻击者取得密码哈希后，在本地设备上高速计算和比对。离线破解不受登录限速影响，因此安全系统通常会使用随机盐值和计算成本较高的密码哈希算法。

主要特点

• 覆盖范围广：在时间和算力足够的假设下，可以搜索有限空间内的全部候选组合。
• 容易自动化：攻击者可利用脚本、并行计算或专用硬件提高尝试速度。
• 成本差异明显：短密码、常见密码和重复使用的密码更容易被破解，长且随机的密码成本更高。
• 存在多种变体：字典攻击会优先尝试常见词语和泄露密码；混合攻击则结合字典、数字、大小写及常用替换规则。

防护方法

用户应使用足够长且不重复的密码，并借助密码管理器生成和保存随机密码。网站与系统可采用登录限速、失败锁定、验证码、异常行为检测和多因素认证，同时使用带盐的安全密码哈希方案保存凭据。单纯增加密码复杂度并不能替代完整的分层防护。

常见问题

问：暴力破解一定能成功吗？答：不一定。理论上有限组合可以被穷举，但实际成功率受到密码强度、计算资源、防护机制和可用时间限制。

问：字典攻击等同于暴力破解吗？答：两者相关但不完全相同。纯暴力破解遍历组合，字典攻击则优先测试更可能被使用的密码，以缩短时间。

问：更换复杂密码就足够安全吗？答：还不够。应避免密码复用，并同时启用多因素认证，降低密码泄露或被猜中后的风险。