総当たり攻撃は、単にパスワードをめちゃくちゃ長くするだけで防げますか？

Question

総当たり攻撃は、単にパスワードをめちゃくちゃ長くするだけで防げますか？
どのくらい長ければいいですか？

Answer 1

前提条件が分かりませんが、ウェブサイトへの総当たり攻撃であれば、パスワード8桁程度でもまず破られないと思います。tacsheavenさんが書かれているように、ランダムなパスワードをつけていることが前提…といっても、純粋な総当たり攻撃だと単純なパスワードでもあまり関係ありませんが…
他の回答者の方が攻撃側のCPU性能や台数に言及しておられますが、これらが問題になるのは「漏洩済みのパスワードのハッシュ値から元のパスワードを割り出す」ような場合です。このケースはオンラインでの攻撃ではないのでオフライン攻撃といいます。
方や、ウェブサイトへのオンライン攻撃の場合は、ログインの判定をするのはウェブサーバーなので、攻撃側の性能を高めても、ログイン試行の性能はほぼサーバー側の性能で律速されます。
したがって、サーバー側の性能がものすごく高い場合はパスワードの試行も速いわけですが、さすがにそのような性能の高いサイトはログイン試行への対策（アカウントロックやパスワード攻撃に対する監視等）もしている場合が多いでしょう。

Answer 2

いくらか前提があります

まず、100%の安全はありえません。さもなくば、全遮断しか方法はありえず、実用できないからです。

パスワードは長く無意味に近いほど有効ではあります。もっとも、適切な管理も面倒になるので、メモ書き貼り付けたりしたら本末転倒です。

前述の通り、完全な認証は不可能ですから、長さは被害時の損害に見合うように設計することも一案です。もちろん、リトライ制限とかと組み合わせるのもありです。

Answer 3

任意の英数字（アルファベット26×2＋数字10）を n 個連ねた文字列の組み合わせは、
62 の n 乗 になります。
n = 10 として、総数は 83京通りを越えます。

毎秒1億回試行できたとしても、100年は耐えられる可能性が高いです。
※もっとも、毎秒1億回も試行されたら、処理能力がパンクしてサーバーが落ちると思いますが

重要なのは、「完全にランダムに文字列を作る」です。文字列生成時に乱数に癖があると、その癖を見抜かれてしまう可能性はゼロではありません。
また、よくある「英単語＋英単語」や「英単語＋数字」では、辞書攻撃で絞り込まれて突破される可能性も高くなります。

ただし、これはあくまでも「攻撃側が一台である」場合の予測でしかありません。毎秒1億回処理できる装置を1000台連ねて動作させられたら、下手すると1ヶ月持たないわけですから。
※どこぞのスパコンはこういう用途にしか使えない演算性能の偏りがあったりしますが･･･

Answer 4

すみません、辞書攻撃とブルートフォースを混同していました。
以下は取り下げます。
～
ご存じとは思いますが、ブルートフォースは辞書データを基に実行されるものですので、
長ければ長いほど+意味のある語句と離れているほど効果があるという認識です。
（いくら長くても、例えばピカソの本名なんかは辞書データに乗ってそうです。
個人的な経験ですが、恋人の名前をパスワードに設定する人はそこそこいるので、
ジャック999だのメアリー000だの人名を集めた辞書データはありそうです）

確か米の大学（mit辺りだったはず）でブルートフォース用の辞書データが公開されているはずなので、
それを使って実際にアタックすると良いと思います。

Answer 5

https://cybersecurity-jp.com/cyber-terrorism/17426