무차별 대입 — 문을 두드려 여는 공격

2강에서 우리 서버의 22번(SSH) 포트가 인터넷에 열려 있는 걸 봤습니다. 방화벽(3강)으로 필요한 포트만 남겼지만, SSH 는 관리에 필요하니 열어 뒀죠. 그럼 공격자는 그 열린 문에 무엇을 할까요? 비밀번호를 맞힐 때까지 두드립니다.

이번 강의는 공격자 입장이 되어 봅니다. 셀 관점을 🥷 공격자로 두세요.

공격자의 사전에는 무엇이 들어 있나

공격자는 아무 문자열이나 무작위로 넣지 않습니다. 실제 유출 사고에서 나온 가장 흔한 비밀번호 목록부터 씁니다. rockyou.txt 가 유명하죠 — 수천만 개가 들어 있고, 사람들이 실제로 쓰는 비번의 상당수가 여기 있습니다.

직접 뚫어 봅시다

우리 서버의 deploy 계정은 앞 관리자가 P@ssw0rd 로 만들어 뒀습니다. 공격자가 이걸 얼마 만에 알아내는지 봅시다.

이제 방어해 봅시다. deploy 의 비밀번호를 길고 무작위한 값으로 바꾼 뒤, 공격자가 다시 사전을 돌리면 어떻게 되는지 봅니다.