ARK. 1Słownik pojęćAtaki i socjotechnika
atak siłowy (brute-force)
Systematyczne sprawdzanie kolejnych kombinacji hasła, klucza lub kodu aż do trafienia poprawnej wartości.
TAB. 1Nazwaobie formy
| Po angielsku | brute force attack |
|---|---|
| Po polsku | atak siłowy (brute-force) |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | atak siłowy · atak z pełnym przeglądem kombinacji |
| Odmiana | ten atak siłowy, tego ataku siłowego, ataki siłowe; „brute-force” nieodmienne jako przydawka: atak brute-force, ataku typu brute-force. Pisownia przyjęta dla serwisu: „brute-force” z łącznikiem (tak pisze cert.pl w obu zweryfikowanych cytatach i tak brzmi tag na niebezpiecznik.pl); wariant rozłączny „brute force” traktuj jako poboczny. |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | wyłącznie brute-force / brute force; własny tag „brute-force” na niebezpiecznik.pl; polska nazwa nie występuje |
|---|---|
| Urząd i ustawa | atak siłowy oraz układ kanoniczny „ataki siłowe (brute-force)” — cert.pl; ale i tam dominuje „ataki typu brute-force” |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL (EN) | „Umożliwia to atakującym przeprowadzenie ataków siłowych (brute-force) na poświadczenia” | cert.pl |
| PL | „Podatność pozwala na przechwycenie skrótu NTLMv2 i późniejszą próbę odzyskania hasła domenowego poprzez atak siłowy.” | cert.pl |
| EN | „…umożliwia skuteczne ataki typu brute-force na konta użytkowników.” | cert.pl |
| EN | „Oglądasz wszystkie wpisy otagowane jako brute-force” | niebezpiecznik.pl |
| EN | „Dashlane potwierdza atak brute force…” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| atak bocznym kanałem | side-channel attack | Atak, który wydobywa tajne dane (np. klucze kryptograficzne) nie przez błąd w algorytmie, lecz z ubocznych skutków działania systemu: czasu wykonania, poboru prądu, promieniowania, dźwięku, stanu pamięci podręcznej procesora (Spectre, Meltdown). Dla stron WWW praktyczny przypadek to timing attack — porównywanie haseł czy tokenów w czasie zależnym od danych, stąd w WordPressie hash_equals() zamiast ==. |
| atak homograficzny | homograph attack | Podszycie się pod znaną domenę lub nazwę przy użyciu znaków łudząco podobnych do liter oryginału — najczęściej liter z innych alfabetów (cyrylica, greka) w domenach IDN, ale też podobieństw wewnątrz alfabetu łacińskiego (rn zamiast m, l/I/1, O/0). |
| atak na łańcuch dostaw | supply chain attack | Atak na organizację przeprowadzony przez jej dostawcę — podmieniony komponent, zatruta aktualizacja oprogramowania, zainfekowana biblioteka z publicznego repozytorium pakietów albo konto partnera mającego dostęp do jej systemów. |
| baiting | baiting | Atak wykorzystujący ciekawość lub chęć zysku ofiary — podrzucony nośnik USB, darmowy plik czy obietnica nagrody — by skłoniła ją do samodzielnego uruchomienia złośliwego kodu. |
| BEC | business email compromise (BEC) | Oszustwo finansowe polegające na przejęciu firmowego konta e-mail lub podszyciu się pod nie, by skłonić pracownika do przelewu albo do zmiany numeru rachunku kontrahenta. Rozwinięcie skrótu: business email compromise. |
| bulletproof hosting | bulletproof hosting | Hosting świadczony przestępcom, który ignoruje zgłoszenia nadużyć i nakazy usunięcia treści; stoją na nim panele phishingowe, serwery C2 i strony z malware. Dla właściciela strony to źródło ataków i miejsce, gdzie trafiają dane wykradzione z przejętych witryn — zgłoszenia abuse do takiego dostawcy zwykle nic nie dają. |
TAB. 5