Флагманские видеокарты Nvidia тратят на взлом сложных паролей меньше часа

Потребительские видеокарты создаются главным образом для игр, но умеют они и многое другое. Кто-то занимается на них майнингом, кто-то распределёнными вычислениями для помощи науки, кто-то редактированием видео или графическим дизайном. Другие используют видеокарты не с такими невинными целями, а именно взламывают пароли. Работающая в сфере кибербезопасности компания Hive Systems рассказала, какие пароли за какое время способны взломать разные видеокарты Nvidia.

Если другие исследования подобного рода затрагивают использование искусственного интеллекта, в данном случае используются хэши. Это означает, что пароль превращается в неизвестное сочетание букв и цифр. В таком виде они хранятся на серверах, поэтому кража хэша не означает, что злоумышленники узнают ваш пароль. Для этого хакерам нужно подобрать сочетание символов, хэшировать их и сравнить с украденными паролями, чтобы найти совпадение.

Помогают в этом видеокарты вроде Nvidia GeForce RTX 4090 или A100. В эксперименте использовалось программное обеспечение Hashcat. Применялся сложный алгоритм хэширования bcrypt и более распространённый MD5.

Для начала использовался пароль из восьми символов с алгоритмом MD5. Даже сочетание строчных и прописных букв, цифр и символов не останавливает RTX 4090, которая взламывает такие пароли в течение часа. Восемь видеокарт А100 способны справиться с этим же меньше чем за 20 минут. Если программы вроде ChatGPT работают на основе тысяч ускорителей A100, они смогут взламывать пароли за секунды.

bcrypt намного увеличивает время хеширования. Если RTX 4090 взломала хэш MD5 за 59 минут, то на bcrypt потребовалось бы 99 лет для этого же пароля. Восемь ускорителей А100 трудились бы 17 лет. ChatGPT управился бы быстрее, но аренда подобного количества видеокарт мало кому по карману.

Вряд ли стоит волноваться, поскольку должно совпасть сразу несколько условий, чтобы хакеры узнали ваш пароль. Для начала они должны получить доступ к хэшам в рамках утечки данных, как в случае с LastPass. Также у пользователей должна отсутствовать двухфакторная аутентификация.