TUTORIAL DICTIONARY ATTACK

TUTORIAL DICTIONARY ATTACK

Dalam lingkup kriptanalisis dan keamanan komputer, dictionary attack adalah teknik untuk mengalahkan cipher atau  mekanisme  autentikasi  dengan  cara  menentukan kunci dekripsi atau frase khusus dengan mencari kombinasi kata-kata yang paling memungkinkan yang terdapat pada sebuah kamus.

Dictionary attack menyerang target dengan mencoba semua kata-kata yang didefinisikan dalam sebuah exhaustive list secara berulang, yang disebut juga dengan istilah kamus atau dictionary. Berbeda dengan brute force attack  yang  menggunakan  semua  kemungkinan kombinasi karakter yang lingkup domainnya sangat luas, dictionary attack hanya mencoba kemungkinan- kemungkinan yang memiliki peluang keberhasilan tinggi (most likely to succeed), yang secara tipikal diturunkan dari kata-kata yang terdapat dalam kamus. Kamus disini didefinisikan sebagai sebuah “list of kata” yang tiap-tiap elemennya adalah kombinasi dari kata-kata yang terdapat dari  sebuah  kamus  (misalnya  kamus  bahasa  Inggris, kamus bahasa Indonesia, dan sebagainya). Dictionary attack seringkali berhasil karena kebanyakan orang menggunakan kata-kata yang lazim terdapat dalam percakapan sehari-hari dalam menentukan password sebuah akunnya (password e-mail, situs web, dan sebagainya). Pengembangan dari dictionary attack juga memungkinkan penyerang untuk menghemat tenaga dan waktu dengan melakukan komputasi “list of kata”, atau disebut juga list of hashes, dalam kata-kata dalam kamus dan menyimpan kata-kata tersebut dalam basis data (atau file teks) dengan menggunakan hash sebagai kuncinya. Mengkomputasikan program dictionary attack membutuhkan waktu yang cukup lama, terutama untuk mendefinisikan kata-kata yang akan menjadi “amunisi” dalam   menebak   password. Namun ketika program tersebut sudah siap untuk menyerang, serangan dapat dieksekusi dengan cepat dan efektif, tergantung dari komputasi atau modifikasi yang disusun oleh penyerang.

Sistem operasi seperti Windows menyimpan password ke dalam bentuk terenkripsi yang disebut hashes. Password tidak dapat diambil (retrieved) secara langsung dari hashes. Untuk melakukan recover password diperlukan komputasi terhadap hashes dengan possible password (kata-kata yang diduga sebagai password) dan memasukkannya ke dalam list of hashes. Dalam konteks keamanan sebuah password, misalnya password akun e-mail, akun administrator situs web, dan sebagainya, manusia seringkali memilih kata yang mudah diingat supaya tidak lupa dengan password akun yang telah dibuatnya, Sebagai contoh, banyak pengguna email yang menggunakan kata ‘admin‘, ‘administrator‘, ‘supervisor‘, ‘password‘, dan sebagainya sebagai password   default,   atau   menggunakan  password  yang berasal dari tanggal lahir, nama orang tua, lokasi rumah, dan lain-lain agar mudah diingat Hacker  mengumpulkan  kata-kata yang  sering digunakan  sebagai  password  ini  ke  dalam  sebuah  file yang dinamakan sebagai dictionary (kamus) dan file ini bisa didapatkan dengan mudah di Internet seperti di situs http://lastbit.com/dict.asp, atau kita juga bisa membuatnya sendiri atau menambahkannya dari file dictionary yang sudah ada.

Program cracking akan mengubah satu persatu kata-kata yang ada di dalam kamus berdasarkan fungsi hash yang digunakan ke dalam bentuk tabel hash. Hasil perubahan ini kemudian dicocokkan dengan hash pada file password yang didapatkan.

Apabila hasil hash ini cocok, artinya password sudah berhasil diketahui. Dengan teknik ini, hacker tidak perlu mencoba semua kombinasi karakter yang ada (seperti brute force attack) sehingga bisa menghemat banyak waktu dan tenaga.