パスワードクラック
単純な総当たり攻撃であっても成功することはしばしばだが、人間がどのようにパスワードを選ぶ傾向を持つかという知見を悪用した「スマートな」総当たり攻撃は、さらに大きな脅威となる。アメリカ国立標準技術研究所 SP 800-63 (2) の報告ではパスワードの品質や推奨事項などが議論されているが、例えばユーザが自分で 8 文字のパスワードを考えた場合、それがどのように選ばれるかにより、エントロピー(ランダムさの程度)は 18 - 30 ビットの範囲に収まる。24 ビットのランダムさというと、無作為に選んだ 3 バイト、あるいは無作為に選んだ 5 文字の大文字アルファベット、あるいは 4000 語の中から無作為に選んだ 2 単語に相当する。このエントロピーは、暗号化キーとして安全だと通常考えられるレベルより遥かに低い。
オフライン攻撃を考えると、この脆弱さは「あまりに脆弱すぎる」という話であり、また部分的には攻撃者の技量とリソース(例えば時間とマシンパワー)に負うものである。後者はコンピュータの性能が上がるにつれ大きくなるだろう。広く使われているハッシュ法は、さらに解析を早めるため、それに特化したハードウェアとして実装することも可能である。多数のコンピュータを並列に連結し、広大な探索空間の一部を各々が受け持つことも可能である。夜間や週末で使われていない事務所のコンピュータも、この目的に使うことができる。
類推攻撃・辞書攻撃・総当り攻撃は、はっきり区別できるものではない。パスワード候補のリストを順に試してゆくという点で、それらは似通っている。そのリストは明確に順序づけられているかもしれないし、何らかのルールに従って集められているかもしれない。それはターゲットの情報を一まとめにしたものかもしれないし、言語学的な観点から作られたのかもしれない。上記の 3 つのアプローチそれぞれ、特に辞書攻撃は、残る 2 つの攻撃方法と攻撃範囲を含めたものとして使われることが多い。
例えば末尾に数字をつけたり(特に "1" が多い)、あるいは文字の順番を入れ替えたりなど。
こんにち、ターゲットの個人情報はオンライン上の様々な情報源から取得できる。攻撃者がターゲットと面識がある場合も同様に情報を得られるだろう。例えば 1978 年に Yale Law School を卒業したことから "YaleLaw78" というパスワードを使っていた場合、悪意を持った取引相手がパスワードを類推してしまうことがありうる。
類推攻撃は特に、利用者自身がパスワードの初期化を行なえるシステムでは効果的である。例えば 2008年9月に、アラスカ州知事でアメリカ副大統領候補になったサラ・ペイリンの Yahoo! メールが、何者かによって不正アクセスされる事件があった。犯人は3つあった認証用の質問のうち、彼女の郵便番号と誕生日を調べ上げ、さらに彼女が夫と出会った場所を推測できたのである。