Après le piratage : comment se protéger des attaques par force brute
29/8/2017
Traduction : traduction automatique
La Suisse a été victime d'une attaque par force brute. La Confédération a réagi et mis en ligne un outil qui vous permet de savoir si votre compte a été touché. Comme l'attaque vise les mots de passe, nous allons nous pencher sur les mots de passe et les stratégies.
Je profite de l'occasion pour vous expliquer le concept de l'attaque par force brute et, à la fin, vous donner des conseils sur la manière dont vous pouvez aider à ce que de telles attaques soient le plus possible inefficaces.
Qu'est-ce qu'une attaque par force brute ?
Les attaques par force brute sont des attaques qui font essentiellement - et de manière un peu simplifiée - ce qui suit :
- Accède au formulaire de connexion du site
- Entre une adresse e-mail comme identifiant
- Teste mot de passe sur mot de passe, en suivant un dictionnaire
- Le serveur répond soit par "mot de passe incorrect", soit par "connexion réussie"
- Si la réponse est "mot de passe incorrect", le pirate essaie le mot suivant dans le dictionnaire
Mise à jour : L'utilisateur YouShook a trouvé ce qui me gênait. J'ai adapté le RegEx. Merci, YouShook.
[a-zA-Z0-9\w]{6,8}
Ça devrait coller. Si ce n'est pas le cas, merci de me laisser un commentaire avec le RegEx correct. Plus je regarde cette partie, moins [\w] semble être correct.
Traduit, le RegEx est le suivant :
- [a-zA-Z] : Tout l'alphabet, aussi bien les majuscules que les minuscules
- [0-9] : Tous les chiffres
- [\w] : Tous les signes de ponctuation
- {6,8} : Entre six et huit caractères, car cela n'a pas de sens de tester des mots de passe plus courts
Le RegEx ne teste pas seulement des chaînes de caractères spéciaux, mais aussi des mots. Donc si votre mot de passe est "digitec1", c'est inclus dans le RegEx, car le RegEx ne fait pas de distinction entre les mots humains et les chaînes de caractères aléatoires.
La plupart du temps, un bot de force brute procède selon une liste d'adresses e-mail achetées en ligne ou d'autres noms de connexion et essaie son dictionnaire par compte.
- hans.muster@example.org/aaaaaa
- hans.muster@example.org/aaaaaaa
- hans.muster@example.org/aaaaaaaa
- ...
Selon la puissance de calcul du bot et la latence dans la cible, une telle attaque peut se terminer en quelques minutes ou durer plusieurs heures.
Après avoir lu le rapport de Melani, je soupçonne que la troisième variante a été utilisée lors de l'attaque. Ce n'est pas explicitement écrit, mais en lisant entre les lignes, cela semble être le cas. Plus important encore, leur outil de contrôle indique que Melani est en possession de la liste utilisée par les attaquants
.
Que puis-je faire?
Oui, mais mon mot de passe est déjà "eCSD,827c" et ce n'est pas sûr?!
Les mots de passe sont un thème douloureux dont on n'aura probablement pas fini de parler de sitôt. Vous et moi connaissons des politiques de mot de passe comme celles qui suivent.
- Au moins huit caractères
- Au moins un chiffre, le 1 étant déconseillé
- Au moins un caractère spécial
En RegEx, cela ressemble d'ailleurs à ceci.
[a-zA-Z0-9\w]{8,}
Il s'agit de ce que l'on appelle le mot de passe xkcd, du nom d'un numéro du webcomic xkcd.
La théorie derrière le mot de passe est simple :
- Prenez trois ou quatre mots lisibles par l'homme et enchaînez-les
- Prenez un chiffre comme séparateur ou un caractère spécial
- Ajoute quelque chose à la fin, soit un séparateur, soit un chiffre
A la fin, vous avez un mot de passe du type "chatperduLondres5". Assez long, vous l'avez déjà mémorisé et le seul élément abstrait est le chiffre à la fin. Et un 5, c'est facile à retenir. Le mot de passe est long de 23 caractères, donc une attaque commençant par huit caractères passera tôt ou tard devant le chat perplexe, mais cela durera très, très longtemps.
Mais cela ne résout toujours pas le problème de "plusieurs sites, un seul mot de passe".
"Je ne veux pas avoir à me souvenir d'une centaine de mots de passe !"
Avec les deux gestionnaires, il est possible d'attribuer et de stocker des mots de passe sans que vous ne voyiez jamais le mot de passe. Je trouve cela un peu effrayant, mais cela fonctionne bien.
Si vous voulez quand même utiliser le même mot de passe partout, Melani recommande les mesures suivantes :
- Changer le mot de passe de tous les comptes en ligne liés à l'adresse électronique concernée (compte de messagerie, boutiques en ligne, e-banking, médias sociaux, etc.).
Utilisez un mot de passe distinct pour chaque service Internet/portail en ligne.
Voilà, c'est fait. Maintenant, c'est ton tour. Je t'ai beaucoup parlé ici d'une attaque par force brute et de la manière de s'en défendre. C'est à vous de faire en sorte que vous ne soyez pas touché.
Journaliste. Auteur. Hackers. Je suis un conteur d'histoires à la recherche de limites, de secrets et de tabous. Je documente le monde noir sur blanc. Non pas parce que je peux, mais parce que je ne peux pas m'en empêcher.
En coulisse
Des informations intéressantes sur le monde des produits, un aperçu des coulisses des fabricants et des portraits de personnalités intéressantes.
Tout afficher