Cassage de mots de passe : que mettre dans votre boîte à outils ?

Magazine
Marque
MISC
Numéro
89
Mois de parution
janvier 2017
Domaines


Résumé

L'usage de mots de passe reste encore aujourd'hui le moyen le plus utilisé pour le contrôle d'accès en informatique. Le talon d'Achille des mots de passe est pourtant connu de longue date : il s'agit des utilisateurs, qui choisissent des mots de passe faciles à mémoriser. Malheureusement, un mot de passe facile à mémoriser est souvent synonyme de mot de passe facile à casser. Cet article a pour objectif de présenter aux administrateurs de systèmes les outils les plus efficaces aujourd'hui pour tester la solidité des mots de passe des utilisateurs de leurs systèmes.


1. Introduction

Au-delà des bonnes pratiques pour le choix des mots de passe, il est important de porter attention à la technique utilisée pour leur stockage.

Une première approche consiste, pour le vérificateur, à stocker intégralement les mots de passe dans un fichier ou une base de données. L'actualité montre toutefois que cette approche est peu recommandable : les bases de données qui ont fuité sur Internet ne sont pas rares et les cibles sont souvent de grosses entreprises. La maintenance du système peut aussi amener des personnes à avoir accès à la base de données. Lorsqu'un mot de passe est révélé, non seulement le système considéré est compromis, mais l'attaquant peut également tenter d'utiliser les noms d'utilisateur et les mots de passe sur d'autres systèmes largement utilisés, comme Gmail, Facebook, Twitter, etc.

Une procédure qui permet de prouver que l'utilisateur connaît le mot de passe sans avoir à le stocker de manière...

Cet article est réservé aux abonnés. Il vous reste 97% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite
Références

[1] Bruce Schneier, « Choosing Secure Passwords », https://www.schneier.com/blog/archives/2014/03/choosing_secure_1.html

[2] https://wiki.skullsecurity.org/Passwords

[3] https://digi.ninja/projects/cewl.php

[4] https://bitbucket.org/mattinfosec/wordhound

[5] Alain Schneider, « Rainbow Tables à espace probabiliste », SSTIC 2011, https://www.sstic.org/2011/presentation/rainbow_tables_probabilistes/

[6] Site officiel de John the Ripper : http://www.openwall.com/john/

[7] Site officiel de hashcat : http://hashcat.net/hashcat/

[8] Site officiel de cudaHashcat : http://hashcat.net/oclhashcat/

[9] Site officiel d'ophcrack : http://ophcrack.sourceforge.net/

[10] Site officiel de rcracki : https://www.freerainbowtables.com/



Articles qui pourraient vous intéresser...

Encore StopCovid, ou stop ?

Magazine
Marque
MISC
Numéro
112
Mois de parution
novembre 2020
Domaines
Résumé

Comment fonctionne StopCovid ? Quels sont les problèmes ? À quels risques s’expose-t-on ? Dans cet article, nous tentons d’éclaircir ces questions et de nourrir quelques réflexions sur l’usage du numérique.

Introduction aux TPM (Trusted Platform Modules)

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Les TPM (Trusted Platform Modules), brique de base du Trusted Computing, ont été imaginés il y a une vingtaine d’années, et pourtant ils ne sont pas très utilisés malgré leurs réelles qualités. Comment expliquer cela ? Cet article tend à fournir de premiers éléments de réponse.

Applications des TPM

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Les TPM, inventés il y a une vingtaine d’années, ont pénétré progressivement les plateformes numériques. Malgré ce long historique, les TPM ont encore aujourd’hui du mal à s’imposer. Pourtant, leurs applications potentielles sécuritaires sont très intéressantes : Authenticated Boot, Remote Attestation, Scellement, amélioration de la sécurité de la cryptographie logicielle. Cet article détaille ces principales applications et liste quelques produits connus qui utilisent les TPM.

Exploitations de collisions MD5

Magazine
Marque
MISC
HS n°
Numéro
21
Mois de parution
juillet 2020
Domaines
Résumé

Vous trouvez un système indexant des fichiers via MD5. À quel point est-il vulnérable ? Depuis l'attaque [1] en 2008 qui a généré un faux certificat SSL, la fonction d'empreinte MD5 est considérée comme inutilisable par les experts, car vulnérable en pratique. Cela dit, elle est encore souvent utilisée, et parfois à bon escient. Par exemple en juillet 2019, on apprenait que le système de censure de WeChat [2] était basé sur une liste noire indexée avec MD5. Cet article a pour but de clarifier les attaques par collisions contre MD5.