Le nom d'utilisateur et le mot de passe font partie des informations d'identification d'accès pour plusieurs applications, services et ressources de toutes sortes. La simple définition de mots de passe faibles peut même entraîner des pertes financières. Malheureusement, même si nous appliquons toutes les meilleures pratiques des utilisateurs, les cybercriminels continuent d'étendre et d'améliorer leurs connaissances pour les violer d'une manière ou d'une autre. Attaques par force brute sont l'une des plus faciles à réaliser et en même temps l'une des plus efficaces. Bien qu'il ne soit pas tout à fait possible d'éviter ces types d'attaques, nous vous recommandons de consulter ce guide qui expliquera en quoi elles consistent. De plus, nous allons recommander les mesures que tout le support informatique devrait appliquer pour une gestion plus sécurisée des mots de passe des utilisateurs d'un réseau d'entreprise.
Qu'est-ce qu'une attaque par force brute?
Il s'agit d'une attaque dans laquelle le cybercriminel fait plusieurs tentatives pour devinez le nom d'utilisateur et le mot de passe d'une application ou d'un service. Vous pourriez penser que c'est une activité extrêmement laborieuse, elle nécessite de nombreuses ressources et de nombreuses heures. Dans la vraie vie, des outils automatiques sont utilisés pour effectuer ce travail, utilisant des scripts automatiques et des ordinateurs puissants avec un très bon Processeur mais aussi GPU pour accélérer ce processus autant que possible et pour pouvoir tester toutes les combinaisons possibles d'informations d'identification dans les plus brefs délais. .
Nous mentionnons le fait que de nombreuses ressources sont nécessaires. Nous parlons de ressources informatiques. Il faudrait beaucoup de temps à un ordinateur personnel de base pour déchiffrer un mot de passe si l'un des outils qui automatisent les attaques par force brute était utilisé, car ils ont des millions de combinaisons d'informations d'identification. Les ordinateurs doivent plutôt être équipés des meilleurs processeurs, RAM, ainsi que la puissance du GPU.
Ces types d'attaques ciblent toutes sortes d'applications Web, de sites Web et de leurs services associés. D'un autre côté, les API et les services qui utilisent le protocole SSH sont également vulnérables. Cependant, c'est l'une des attaques les plus essentielles. Il sert de pont pour beaucoup d'autres. Une fois les combinaisons d'informations d'identification appariées, plusieurs types de données personnelles sont accessibles. Bien entendu, les plus attractifs ont trait à la banque, à la finance et au commerce. De même, tout type de données qui peut vous identifier peut être très utile pour un attaquant pour obtenir un certain type de revenus, en particulier des revenus financiers.
Attaque par force brute et phishing
Les utilisateurs individuels et professionnels subissent les ravages causés par le phishing. N'oubliez pas que cela consiste en l'arrivée de email messages avec un contenu malveillant. Dans de nombreux cas, des messages arrivent qui ont des expéditeurs qui semblent être licites et que même le contenu du message semble l'être. Cependant, un lien est cliqué et à partir de là, les problèmes commencent. D'autre part, vous pouvez rencontrer des messages qui indiquent clairement qu'il s'agit de tentatives de phishing, soit en raison des adresses e-mail supposées des expéditeurs ou des fautes d'orthographe du texte des messages.
Malheureusement, beaucoup de gens ne font pas attention aux détails comme ceux dont nous avons discuté et finissent par être des victimes. Ils perdent des données allant de l'accès au courrier électronique aux coordonnées bancaires. Le grand succès du phishing a beaucoup à voir avec le fait que les informations d'identification de l'utilisateur et du mot de passe sont extrêmement faibles. Sans surprise, de nos jours, il existe encore des mots de passe comme «123456», «tequieromucho» ou «qwertyuiop». L'une des raisons pour lesquelles ce type de situation se produit est que, dans de nombreux cas, les utilisateurs ne veulent pas penser à un mot de passe fort ou pensent simplement qu'ils ne seront jamais victimes de phishing ou d'attaques similaires.
Types d'attaque par force brute
Ci-dessous, nous citerons les types d'attaques par force brute les plus courants. Du plus simple à réaliser au plus complexe. La méthode la plus connue est bien sûr la méthode traditionnelle. La même chose est qu'un cybercriminel essaie manuellement le plus grand nombre de combinaisons de nom d'utilisateur et de mot de passe. Le nombre de combinaisons que vous pouvez essayer dépend de facteurs tels que l'origine des utilisateurs que vous avez ciblés, les données personnelles que vous gérez à leur sujet et vous pouvez également utiliser des programmes de type dictionnaire. Ces derniers facilitent la génération de combinaisons, ce qui fait gagner du temps à penser à de telles combinaisons.
Attaque inversée
Un type d'attaque qui a tendance à être très efficace, bien qu'il ne nécessite pas beaucoup d'efforts, est le attaque inversée . Il consiste à tester quelques combinaisons de mots de passe sur de grands groupes d'utilisateurs. Pourquoi opteriez-vous pour cette variante de l'attaque par force brute? D'après ce que nous avons discuté ci-dessus, de nombreux utilisateurs ont encore des mots de passe très faciles à deviner. En outre, les utilisateurs qui reçoivent ou ont accès au nom d'utilisateur et au mot de passe par défaut (par exemple, les routeurs Wi-Fi) s'habituent à ne pas les modifier. Ce gain de temps certain qui vient de ne pas changer les mots de passe, en particulier, rend les appareils vulnérables aux attaques.
Une autre situation qui mérite d'être commentée est celle des personnes qui utilisent des caméras de sécurité CCTV. Ils ont une interface web et / ou mobile avec un nom d'utilisateur et un mot de passe spécifiques. Bien sûr, il est conseillé de changer à la fois le nom d'utilisateur et le mot de passe. Cependant, de nombreuses personnes ne le font pas et exposent considérablement les personnes malveillantes à l'accès et au contrôle de leurs caméras. Shodan est un portail Web bien connu qui se caractérise par sa facilité à localiser pratiquement n'importe quel ordinateur doté d'une adresse IP publique, c'est-à-dire traçable sur Internet. Précisément, l'une des recherches les plus populaires consiste en des interfaces de gestion de caméras de sécurité, en particulier celles qui conservent leurs identifiants d'accès par défaut. Bien sûr, c'est une source inestimable pour tout cybercriminel qui veut violer ces systèmes de sécurité. En outre, de nombreuses entreprises et particuliers utilisent des outils comme celui-ci à des fins professionnelles et éducatives. Cela peut même aider à déterminer des stratégies pour mieux protéger tout appareil détectable sur le réseau de réseaux.
Table arc-en-ciel
Il consiste à utiliser un dictionnaire au format texte brut et pré-informatisé. De plus, ils utilisent également les valeurs de hachage de chacun des mots de passe précalculés. L'attaquant essaie donc d'inverser le hachage de chacun d'eux. Bien sûr, cela est beaucoup plus facile à faire avec des programmes spéciaux et avec des ressources informatiques suffisantes.
Attaques par dictionnaire
Ce n'est vraiment pas une attaque par force brute qui teste toutes les combinaisons possibles, mais les dictionnaires sont l'un des principaux outils pour tout cybercriminel pour exécuter des attaques de craquage de mot de passe. En quoi cela consiste-t-il? Ce sont des ensembles de phrases générées à partir de certaines règles. Par exemple, que les mots de passe potentiels sont des séries numériques, alphanumériques ou qui incluent différents caractères spéciaux lors de la génération de chaque mot de passe. Wifislax est un outil de piratage de réseau Wi-Fi populaire, où vous pouvez trouver une suite complète d'outils et acquérir des connaissances complètes à ce sujet. Parmi les outils disponibles figurent des générateurs de dictionnaires. Nous réitérons le fait que ces programmes peuvent consommer de nombreuses ressources informatiques.
Comment protéger efficacement vos comptes
En plus des conseils typiques pour choisir des mots de passe forts, qui ne signifient pas exactement quelque chose ou ne donnent aucun indice qui vous identifie et identifie les autres, il est bon de citer les mesures à suivre par toutes les personnes responsables de la gestion des utilisateurs du réseau. Une bonne pratique intéressante consiste à ne jamais stocker de mots de passe dans des bases de données, uniquement le hachage de mot de passe et, si possible, à utiliser un hachage spécifique au mot de passe.
D'un autre côté, les politiques de création de mots de passe ne doivent pas être négligées. Il est non seulement important de sensibiliser à la utilisation de mots de passe forts, mais les politiques elles-mêmes insistent avec des messages pour savoir si le mot de passe est STRONG assez. En outre, ils doivent indiquer s'ils respectent toutes les règles de création de tels mots de passe. Tant que l'utilisateur souhaite se connecter à son environnement de travail au sein de l'entreprise ou à distance, il doit avoir une limite sur le nombre de tentatives pendant un certain temps et, par exemple, après trois tentatives, il est déjà bloqué et réinitialisé.
Si nécessaire et selon l'application, le service ou la ressource dans laquelle l'utilisateur se connecte, il est recommandé d'utiliser les méthodes d'authentification CAPTCHA et Multi-Factor. Ceci est extrêmement utile pour garantir que l'utilisateur légitime est celui qui se connecte.
