Avec un mot de passe sécurisé, le hacker ne passe pas !

Mais si ce procédé est infaillible, quelle est l’utilité d’avoir un mot de passe ? 🤨

Le secret réside dans le nombre de mots de passe à tester. Plus celui-ci est grand, plus le temps que le pirate va prendre pour trouver ton mot de passe va augmenter.  C’est pourquoi un attaquant va souvent laisser de côté les caractères exotiques (ÿ, ù, µ, etc.) lors de son offensive. En effet, utiliser seulement les lettres les plus courantes dans un mot de passe permet de diminuer drastiquement le nombre de mots de passe à tester tout en restant efficace.

Le nombre de mots de passe possibles de longueur L pour un alphabet de taille N est illustré par la formule suivante : Nombre de mots de passe = N^L.

Par exemple, le nombre de mots de passe de deux caractères en prenant en compte seulement les lettres minuscules de l’alphabet latin ({a, b, c, …, x, y, z} = 26 caractères) est de 26² = 676.

Si on veut aussi considérer les mots de passe de 3 caractères, il faut rajouter à ce chiffre le nombre de mots de passe correspondant :

Nombre de mots de passe de 2 ou 3 caractères = 676 + 26³ = 676 + 17576 = 18252.

Et cela continue en ajoutant la valeur pour 4 caractères (26⁴ = 456 976), 5 caractères (26⁵ = 11 881 376) etc.

On voit qu’on arrive très vite à des chiffres énormes – dépassant les 8 milliards si l’on décide de considérer les mots de passe jusqu’à 7 caractères de long en utilisant seulement les 26 lettres minuscules de notre alphabet. Imaginons que l’on utilise aussi les lettres majuscules, ainsi que tous les chiffres, on obtient plus de 3 billions (!) de mots de passe à tester.

Pour pallier ce phénomène, l’attaquant peut décider d’utiliser des listes de mots afin d’accélérer le processus. Par exemple, il peut tester tous les mots du dictionnaire français (à peu près 100 000) ou tous les mots de passe d’une certaine forme, par exemple une majuscule suivie de minuscules puis de chiffres. Ces procédés peuvent significativement accélérer le temps de décryptage selon le mot de passe.

C’est pourquoi il est important de choisir un mot de passe non seulement compliqué, mais aussi imprévisible. Ainsi, un attaquant ne pourra pas utiliser de technique accélératrice et devra tester toutes les combinaisons.

De nos jours, les sites internet sont conçus de manière suffisamment intelligente pour bloquer les tentatives de connexion répétées et peuvent imposer un temps d’attente avant de tenter un nouveau mot de passe. Cela rend pratiquement impossible l’attaque par force brute sur les sites en question, puisque cela peut limiter les tentatives à seulement quelques dizaines par heure. 

Chaque jour, des dizaines de sites internet se font pirater et des listes contenant des millions d’adresses électroniques accompagnées du hash de leur mot de passe se retrouvent dans la nature. C’est une mine d’or pour les pirates qui peuvent directement procéder à l’attaque par force brute des hash, sans avoir besoin d’accéder au site internet et contournant donc les protections mises en place, qui limitent le nombre de tentatives.

Attaquer un hash par force brute suit plus ou moins le même principe que lorsque l’on essayait de se connecter directement sur le site :

On génère tous les mots de passe possibles, puis on les hash et on les compare aux hash trouvés dans les listes ayant fuité. Si on retrouve le même hash pour un mot de passe, on a de très grandes chances d’avoir trouvé le mot de passe de l’utilisateur, et pour peu qu’il l’utilise sur d’autres sites internet, on a maintenant accès à son compte sur tous les sites où il est inscrit.

Cela implique qu’en plus d’avoir un mot de passe sécurisé, il faut avoir un mot de passe différent pour chaque compte, au cas où un des hash fuiterait et se ferait décrypter.  A noter que certains sites (ils sont rares de nos jours) stockent encore les mots de passe des utilisateurs en clair (sans les crypter) … Une raison de plus pour diversifier les mots de passe qui protègent tes comptes.