Types de cracking de mots de passe high-tech - mannequins

Le cracking par mot de passe est un type de piratage mot de passe en déterminant toutes les combinaisons de mots de passe possibles. Les principales méthodes de piratage de mot de passe sont les attaques par dictionnaire, les attaques par force brute et les attaques arc-en-ciel.

Attaques de dictionnaire

Les attaques de dictionnaire comparent rapidement un ensemble de mots de type dictionnaire connus - y compris de nombreux mots de passe courants - à une base de données de mots de passe. Cette base de données est un fichier texte contenant des centaines sinon des milliers de mots de dictionnaire généralement répertoriés par ordre alphabétique.

Supposons par exemple que vous ayez un fichier de dictionnaire que vous avez téléchargé depuis l'un des sites de la liste suivante. Le fichier de dictionnaire anglais sur le site Purdue contient un mot par ligne commençant par 10ème, 1er … jusqu'à zygote.

De nombreux utilitaires de protection contre les mots de passe peuvent utiliser un dictionnaire distinct que vous créez ou téléchargez sur Internet. Voici quelques sites populaires qui hébergent des fichiers de dictionnaire et d'autres listes de mots divers:

• ftp: // ftp. cerias. purdue. edu / pub / dict

• www. outpost9. com / fichiers / WordLists. html

N'oubliez pas d'utiliser d'autres fichiers de langue, tels que l'espagnol et le klingon.

Les attaques de dictionnaire ne sont aussi bonnes que les fichiers de dictionnaire que vous fournissez à votre programme de craquage de mots de passe. Vous pouvez facilement passer des jours, voire des semaines, en essayant de casser les mots de passe avec une attaque par dictionnaire. Si vous ne définissez pas une limite de temps ou une attente similaire, vous trouverez probablement que le craquage du dictionnaire est souvent un simple exercice de futilité. La plupart des attaques de dictionnaire sont bonnes pour les mots de passe faibles (faciles à deviner).

Cependant, certains dictionnaires spéciaux ont des fautes d'orthographe courantes ou d'autres orthographes de mots, telles que pa $$ w0rd (mot de passe) et 5ecur1ty (sécurité). De plus, les dictionnaires spéciaux peuvent contenir des mots non-anglais et des mots thématiques issus des religions, de la politique ou Star Trek .

Attaques par force brute

Les attaques par force brute peuvent craquer pratiquement n'importe quel mot de passe, avec suffisamment de temps. Les attaques de force brute essaient toutes les combinaisons de chiffres, de lettres et de caractères spéciaux jusqu'à ce que le mot de passe soit découvert. De nombreux utilitaires de cracking de mot de passe vous permettent de spécifier des critères de test tels que les jeux de caractères, la longueur du mot de passe à essayer et les caractères connus (pour une attaque par "masque").

Un test de force brute peut prendre un certain temps, en fonction du nombre de comptes, de la complexité des mots de passe associés et de la vitesse de l'ordinateur qui exécute le logiciel de craquage.Aussi puissant que puisse être le test de force brute, il peut littéralement mettre une éternité à épuiser toutes les combinaisons possibles de mots de passe, ce qui n'est pas pratique dans toutes les situations.

Les pirates informatiques intelligents tentent de se connecter lentement ou à des moments aléatoires. Les tentatives échouées ne sont donc pas aussi évidentes dans les fichiers journaux du système. Certains utilisateurs malveillants peuvent même appeler le service d'assistance informatique pour tenter une réinitialisation du compte qu'ils viennent de verrouiller. Cette technique d'ingénierie sociale pourrait être un problème majeur, surtout si l'organisation n'a pas de mécanismes en place pour vérifier que les utilisateurs sont ce qu'ils disent être.

Un mot de passe expirant peut-il empêcher l'attaque d'un pirate et rendre inutile le logiciel de piratage de mot de passe? Oui. Après le changement du mot de passe, le cracking doit recommencer si le hacker veut tester toutes les combinaisons possibles.

C'est une des raisons pour lesquelles c'est une bonne idée de changer les mots de passe périodiquement. Le raccourcissement de l'intervalle de modification peut réduire le risque de craquage des mots de passe, mais peut aussi être politiquement défavorable dans votre entreprise. Vous devez trouver un équilibre entre sécurité et commodité / convivialité. Reportez-vous au document sur la gestion des mots de passe du département de la Défense des États-Unis pour plus d'informations sur ce sujet.

Les tentatives de fissuration par mot de passe exhaustives ne sont généralement pas nécessaires. La plupart des mots de passe sont assez faibles. Même les exigences de mot de passe minimales, telles que la longueur du mot de passe, peuvent vous aider dans vos tests. Vous pourriez être en mesure de découvrir des informations de politique de sécurité en utilisant d'autres outils ou via votre navigateur Web. Si vous trouvez ces informations de politique de mot de passe, vous pouvez configurer vos programmes de fissuration avec des paramètres de fissuration plus bien définis, qui génèrent souvent des résultats plus rapides.

Attaques arc-en-ciel

Une attaque par mot de passe arc-en-ciel utilise le craquage arc-en-ciel pour cracker les hachages de mot de passe pour LM, NTLM, Cisco PIX et MD5 beaucoup plus rapidement et avec un taux de réussite extrêmement élevé. La vitesse de piratage de mot de passe est augmentée dans une attaque arc-en-ciel parce que les hachages sont précalculés et ne doivent donc pas être générés individuellement à la volée comme ils le sont avec les méthodes de craquage de dictionnaire et de force brute.

Contrairement aux attaques par dictionnaire et par force brute, les attaques arc-en-ciel ne peuvent pas être utilisées pour pirater des hashs de longueur illimitée. La longueur maximale actuelle pour les hachages Microsoft LM est de 14 caractères et le maximum est de 16 caractères (dictionnaire) pour Windows Vista et 7 hachages. Les tables arc-en-ciel sont disponibles à l'achat et au téléchargement sur le site ophcrack.

Il y a une limite de longueur car il faut temps significatif pour générer ces tables arc-en-ciel. Avec suffisamment de temps, un nombre suffisant de tables sera créé. Bien sûr, d'ici là, les ordinateurs et les applications ont probablement différents mécanismes d'authentification et normes de hachage - y compris un nouvel ensemble de vulnérabilités - à gérer. La sécurité d'emploi pour le piratage éthique ne cesse de croître.

Si vous avez un bon ensemble de tables arc-en-ciel, comme celles offertes par le site ophcrack et Project RainbowCrack, vous pouvez casser les mots de passe en quelques secondes, minutes ou heures par rapport aux jours, semaines et même années -force méthodes.