Attaque par force brute

Définition

L'attaque par force brute est l'essai systématique de mots de passe jusqu'à trouver le bon, soit directement contre un service, soit hors ligne contre une base d'empreintes de mots de passe dérobée.

Comment ça fonctionne

Contre un service en ligne, cette attaque fonctionne mal : le compte se verrouille au bout de quelques échecs, et la lenteur du réseau limite le nombre d'essais. C'est pourquoi elle a largement cédé la place à des techniques qui n'ont pas besoin de deviner. Elle redevient en revanche redoutable dans un cas précis : quand une base a été dérobée. Le service n'y stocke pas les mots de passe mais leurs empreintes, calculs à sens unique dont on ne peut pas revenir en arrière — mais que l'on peut recalculer, en essayant des candidats jusqu'à obtenir la même empreinte. L'attaquant travaille alors sur sa propre machine, sans limite de tentatives et sans être observé. La robustesse du mot de passe redevient déterminante, et pour la première fois la longueur compte réellement : c'est elle, plus que les caractères spéciaux, qui rend le calcul hors de portée.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Notification du service annonçant une fuite de sa base d'identifiants
• Série d'échecs de connexion sur votre compte, signalée par le service
• Verrouillage temporaire de compte que vous n'avez pas provoqué
• Ancien mot de passe court, réutilisé, sur un service qui a connu une fuite

Comment vérifier

Contre un service, l'historique de connexion et les alertes de tentatives échouées suffisent. Contre une base dérobée, il n'y a rien à vérifier de votre côté : vous l'apprenez par la notification du service. La bonne question n'est donc pas « m'a-t-on attaqué » mais « ce mot de passe est-il encore utilisé quelque part », car c'est cela qui décide de la suite.

Que faire

Privilégiez la longueur : une phrase de plusieurs mots sans rapport entre eux vaut mieux qu'un mot court truffé de symboles, parce que c'est la longueur qui fait exploser le nombre de combinaisons à recalculer. Un gestionnaire de mots de passe permet d'avoir long et unique sans rien retenir, et la double authentification rend le mot de passe seul insuffisant.

Si c'est déjà arrivé

Après l'annonce d'une fuite chez un service, changez-y le mot de passe et partout où il était réutilisé, sans attendre de savoir s'il a été retrouvé — le délai entre la fuite et son exploitation est précisément la fenêtre dont vous disposez. Activez la double authentification et vérifiez les connexions récentes.

Questions fréquentes

Mon mot de passe fait douze caractères, est-ce suffisant ?

La longueur est le bon levier, et douze caractères d'une phrase réelle valent mieux que huit caractères tordus. Mais aucune longueur ne protège si le mot de passe est réutilisé : dans ce cas il n'a pas besoin d'être calculé, il est déjà connu par ailleurs.

Pourquoi entend-on parler de mots de passe « cassés » si les sites ne les stockent pas ?

Parce qu'ils stockent une empreinte, dont on ne revient pas en arrière mais que l'on peut retrouver en essayant des candidats jusqu'à obtenir la même valeur. Un mot de passe court ou courant est retrouvé ainsi ; un mot de passe long ne l'est pas, faute de temps.

Attaques liées

• Pulvérisation de mots de passe
• Bourrage d'identifiants
• Infostealer (logiciel voleur d'identifiants)

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement