Password CrackerComment deviner un mot de passe

⚡ Résumé intelligent

Le craquage de mots de passe consiste à récupérer des identifiants en les devinant, en les comparant ou en les calculant systématiquement à partir de hachages stockés. Cet article explique le mode opératoire des attaquants, les outils qu'ils utilisent, les facteurs de sécurité qui leur permettent de résister et les contrôles que les administrateurs doivent mettre en œuvre.

🧭 FoundationPrincipe al : La robustesse d'un mot de passe repose sur sa longueur, la complexité de ses caractères et son imprévisibilité afin de résister aux attaques par force brute et à la récupération par dictionnaire.
(I.e. Hachage vs Chiffrement : Les identifiants stockés sont protégés par des fonctions de hachage unidirectionnelles telles que MD5, SHA-256 ou bcrypt plutôt que par un chiffrement réversible.
(I.e. Techniques d'attaque courantes : Les attaques par dictionnaire, force brute, table arc-en-ciel, hybride, spidering et bourrage d'identifiants exploitent des comportements humains prévisibles.
️ Ensemble d'outils de craquage : John the Ripper, Hashcat, Cain & Abel, OphcrackHydra automatise la récupération hors ligne et en ligne à partir des hachages capturés.
🤖 Attaques pilotées par l'IA : Les modèles génératifs prédisent des phrases de passe réalistes à partir de données divulguées, améliorant considérablement l'efficacité des dictionnaires face aux identifiants faibles.
🛡️ Contrôles défensifs : Les hachages salés, l'authentification multifacteurs, les politiques de verrouillage et les gestionnaires de mots de passe neutralisent la plupart des tentatives de piratage dans les environnements de production.

Le craquage de mots de passe est l'une des disciplines les plus anciennes de la sécurité offensive, et pourtant, il reste d'une actualité brûlante car les utilisateurs continuent de privilégier des mots de passe prévisibles. Ce tutoriel présente les techniques courantes utilisées par les attaquants pour récupérer les mots de passe, les outils qui automatisent ces opérations, ainsi que les contre-mesures que les administrateurs peuvent mettre en œuvre pour protéger les systèmes contre ces attaques.

Qu’est-ce que le craquage de mot de passe ?

Le craquage de mots de passe est le processus visant à obtenir un accès non autorisé à un système protégé en récupérant le mot de passe qui protège le mécanisme d'authentification. Ce processus peut impliquer la comparaison des hachages de mots de passe stockés avec une liste de mots précalculée ou l'exécution d'algorithmes générant des mots de passe candidats jusqu'à trouver une correspondance. Une fois la correspondance trouvée, l'attaquant peut s'authentifier en tant qu'utilisateur légitime sans avoir à deviner le mot de passe en ligne.

Qu'est-ce que la force du mot de passe ?

La robustesse d'un mot de passe mesure son efficacité à résister aux attaques de piratage. Elle est déterminée par trois propriétés :

Durée : le nombre total de caractères que contient le mot de passe.
Complexité: qu'elle utilise une combinaison de lettres majuscules, de lettres minuscules, de chiffres et de symboles.
Imprévisibilité : si le mot de passe peut être facilement deviné par un attaquant connaissant l'utilisateur.

Comparons trois mots de passe : , password1 et #mot de passe1$Pour cet exemple, nous utiliserons l'indicateur de force des mots de passe de cPanel. Les images ci-dessous illustrent la force de chaque candidat.

Remarque : le mot de passe utilisé est ; sa force est de 1, ce qui est très faible.

Remarque : le mot de passe utilisé est password1; la force est de 28, ce qui est encore faible.

Remarque : le mot de passe utilisé est #mot de passe1$Le niveau de sécurité est de 60, ce qui est élevé. Plus le niveau de sécurité est élevé, meilleur est le mot de passe.

Supposons maintenant que nous devions stocker ces mêmes mots de passe en utilisant le hachage MD5. Nous utiliserons un générateur de hachage MD5 en ligne pour convertir chaque mot de passe en sa valeur de hachage. Le tableau ci-dessous présente les hachages obtenus.

Mot de passe	Hachage MD5	Indicateur de force cPanel
	5f4dcc3b5aa765d61d8327deb882cf99	1
password1	7c6a180b36896a0a8c02787eeafb0e4c	28
#mot de passe1$	29e08fb7103c327d68327f23d8d9256c	60

Nous allons maintenant utiliser un site public de recherche inversée MD5 pour déchiffrer les hachages ci-dessus. Les images ci-dessous montrent les résultats du déchiffrement des mots de passe pour chaque valeur.

Comme vous pouvez le constater d'après les résultats ci-dessus, nous avons réussi à déchiffrer les deux premiers mots de passe, dont le niveau de difficulté était plus faible. Nous n'avons pas réussi à déchiffrer le troisième mot de passe, qui était plus long, plus complexe et imprévisible. Son niveau de difficulté était également plus élevé.

Techniques de piratage de mots de passe

Il existe plusieurs techniques éprouvées utilisées par les attaquants pour récupérer les mots de passe. Nous décrirons ci-dessous les catégories les plus couramment utilisées.

Attaque par dictionnaire : Cette méthode utilise une liste de mots candidats probables et compare chacun d'eux aux mots de passe d'utilisateurs capturés ou aux hachages de mots de passe.
Attaque par force brute : Les attaques par force brute combinent des caractères alphanumériques et des symboles à l'aide d'algorithmes pour générer systématiquement tous les mots de passe possibles jusqu'à ce qu'une correspondance soit trouvée. Par exemple, un mot de passe tel que : peut également être essayé comme mot de passe en utilisant une règle hybride de force brute.
Attaque de table arc-en-ciel : Cette méthode repose sur des hachages précalculés. Supposons qu'une base de données stocke les mots de passe sous forme de hachages MD5. L'attaquant crée une autre table contenant les hachages MD5 des mots de passe courants et compare le hachage capturé avec celui de la table précalculée. Si une correspondance est trouvée, le mot de passe est récupéré.
Devine: Comme son nom l'indique, cette méthode repose sur la devinette. Les mots de passe tels que QWERTY, et admin sont couramment utilisées ou définies comme valeurs par défaut. Si elles n'ont pas été modifiées, elles peuvent être rapidement compromises.
Araignée : La plupart des organisations utilisent des mots de passe contenant des informations confidentielles. Ces informations peuvent être extraites des sites web d'entreprises et des réseaux sociaux comme Facebook et Twitter. Le web scraping collecte des données à partir de ces sources afin de constituer des listes de mots ciblées, utilisées ensuite dans des attaques par dictionnaire et par force brute.
Remplissage d'identifiants : Les attaquants réutilisent les paires nom d'utilisateur/mot de passe divulguées lors d'une première violation de données contre des services sans lien entre eux, exploitant ainsi les utilisateurs qui réutilisent leurs identifiants.

Une liste de mots clés pour le référencement d'une entreprise fictive pourrait combiner : 1976 (année de naissance du fondateur) ; Smith, Jones (noms de famille) ; Acme (nom de l'entreprise) ; Built, To, Last (mots clés de la vision) ; Golfing, Chess, Soccer (loisirs).

Le tableau ci-dessous compare les techniques en fonction de leur rapidité, de leurs prérequis et de leur détectabilité.

Technique	Speed	Nécessite un hachage ?	Détectable en ligne ?
Dictionnaire	Rapide	Optionnel	Oui
La force brute	Lent	Optionnel	Oui
Table arc-en-ciel	Très rapide	Oui	Non (hors ligne)
Devinant	Variable	Non	Oui
Araignée	Lent	Non	Oui
Bourrage de Credential	Rapide	Non	Oui

Password Cracker Outils

Les outils de craquage de mots de passe sont des logiciels qui automatisent les techniques décrites précédemment. Nous avons déjà évoqué l'un de ces outils dans l'exemple de la robustesse, où une recherche MD5 publique utilise une table arc-en-ciel pour inverser les hachages courants. Nous allons maintenant examiner d'autres outils utilisés par les professionnels lors des évaluations autorisées.

1) John the Ripper
John the Ripper Utilise l'invite de commandes et accepte des listes de mots avec des règles pour générer des candidats. Il détecte automatiquement de nombreux formats de hachage courants. Le programme est gratuit, tandis que des listes de mots commerciales sont disponibles séparément. Visitez https://www.openwall.com/john/.

2) Cain & Abel
Cain & Abel fonctionne sur Windows Il permet de récupérer les mots de passe des utilisateurs, d'effectuer de l'analyse du trafic réseau, et bien plus encore. Son interface graphique le rend populaire auprès des débutants. Cet outil n'est plus maintenu depuis 2014 ; par conséquent, il ne doit être utilisé que sur des systèmes de laboratoire anciens. Voir https://sectools.org/tool/cain/.

3) Ophcrack
Ophcrack est une plateforme multiplateforme Windows Un logiciel de craquage de mots de passe utilisant des tables arc-en-ciel. Il fonctionne sur Windows, Linux et macOSet inclut un module de force brute. Visitez https://ophcrack.sourceforge.io/.

4) Hashcat
Hashcat est la norme moderne pour la récupération de mots de passe hors ligne. Elle prend en charge plus de 300 algorithmes de hachage, exploite l'accélération GPU et propose des attaques basées sur des règles. La documentation est disponible à l'adresse suivante : https://hashcat.net/hashcat/.

5) Hydra
Hydra (THC-Hydra) cible les services en ligne tels que SSH, FTP, RDP et les formulaires de connexion HTTP. Il est livré avec Kali Linux et est largement utilisé dans les opérations d'équipes rouges autorisées.

Comment se protéger contre les attaques de piratage de mots de passe ?

Une organisation peut utiliser les mesures suivantes pour réduire les risques de piratage des mots de passe :

Exigez un minimum de 12 caractères et évitez les modèles prévisibles tels que 11552266 ou qwerty1234.
Stockez les mots de passe avec une fonction de hachage lente à sens unique telle que bcrypt, scrypt ou Argon2 plutôt qu'avec des fonctions de hachage rapides telles que MD5 ou SHA-1.
Ajoutez du sel à chaque mot de passe avant de le hacher ; le sel empêche les recherches dans les tables arc-en-ciel même lorsque le hachage lui-même est rapide.
Adoptez des politiques de mots de passe qui privilégient des scores de force élevés et encouragent l'utilisation de phrases de passe, comme le recommande la publication spéciale 800-63B du NIST.
Activez l'authentification multifacteurs (MFA) afin qu'un mot de passe volé ne permette pas à lui seul d'accéder au système.
Utilisez un gestionnaire de mots de passe pour générer des identifiants uniques pour chaque service, neutralisant ainsi les attaques par bourrage d'identifiants.
Configurez le verrouillage des comptes, la limitation du débit et la surveillance continue pour détecter rapidement les activités de force brute en ligne.

Activité de piratage : piratez maintenant !

Dans ce scénario pratique, nous allons résoudre un problème. Windows compte utilisant un mot de passe simple. Windows stocke les informations d'identification locales sous forme de hachages NTLM (un schéma basé sur MD4), et nous utiliserons le module de craquage NTLM dans Cain et Abel pour récupérer la valeur.

Caïn et Abel peuvent déchiffrer des mots de passe à l'aide d'une attaque par dictionnaire, d'une attaque par force brute ou d'une cryptanalyse (tables précalculées). Nous utiliserons ici l'attaque par dictionnaire. Téléchargez la liste de mots. 10k-le plus courant.zip à partir d'un miroir réputé. Pour cette démonstration, nous avons créé un compte appelé hybrides avec le mot de passe QWERTY sur un Windows 7 machines de laboratoire.

Comment déchiffrer un mot de passe

Le guide ci-dessous associe chaque écran de Cain et Abel à l'action à entreprendre. Suivez les étapes dans l'ordre sur votre propre compte de laboratoire, jamais sur un système qui ne vous appartient pas.

Étape 1) Ouvrez Caïn et Abel.
Lancez l'application ; vous verrez l'écran principal suivant.

Étape 2) Trouvez le bouton Ajouter.
Assurez-vous que l'onglet Cracker est sélectionné comme indiqué ci-dessus et cliquez sur le bouton Ajouter dans la barre d'outils.

Étape 3) Choisissez la source d'importation.
La fenêtre de dialogue suivante apparaît. Sélectionnez Importer les hachages depuis le système local et cliquez sur Suivant.

Étape 4) RevConsultez les comptes importés.
Les comptes d'utilisateurs locaux sont listés ci-dessous. Les résultats exacts dépendront des comptes d'utilisateurs présents sur votre machine de laboratoire.

Étape 5) Cliquez avec le bouton droit sur le compte cible.
Faites un clic droit sur le compte que vous souhaitez pirater. Pour ce tutoriel, nous utiliserons le hybrides utilisateur.

Étape 6) Ouvrez le panneau d'attaque par dictionnaire.
Dans la fenêtre d'attaque par dictionnaire, cliquez avec le bouton droit dans la section dictionnaire et sélectionnez Ajouter à la liste comme indiqué ci-dessous.

Étape 7) Accédez au fichier de liste de mots.
Naviguez vers le 10k-plus-commun.txt Sélectionnez le fichier que vous venez de télécharger.

Étape 8) RevAfficher le mot de passe récupéré.
Si l'utilisateur choisit un mot de passe simple tel que QWERTYVous verrez alors des résultats similaires à la capture d'écran ci-dessous, avec la valeur en clair à côté du compte utilisateur.

Remarque : le temps nécessaire pour déchiffrer un mot de passe dépend de sa robustesse, de la complexité de la liste de candidats et de la puissance de calcul de votre machine. Si l’attaque par dictionnaire ne permet pas de retrouver le mot de passe, essayez ensuite une attaque par force brute ou une cryptanalyse.

Comment l'IA est Reshaping Piratage et protection des mots de passe

L'intelligence artificielle est devenue une force redoutable pour les deux camps en matière de piratage de mots de passe. Les attaquants entraînent des modèles de langage sur des fuites d'identifiants afin de prédire des phrases de passe réalistes, tandis que les défenseurs associent ces mêmes modèles à des systèmes de télémétrie pour détecter plus rapidement les compromissions.

Voici comment l'IA transforme le secteur aujourd'hui :

Génération de listes de mots plus intelligentes : Les modèles génératifs tels que PassGAN apprennent les schémas de mots de passe humains et produisent des listes de candidats qui déchiffrent plus de hachages que les dictionnaires statiques.
Évaluation des risques comportementaux : L'IA défensive inspecte la géographie de connexion, l'empreinte digitale de l'appareil et le typeping Rythme, envoi de contextes inhabituels pour renforcer l'authentification.
Détection d'anomalies en temps réel : Les classificateurs d'apprentissage automatique surveillent les journaux d'authentification et signalent les bourrages d'identifiants ou les campagnes de force brute lentes que les règles de signature ne détectent pas.
Coaching automatisé en matière de politiques : Les plateformes d'identité évaluent les nouvelles phrases de passe par rapport à des corpus spécifiques à l'organisation et suggèrent des alternatives plus robustes avant que les utilisateurs ne les finalisent.
Défense contre le phishing : L'IA accélère le déploiement des flux FIDO2 et de clés d'accès en analysant les signaux de risque et en réduisant les frictions pour les utilisateurs.

Associez la surveillance par IA à l'authentification multifactorielle, au hachage moderne tel qu'Argon2 et aux flux de notification rapide des violations pour garder la défense automatisée en tête face à l'attaque automatisée.

FAQ

Le craquage de mots de passe n'est légal que lorsqu'il est effectué avec une autorisation écrite explicite, par exemple dans le cadre de tests d'intrusion, d'audits internes ou de la récupération de ses propres identifiants. Le craquage non autorisé constitue une violation des lois sur la cybercriminalité dans la quasi-totalité des juridictions.

Le hachage est une transformation irréversible : la valeur originale ne peut être retrouvée. Le chiffrement, quant à lui, est réversible grâce à la clé appropriée. Les mots de passe doivent toujours être stockés sous forme de hachages salés, à l’aide d’algorithmes tels que bcrypt, scrypt ou Argon2, et jamais sous forme de chaînes chiffrées.

Pour le craquage hors ligne, Hashcat est généralement la plus rapide car elle utilise l'accélération GPU et prend en charge les attaques basées sur des règles sur plus de 300 formats de hachage. John the Ripper reste populaire lorsque les ressources GPU sont limitées.

Un sel est une valeur aléatoire unique ajoutée à chaque mot de passe avant son hachage. Le salage permet de contrer les attaques par tables arc-en-ciel, car les tables précalculées ne fonctionnent qu'avec des hachages non salés. Le sel garantit également que deux utilisateurs ayant le même mot de passe produisent des valeurs de hachage différentes.

Un mot de passe de 12 caractères mêlant lettres, chiffres et symboles peut nécessiter des siècles pour être déchiffré par force brute avec un algorithme de hachage lent comme bcrypt. Avec un algorithme MD5 rapide et non salé, le même mot de passe peut être trouvé en quelques jours. Le choix de l'algorithme de hachage et sa longueur sont donc essentiels.

Les attaquants entraînent des modèles génératifs tels que PassGAN sur des fuites d'identifiants afin qu'ils prédisent des phrases de passe humaines réalistes. Les listes de mots ainsi obtenues permettent de casser un nombre nettement supérieur de hachages que les dictionnaires statiques lors d'une même exécution, en particulier lorsqu'elles sont combinées à des mutations basées sur des règles. Hashcat.

Oui. L'IA défensive analyse les comportements de connexion habituels, évalue le risque de chaque tentative et détecte les attaques par bourrage d'identifiants ou les campagnes de force brute lentes que les systèmes de règles ne repèrent pas. Pour une protection optimale, associez la surveillance par IA à l'authentification multifacteurs et à un système de hachage moderne comme Argon2.

L'authentification multifacteurs bloque la grande majorité des tentatives de piratage, car un mot de passe récupéré ne suffit pas à se connecter. Les facteurs anti-hameçonnage, tels que les clés de sécurité et les mots de passe FIDO2, offrent la protection la plus robuste et doivent être activés autant que possible.