Documentation<Précédent | Table des matières | Suivant>
11.4.4. Attaques par mot de passe
Les attaques par mot de passe sont des attaques contre le système d'authentification d'un service. Ces attaques sont souvent divisées en attaques de mot de passe en ligne et attaques de mot de passe hors ligne, que vous trouverez reflétées dans le Attaques par mot de passe catégorie de menu. Dans une attaque par mot de passe en ligne, plusieurs mots de passe sont tentés contre un système en cours d'exécution. Dans une attaque par mot de passe hors ligne, les valeurs hachées ou cryptées des mots de passe sont obtenues et l'attaquant tente d'obtenir les valeurs en texte clair. La protection contre ce type d'attaque réside dans le fait qu'il est coûteux en temps de calcul de suivre ce processus, ce qui limite le nombre de tentatives par seconde que vous pouvez générer. Cependant,
31https://www.owasp.org/index.php/Top_10_2013-Top_10
des solutions de contournement existent, comme l'utilisation de processeurs graphiques (GPU) pour accélérer le nombre de tentatives possibles. Les kali-linux-gpu metapackage contient un certain nombre d'outils qui exploitent ce pouvoir.
Le plus souvent, les attaques par mot de passe ciblent les mots de passe par défaut fournis par le fournisseur. Comme il s'agit de valeurs bien connues, les attaquants rechercheront ces comptes par défaut, dans l'espoir d'avoir de la chance. D'autres attaques courantes incluent les attaques par dictionnaire personnalisé où une liste de mots est créée qui a été adaptée à l'environnement cible, puis une attaque par mot de passe en ligne contre des comptes communs, par défaut ou connus est menée où chaque mot est tenté dans l'ordre.
Dans une évaluation, il est très important de comprendre les conséquences potentielles de ce type d'attaque. Premièrement, ils sont souvent très bruyants en raison des tentatives d'authentification répétées. Deuxièmement, ces attaques peuvent souvent entraîner une situation de verrouillage de compte après que trop de tentatives invalides aient été effectuées sur un seul compte. Enfin, les performances de ces attaques sont souvent assez lentes, ce qui entraîne des difficultés lors de la tentative d'utilisation d'une liste de mots complète.