sydbarrett55 a écrit :



C’est de la couille leur truc

• anniversaire –> 317 ans
  


• revth3rKsP1B –> 46 ans
  
  
  
  Y a un truc qui m’échape là " /> Pas vous ?
  
  
  
  
  
  Il y a un truc à voir tout de même et que chacun ont du mal à comprendre. Donc certes il y a des choses à éviter comme les mots dans un dico et tout ça… mais ce qu’il faut surtout voir c’est que c’est la logique non pas humaine qui entraîne la facilité ou non pour décrypter un mot mais la logique de l’algorithme !!
  
  
  
  Là, c’est sans doute un algo qui pioche dans le dico anglais
  


• Anniversaire : 12 lettres = 317 ans
  


• Anniversaries : 13 lettres = 6 jours
  
  
  
  Un autre exemple
  


• Anniversaire : 12 lettres = 317 ans
  


• Anmiversaire : 12 lettres = 317 ans
  


• agvjyrspduty : 12 lettres = 317 ans
  
  
  
  Bref ça signifie quoi ? Pour lui le mot “anniversaire” n’est pas un mot tiré du dico mais une suite aléatoire de 12 caractères.
  
  
  
  Et donc, si ton mot : “revth3rKsP1B” ne prends que 46 ans, c’est qu’il doit y avoir une certaine logique dans ce mdp. Et là logique selon moi ? Pour lui un chiffre comme une lettre sont des caractères qu’il ne fait que de tester. Remplace tes chiffres par un “a” et tu auras :
  


• revtharKsPaB = 317 ans.
  
  Pourquoi ? Car dans un case “lettre” tu as 26 possibilités à tester tandis que pour un chiffre tu as 9 possibilités.
  
  
  
  Bref ce que je comprends : Lorsque ton code est une suite de caractère tout à fait aléatoire où la seule recherche aléatoire de caractères est possible pour le trouver alors il faut se cantonner aux lettres qui donnent le plus de variabilités. Mais si le mot que tu utilises est un mot connu alors rajouter un chiffre va faire passer de la case mot connu à la case suite aléatoire. Pour illustrer et en finir :
  
  
  


• Anniversaires : 13 lettres = 8243 ans (pour lui “anniversaires” n’est pas un mot du dico)
  


• Anniversaries : 13 lettres = 6 jours
  


• Anniversarie1 : 13 lettres = 3170 ans
  
  
  
  Après il y a d’autres critères : la position des lettres tapées etc…

Faith a écrit :



Tester les chiffres puis les lettres, ça ne permet pas de réduire le temps de recherche d’un mot de passe qui contient les deux à des endroits inconnus.



Le problème, c’est qu’il n’y a pas d’algo sur l’appli en question.

Il s’agit juste d’un dénombrement de combinaisons, assez mal conçu vu pas mal de tests.





Oui, mais passer les chiffres avant les lettres n’apporte rien. Désolé.

Allez, pour être honnête, dans le cas d’une attaque qui commence justement à chercher le caractère qui contient un chiffre (le premier si le mot de passe commence par un chiffre, ou le dernier s’il finit, ou le 3ème si c’est le troisième, etc…), alors ça fait gagner un petit peu de temps.

Mas comme il s’agit d’un “coup de bol” qui ne s’applique pas quand le chiffre est au milieu du password. Un algo ne peut pas commencer par le 3ème caractère en espérant que ce soit un chiffre. Ce serait idiot.

La seule optimisation réalisable c’est de supposer que le chiffre est au début ou à la fin, ça fait gagner un tout petit peu de temps.



Enfin, dans quels cas cette attaque est-elle possible ?

Pas pour forcer l’accès à un site web.

Pas pour forcer l’accès à un serveur distant

Pas pour forcer l’accès à un serveur local (sauf si le serveur est tellement mal configuré qu’il n’a aucun délai entre deux tests, ni aucun ban temporaire après plusieurs échecs)



C’est utilisable uniquement si l’attaquant possède l’algo de cryptage et un accès à des données cryptées en local. Donc ça suppose un hack préalable.



Il est mille fois plus efficace d’utiliser des troyens, du phishnig ou de créer un site pour récupérer des couples mail/password.

Le brute-force est assez peu à craindre pour casser des mots de passe (en particulier sur le net)





Je vois en fait tu n’as pas compris ce que je veux dire. L’algo ne cherche pas “Où sont les chiffres” mais plutôt il dit genre, je vais tester un mdp de 4 caractères en testant que des chiffres. Puis toutes les combinaisons avec 3 chiffres plus une lettre, puis toutes les combinaisons avec 2 chiffres plus 2 lettres puis toutes les combinaisons avec 1 chiffre plus 3 lettres puis toutes les combinaisons avec que des lettres

Car l’algo commencera toujours par ce qui est plus “facile” à trouver (que des chiffres et mdp court) que par le plus difficile.



Ensuite tu dis qu’il n’y a pas d’algo. Je dirais plutôt qu’il simule le temps que prendrais un algorithme fait de la sorte pour trouver un mot. Car je l’ai montré, lorsque tu as un mot du dico anglais le temps pour trouver le mot est bien plus court qu’une suite de caractère… Ce qui veut dire en quelque sorte que dans le cadre d’un vrai hack, l’algo testera d’abord tous les mots du dico et donc selon cette stratégie le site d’Intel te dit que : Si tu utilises un mot du dico avec telle longueur tu seras découvert en tant de seconde