fitfat a écrit :



Pas vraiment convaincu. Au lieu de bruteforcer le mdp lettre par lettre, tu le bruteforcera mot par mot.







Sauf que tu as plus de mots dans une langue que de caractères sur un clavier. Ajoute à ça les combinaisons de casse possibles, de variante orthographique ou de 1337 et tu augmentes énormément les combinaisons.

Oraz a écrit :



Tiens au fait, pour complexifier la bruteforce, je me suis souvent posé une petite question :

existe-t-il des sites (connus) qui, passé un certain nombre d’essai d’entrage de mot de passe, répondent systématiquement “c’est faux”, le compteur se réinitialisant une fois le bon mdp entré ?



par exemple ton mot de passe est “password” :

premier essai “passwrd” -> incorrect

2e essai “psswrd” -> incorrect

3e essai “passsword” -> incorrect et activation de la protection

4e essai “ppassword”-> incorrect

5e essai “password” -> incorrect et désactivation de la protection

6e essai “password”-> correct.

Dans les fait, c’est un moyen de contrôle tout con et ça double mathématiquement la durée d’une brute force (puiqu’il devra bégayer toutes ses tentatives) pour l’ajout de quelques lignes de code



N’étant pas un génie révolutionnaire, je me doute que cette solution a été envisagée et écartée. La question étant : pourquoi ?







Y a plus simple :

• Compter sur la latence d’une connexion : s’il faut 100 ms entre l’envoi du mot de passe et la réponse du serveur, une attaque par force brute perd toute son efficacité. Une attaque par force brute n’est efficace que si on peut accéder au hash cryptographique du mdp à craquer et le tester sans délai.
  


• bloquer pour un certains temps (pas forcément énorme) après la n-ième tentative de connexion erronée. Cela-dit, ça peut ouvrir la brèche à des dénis de service.
  

Groumfy a écrit :



De mémoire, certaines techniques consistaient à mesurer le temps de réponse différents entre deux réponses à des requêtes de login. Si le serveur passait dans une certaine portion de code, parce que la chaîne entrée s’approchait du bon mot de passe, le serveur mettait un temps différent.

De proche en proche, il était possible de faire un pseudo bruteforce et de trouver le mot de passe.



(J’avais dû lire ça dans un numéro de MISC. )







Je vois pas trop comment on peut juger qu’on s’approche du bon mot de passe, car un algo de hash cryptographique donne des sorties très différentes pour des entrées très proches. Même un changement d’un bit génère des hashs complètement différents.



Par contre, mesurer le temps de réponse peut déjà permettre de cerner si on se fait jeter pour mauvais login ou pour mauvais mot de passe (je crois avoir lu ça dans la même revue).



Reste que du force brute ou même du dictionnaire par connexion internet, ça divise le nombre d’essais possibles à la seconde par plusieurs millions par rapport à un accès direct.