CheckNews, le service de fact-checking de Libération, revient sur une infographie partagée par France Numérique expliquant qu'un pirate peut, en 2023, pirater un mot de passe de 10 caractères en 2 semaines, alors qu'un tableau similaire parlait de 5 mois l'an passé, et de 5 ans en 2020, en utilisant une attaque par force brute.
Hive Systems, l'entreprise américaine de cybersécurité à l'origine de ces calculs, part du principe que mettre en regard des millions de hash avec ceux présents dans une base de données, afin d'identifier les mots de passe hashés, « ne nécessite qu’une quantité triviale de calculs et de temps supplémentaires ».
En 2022, Hive Systems avait calculé qu'« un pirate au budget modeste [utilisant] un ordinateur de bureau équipé d’une carte graphique haut de gamme », gagnerait 30 % de temps avec un GPU RTX 3090 plutôt qu'avec un RTX 2080 – moins coûteux, mais moins performant.
Un pirate un peu plus fortuné louant des ressources de calcul sur des plateformes telles que Microsoft Azure ou Amazon AWS, pour l’équivalent d’une trentaine d’euros de l’heure, pouvait cumuler la puissance de calculs de huit processeurs Nvidia A100 Tensor Core, « de quoi hacher un mot de passe quatorze fois plus vite qu’avec un PC sous RTX 2080 (523 milliards de hash par seconde, contre 37 milliards) ».
Or, en 2023, « le même hacker au budget modeste a désormais accès à des ressources plus performantes… et moins coûteuses », relève CheckNews, à mesure que « des sites proposant aux particuliers de la puissance de calcul d’ordinateurs domestiques quand leur propriétaire ne les utilise pas se sont démocratisés. De quoi concurrencer le cloud computing d’Amazon ou de Microsoft ».
Hive Systems note en effet qu'il est désormais possible de louer douze processeurs RTX 4090 pour moins de 6 euros de l’heure sur des sites comme vast.ai : « Sachant qu’un RTX 4090 calcule 164 milliards de hash par seconde (H/s), on va donc 3,7 fois plus vite qu’en 2022 pour 5,5 fois moins cher. Avec un même budget, un pirate "hache" donc 20 fois plus vite qu’il y a un an. »
CheckNews souligne cela dit que Hive Systems se base sur un clavier anglophone n'utilisant que les 8 symboles les plus utilisés par les générateurs de mots de passe, à savoir ^ * % $ ! & @ #, et que « si la fonction de hachage standard MD5 se calculait relativement rapidement, d’autres se résolvaient beaucoup plus lentement ».
![[Édito] Apple entre greenwashing et renouvellement à marche forcée](https://next.ink/wp-content/uploads/2024/09/Apple_greenwashing-510x247.webp "[Édito] Apple entre greenwashing et renouvellement à marche forcée")
