C'est la rentrée des pirates...

securite-web-draguignanDepuis toujours mais particulièrement depuis quelques semaines certains individus mal intentionnés s'attaquent par force brute aux differents comptes que vous pouvez utiliser sur Internet.

L'attaque par force brute est une méthode utilisée  pour trouver un mot de passe. Il s'agit de tester, une à une, toutes les combinaisons possibles.

Cette méthode est en général considérée comme la plus simple concevable. Elle permet de casser tout mot de passe en un temps fini indépendamment de la protection utilisée, mais le temps augmente avec la longueur et la complexité du mot de passe.

En théorie il est virtuellement impossible de casser des mots de passe de longueur moyenne (8 caractères), mais en pratique des optimisations heuristiques peuvent donner des résultats dans des délais beaucoup plus courts.

Cette méthode est souvent combinée avec l'attaque par dictionnaire (liste des mots de passe connus) et par table arc-en-ciel (algorithme décodant les mots de passe) pour trouver le mot de passe plus rapidement.

Les comptes particulièrement ciblés ces dernières semaines sont principalement:

  • Les comptes mail liés à votre fournisseur d'accès Internet (ex Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser.), les comptes Outlook, Live, Hotmail, FaceBook et autres réseaux sociaux...
  • Les comptes liés à l'administration de votre site Internet particulièrement s'il s'agit d'un CMS connu (Joomla, Wordpress, PHPBB...)

Pourquoi les "pirates" s'en prennent ils a nos petits comptes?

Le plus souvent, les apprentis "pirates" trouvent sur le Net des scripts leur permettant de réaliser ces opérations dans le seul but de tester ou de nuire au propriétaire du compte piraté, changement de mot de passe du compte mail, publication de inappropriées sur votre page FaceBook.

Bien que très dérangeantes ces attaques sont gérables...

D'autres attaques plus sournoises seront pratiquement invisibles mais particulièrement insidieuses...
L'utilisation de vos contacts depuis votre compte afin de pratiquer du phishing ou hameçonnage, c'est donc une usurpation d'identité qui permet de soutirer à vos contacts de l'argent, des renseignements en votre nom, compromettre une E réputation...

Et le piratage des sites Internet?

Sensiblement les mêmes causes pour les mêmes effets sauf que les dommages peuvent être plus élaborés et plus important soit financièrement soit en terme de réputation.
Ce problème complexe nécessitera plus d'explications, des solutions au cas par cas... surement un article à part...

Comment se protéger?

Il n'existe pas de protection 100% fiable mais si tous les utilisateurs du Net à quelque niveau que ce soit pratiquaient le b.a.-ba consistant à :

  • Utiliser un login et mot de passe différent par compte ouvert.
  • Utiliser un mot de passe minimum de 10 caractères aléatoires du genre: g#>}/y/A=x
  • Éventuellement en changer tous les mois...

Je sais c'est pénible mais c'est à ce prix que vous pourrez utiliser le potentiel fabuleux d'Internet dans une relative tranquillité  et puis pas la peine de les apprendre par cœur... Le copier/coller existe !

La protection n'est pas inviolable loin de là mais on augmente de quelques minutes à plusieurs mois le temps que mettra un script de trouver votre mot de passe ce qui laisse le temps au "pirate" de se lasser et de passer à autre chose...

Un site qui permet de créer des mots de passe complexes: www.libellules.ch ( Le mot de passe est généré en JavaScript sur votre ordinateur et n'est donc pas stocké sur le site ni créé sur le serveur :) )