Attaques en ligne ou hors ligne

Les attaques contre les mots de passe se divisent en deux catégories. Les attaques hors ligne travaillent localement sur des hachages capturés : elles sont rapides, silencieuses et limitées uniquement par le matériel. Les attaques en ligne essaient des mots de passe contre un service actif via le réseau : elles sont lentes, bruyantes et soumises à une limitation de débit.

Le cassage hors ligne (Hashcat, John) exige d’abord d’obtenir les hachages, depuis une copie de base de données, /etc/shadow ou une négociation capturée. Une fois les hachages en votre possession, vous pouvez effectuer des milliards d’essais par seconde sans aucun trafic réseau.

Les attaques en ligne envoient directement des tentatives de connexion à un service : SSH, RDP, FTP, formulaires web, etc. Leur vitesse est limitée par la latence du réseau et les limites de débit du serveur, et chaque tentative peut être enregistrée ou déclencher un verrouillage.

THC-Hydra est l’outil standard de force brute en ligne. Il prend en charge de nombreux protocoles et exécute les tentatives de connexion en parallèle. Vous fournissez un nom d’utilisateur ou une liste, une liste de mots de passe, la cible et le module du service.

Options principales :

• -l utilisateur unique / -L liste d’utilisateurs
• -p mot de passe unique / -P liste de mots de passe
• -t tâches parallèles
• -f arrêter à la première réussite

Pour les formulaires de connexion HTTP POST, Hydra a besoin du chemin, du corps POST contenant les marqueurs ^USER^/^PASS^ et d’une chaîne d’échec afin de savoir quelles réponses indiquent un échec.

La pulvérisation inverse le principe de la force brute : elle essaie un mot de passe courant (par exemple Spring2024!) sur de nombreux comptes. Cette méthode évite les seuils de verrouillage par compte et se révèle très efficace contre les organisations dont la politique de mots de passe est faible.

La réutilisation de couples d’identifiants rejoue des paires nom d’utilisateur/mot de passe divulguées lors d’autres compromissions, en pariant sur le fait que les utilisateurs réemploient leurs identifiants. Aucun cassage n’est nécessaire : il suffit de disposer de paires valides issues d’une fuite précédente.

Les défenseurs limitent les attaques en ligne grâce au verrouillage des comptes, à la limitation de débit, aux CAPTCHA, à la MFA et à la surveillance des nombreux échecs. Ces mesures protègent peu contre le cassage hors ligne, d’où l’importance d’un hachage robuste (bcrypt/Argon2) associé à des sels pour résister hors ligne.

Si vous pouvez voler la base de données des hachages, travaillez hors ligne : c’est plus rapide et plus discret. Si vous ne disposez que d’un point de connexion, vous êtes contraint de travailler en ligne : essayez alors lentement quelques bons mots de passe plutôt que de matraquer un seul compte.

Les attaques en ligne peuvent verrouiller de vrais comptes utilisateurs et déclencher des alertes : coordonnez-vous avec le client et respectez les politiques de verrouillage. Ne réalisez une attaque que dans le cadre d’une intervention autorisée et délimitée.

Vous avez comparé les stratégies d’attaque :

• Hors ligne = casser localement des hachages capturés ; rapide et silencieux
• En ligne = essayer des mots de passe contre un service actif ; lent, bruyant et limité en débit
• Hydra effectue des forces brutes sur les protocoles et les formulaires web
• La pulvérisation et la réutilisation de couples d’identifiants contournent le verrouillage et réutilisent les fuites

Le cours sur le cassage des mots de passe est terminé.