Cracker des mots de passe pour le plaisir

Depuis un an environ, grâce notamment à l'amélioration des outils de déchiffrement « brute force » ou « Rainbow Tables », l'on voit se publier de plus en plus d'analyses portant sur la qualité des mots de passe utilisés. Celle-ci, récemment publiée sur la liste F.D., a été réalisée par un Français, Jeremy Saintot, un « Epitech », et porte essentiellement sur les crédences employées sur Myspace. Dans l'ensemble, les résultats sont assez rassurants. Car, remarque Saintot, dès le premier examen, 34% des codes d'accès utilisés peuvent résister aux attaques des phishers et autres spécialistes de l'intrusion... avec un password de 20 caractères et plus, l'accès à « l'espace personnel » peut être considéré comme pratiquement « trop fatiguant à forcer ». Rappelons que l'industrie du phishing est excessivement friande d'hébergements personnels faciles à cracker, afin d'y loger les pseudo-sites bancaires utilisés durant la fraude.

La suite de l'analyse confirme que certaines bonnes pratiques commencent à être respectées auprès d'une clientèle grand public. Et notamment l'intégration et le mélange de lettres et de chiffres au coeur du Sésame. Et l'auteur de préciser :
- 8,3 % ajoutent un préfixe numérique à leur code d'accès
- 72,7 % emploient un suffixe numérique
- 54,5 % choisissent un suffixe numérique situé entre 0 et 99 (dont une forte proportion de codes départementaux provenant de lieux de grande concentration humaine, mégapoles : Lyon, Marseille, région parisienne)
- 7,8 % optent pour des suffixes à 3 chiffres,
- 6% utilisent 4 chiffres,
- 16,6 % des clefs analysées comportent le suffixe "1"

Sur la longueur des mots de passe :
- 24,3 % 8 caractères
- 24 % 7
- 18,4 % 9
- 16,2 % 6
- 15,2 % 10
- 3,2 % 11

La suite de l'étude se penche sur l'usage de caractères autres que le jeu alphanumérique, ainsi que sur la proportion d'usage des lettres capitales ou minuscules. A conserver dans la catégorie « éléments à charge », à verser au dossier « politique de mots de passe ».

Posté le 23 février 2007 par _SebF - source Reseaux-Telecoms

Vous pouvez commenter cette nouvelle
en posant vos avis, questions et remarques
sur le forum actualité