Chaque jour, des articles rappellent à quel point il est facile d’être piraté et combien de vos données sont peut-être déjà entre les mains de cybercriminels. Logiciels malveillants, rançongiciels, fuites de données, virus : ces mots reviennent sans cesse et ce genre de problème inquiète les experts en informatique.
Une méthode pour accéder à vos informations gagne en popularité : l’attaque par force brute. Qu’est-ce qu’une attaque par force brute et que pouvez-vous faire pour l’empêcher ?
Attaques par force brute
Une attaque par force brute se produit lorsqu’un pirate informatique tente de se connecter à votre compte en essayant toutes les combinaisons possibles d’un mot de passe.
Une fois votre nom d’utilisateur découvert, il ne lui reste qu’à deviner votre mot de passe pour accéder à vos informations. Le pirate essaie un premier mot de passe, puis le suivant en cas d’échec, et ainsi de suite jusqu’à trouver le bon. Cela prend énormément de temps, mais des applications et des programmes aident les pirates en automatisant le processus.
Les mathématiques derrière les attaques
Supposons que vous vouliez utiliser une attaque par force brute pour trouver le numéro d’identification personnel (NIP) d’une personne. La plupart des NIP sont composés de quatre chiffres aléatoires, chacun compris entre 0 et 9. Si un pirate essaie toutes les combinaisons (de 0000 à 9999), il devra donc tester dix mille NIP différents.
Un mot de passe de courriel comporte généralement huit caractères, et non quatre, et comprend aussi des lettres et des chiffres. Avec 26 lettres minuscules, 26 lettres majuscules et 10 chiffres, chacun des huit caractères compte 62 possibilités. Cela représente plus de 200 billions de combinaisons, sans compter les caractères spéciaux (comme !, @ et #) et les mots de passe plus longs, qui ajoutent à la complexité.
Avant de conclure qu’une attaque par force brute ne pourrait jamais en venir à bout, sachez qu’un réseau de pirates travaillant ensemble pourrait déchiffrer votre mot de passe en moins d’une minute à l’aide de générateurs aléatoires.
Comment se protéger des attaques par force brute
Pour éviter d’être victime d’une telle attaque, vous pouvez appliquer quelques mesures :
- Créer le mot de passe le plus complexe possible : rien ne garantit une sécurité totale, mais cela aide. Devant un mot de passe trop complexe, les pirates peuvent se tourner vers une cible plus facile. Un mot de passe de 12 à 16 caractères est encore plus sûr. Il doit s’agir d’un mélange aléatoire de lettres minuscules, de lettres majuscules, de chiffres et de caractères spéciaux.
- Limiter les tentatives de connexion : la solution la plus simple consiste à limiter le nombre de tentatives de connexion. Avec une limite de 3, vous avez trois occasions de saisir le bon mot de passe : si vous vous trompez, il vous reste deux chances. Après la troisième tentative, le système verrouille le compte jusqu’à ce qu’il soit vérifié par courriel ou qu’un délai soit écoulé. Un pirate n’a donc que trois essais avant que l’alarme se déclenche et que le compte soit verrouillé.
- Activer la vérification à deux facteurs : les pirates pourraient obtenir votre mot de passe par force brute, mais ils devraient ensuite saisir un code envoyé à votre téléphone cellulaire ou généré par une application tierce. Pour pirater votre compte, il leur faudrait voler votre mot de passe ET votre téléphone. Parmi les applications d’authentification à deux facteurs courantes, on trouve Google Authenticator, 1Password (qui sert aussi de coffre-fort de mots de passe), LastPass Authenticator (uniquement pour iOS) et Authy.
Protégez votre site Web
Les attaques par force brute posent problème depuis longtemps, que vous le sachiez ou non. Grâce aux progrès de la sécurité, comme la vérification à deux facteurs, il est possible de bloquer les pirates et de garder une longueur d’avance sur eux. Faites toujours de la sécurité de votre site Web une priorité, pour vous comme pour vos visiteurs et vos clients.