Qu'est-ce qu'une attaque par force brute et comment l'empêcher ?

Le coût d'une violation de données est compliqué à quantifier, mais à mesure que de plus en plus d'organisations sont victimes d'attaques, l'impact financier potentiel devient plus apparent. Le dernier rapport sur les coûts des violations de données d'IBM a révélé que le coût moyen d'une violation de données dans le monde va atteindre un sommet historique de 35 million de dollars en 2022.

Une menace très courante à l'ère du web est l'attaque par force brute. Une attaque par force brute en cybersécurité est une tentative de trouver un mot de passe en essayant systématiquement toutes les combinaisons possibles de lettres, de chiffres et de symboles jusqu'à ce que la bonne combinaison soit trouvée. Les mots de passe ne sont pas la seule ressource pouvant être attaquée par force brute : les liens et répertoires, les noms d'utilisateur et les emails sont également des cibles courantes.

Types d'attaque par force brute :

Il existe le plus souvent 5 types d'attaques par force brute

Dans ce type d'attaque par force brute, les attaquants essaient plusieurs mots de passe pour cibler un ensemble spécifique d'identités. Ici, les pirates essaient de deviner manuellement ou utilisent la méthode d'essai et d'erreur pour trouver les informations d'identification de connexion de l'utilisateur sans utiliser de logiciel et, par conséquent, cette méthode prend beaucoup de temps et de ressources. Les pirates tentent de générer tous les caractères, chiffres et caractères spéciaux possibles. Cette méthode n'est efficace que pour les mots de passe courts, mais terrible pour les mots de passe un peu plus longs.

La pulvérisation de mot de passe est une forme d'attaque par force brute inversée dans laquelle l'attaquant se connecte à l'application en se basant sur une liste de noms d'utilisateur avec des mots de passe par défaut. Cette attaque est normalement utilisée dans les zones où l'administrateur définit un mot de passe par défaut pour les nouveaux utilisateurs. Normalement, les attaquants essaient de deviner les mots de passe. Cependant, contrairement à une attaque par force brute, qui se concentre sur un seul compte, dans ce cas, les attaques par injection de mot de passe ciblent plusieurs comptes à la fois. Ici, les attaquants accèdent à un grand nombre de comptes (noms d'utilisateur) avec quelques mots de passe communs.

D'après le nom lui-même, c'est évident - elle utilise essentiellement un grand nombre de phrases ou de termes populaires prédéfinis que l'on trouve normalement dans un dictionnaire. En général, une bonne liste de mots de passe peut améliorer le taux de réussite des attaquants, mais ici, ils nécessitent souvent plusieurs tentatives contre des cibles potentielles. L'inconvénient de ce type d'attaque est qu'elle prend du temps et a une faible probabilité par rapport aux nouvelles méthodes d'attaque puissantes.

Dans ce type d'attaque, les pirates combinent une méthode d'attaque par dictionnaire avec une simple attaque par force brute. Les pirates connaissent normalement le nom d'utilisateur, ils effectuent donc une attaque par dictionnaire et de simples méthodes de force brute pour trouver la combinaison de connexion au compte. Cette procédure consiste à choisir des mots courants dans un dictionnaire et à les remplacer par des nombres ou des caractères aléatoires. Cette approche combinée est plus efficace.

Une attaque de « bourrage » d'informations d'identification consiste à bourrer des mots de passe qui ont été piratés ou autrement exposés par des cybercriminels et utilisés dans les champs de connexion de plusieurs sites web. Cette attaque réussit lorsque les utilisateurs utilisent la même combinaison de nom d'utilisateur et de mot de passe ou réutilisent des mots de passe pour différents comptes et profils de médias sociaux. Les identifiants volés sont vendus et échangés entre cybercriminels sur le dark web.

Un attaquant peut toujours trouver le mot de passe via une attaque par force brute. En fonction de la longueur et de la complexité du mot de passe, il peut y avoir des milliards de combinaisons possibles et il peut donc falloir des années pour déchiffrer les mots de passe cibles.

Comment empêcher une attaque par force brute :

Le succès d'une attaque par force brute est calculé en fonction du temps nécessaire pour casser avec succès un mot de passe. À mesure que la longueur du mot de passe augmente, le temps nécessaire pour le craquer augmente également de façon exponentielle. On estime que 15 millions d'entreprises clés auraient besoin de 9 minutes par seconde pour déchiffrer un mot de passe à sept chiffres. Un mot de passe à 13 chiffres durerait plus de 350 000 ans.