Brute Force

Que signifie Brute Force ?

Brute Force est la méthode ancienne qui consiste à tout essayer pour forcer un mot de passe, une clé ou une phrase de passe. Un script devine une combinaison après l'autre jusqu'à ce que quelque chose s'ouvre. Pensez-y comme essayer chaque clé d'un énorme trousseau de clés, sauf que ce trousseau est fait de mathématiques.

Comment fonctionne Brute Force

Voici le mode d'emploi, pas besoin de magie de cinéma :

• Cible : L'attaquant choisit un compte, un fichier de portefeuille chiffré ou un message à déchiffrer.
• Deviner : Le logiciel génère des suppositions de mot de passe, parfois intelligentes avec des listes de mots et des ajustements, parfois purement aléatoires.
• Retour : Chaque essai réussit ou échoue, et le script s'ajuste ou continue d'insister.
• Pivot : Si le site limite les tentatives, l'attaquant peut basculer vers une copie hors ligne comme un hash volé ou un keystore.
• Résultat : Une phrase de passe solide ralentit Brute Force, une courte ou réutilisée finit par être cassée.

Oui, ça peut vraiment être aussi simple.

Pourquoi Brute Force est important

Vous devez vous en soucier car des tentatives peuvent vider des portefeuilles, modifier des annonces NFT, ou détourner des comptes sur des plateformes d'échange. Quelques angles à garder en tête :

• Bénéfice : Comprendre comment Brute Force fonctionne vous aide à choisir des défenses qui ont un effet réel.
• Perspective : La plupart des attaques ne relèvent pas d'une magie de film, elles tiennent à la réutilisation de mots de passe ou à quelqu'un exploitant des réglages faibles.
• Pertinence : Vous verrez cela dans les connexions d'échange, les phrases de passe de portefeuille, les clés de validateurs et les panneaux d'administration pour dApps.

Caractéristiques clés de Brute Force

Signes rapides indiquant que vous avez affaire à cette méthode :

• Exhaustif : Il teste de nombreuses tentatives sans tenir compte du sens.
• Temps : La résistance augmente avec la longueur et le caractère aléatoire de la phrase de passe, pas avec l'apparence.
• Vitesse : La vitesse en ligne est bridée, hors ligne elle peut être très élevée avec des GPU.
• Signaux : Des pics de connexions échouées ou des invites captcha indiquent une attaque Brute Force sur un site.

Comment évaluer Brute Force ?

Vous pouvez estimer l'effort en regardant la taille de l'espace de recherche et le nombre de tentatives par seconde qu'une machine peut effectuer.

Combinaisons totales pour un ensemble de caractères donné et une longueur :

Combinations = S^L

où S est la taille de l'ensemble et L la longueur. Le nombre moyen d'essais avant succès est d'environ la moitié des combinaisons.

Estimation du temps :

Time = Combinations / GuessesPerSecond

Exemple : lettres et chiffres font environ 62 caractères. Une longueur de 10 donne 62^10 combinaisons, ce qui est énorme, donc même du matériel rapide prend plus de temps qu'une durée d'attention humaine.

Variantes

Différentes approches, même objectif, compromis différents :

1. Dictionnaire : Tente d'abord des mots courants et des mots de passe divulgués pour aller plus vite.
2. Identifiants : Rejoue des paires email et mot de passe issues de fuites pour voir ce qui fonctionne encore.
3. Inverse : Choisit un mot de passe courant et l'applique à de nombreux noms d'utilisateur.
4. Masque : Limite les essais à un modèle, par exemple commence par une majuscule et finit par des chiffres.
5. Hybride : Mélange des mots de dictionnaire avec des règles, comme ajouter des années ou des symboles.

Exemple

Un bot bombarde une page de connexion avec des milliers de tentatives, se fait limiter, puis passe à tester un fichier de portefeuille volé hors ligne avec des machines GPU.

Fait amusant

Brute Force est plus ancien que la crypto, mais les GPU en ont fait un projet de week-end pour les mots de passe faibles. Votre carte graphique de jeu peut deviner plus vite qu'une salle de vieux serveurs.

En résumé

Phrase de passe longue et unique, réglages résistants à Brute Force, et un second facteur, et vous dormez mieux.