L’attaque par force brute représente une menace majeure en cybersécurité. En effet, elle n’exige aucune compétence particulière pour être menée. Il suffit d’essayer des millions de combinaisons de caractères jusqu’à trouver la bonne. Des logiciels existent à cet effet. La plupart sont gratuits et open source. Les hackers éthiques les utilisent pour tester la vulnérabilité des systèmes d’authentification.
Les organisations déploient des techniques avancées pour préserver la confidentialité des mots de passe. Par exemple, stocker des noms d’utilisateur et des mots de passe dans un fichier lisible sur le serveur est désormais prohibé. Elles utilisent des hachages pour les rendre illisibles aux regards indiscrets. Cependant, un pirate peut déjouer ces mesures grâce à la technique de la force brute. Le déchiffrement de mots de passe peut prendre des jours, mais les logiciels facilitent grandement cette tâche. Il s’agit de solutions développées et testées par leurs fabricants, destinées à la boîte à outils des pentesters. Ces logiciels de force brute permettent d’identifier les mots de passe faibles et de les corriger rapidement.
Les logiciels de force brute : l’outil ultime des pentesters
« L’ère des mots de passe arrive à sa fin », annonçaient des responsables de Microsoft en décembre 2024. En dessous de huit caractères, un logiciel de piratage met quelques secondes à déchiffrer un mot de passe.
C’est pourquoi les géants de la tech travaillent sur d’autres moyens d’authentification, tels que la reconnaissance vocale ou l’empreinte digitale.
En attendant, le moyen le plus sûr de renforcer la sécurité reste l’utilisation de mots de passe uniques et robustes.
Et même dans ce contexte, l’attaque par force brute demeure une méthode privilégiée des pirates informatiques. Elle teste plusieurs valeurs prédéfinies pour attaquer une cible. La réussite d’un forçage de mot de passe dépend de la longueur de ces valeurs.
L’attaque par force brute est surtout utilisée pour percer un mot de passe ou une clé de chiffrement. Cependant, elle sert aussi à trouver des sous-domaines et répertoires cachés, à déchiffrer des connexions SSH ou encore des clés API.
Le principal avantage de ce type d’attaque réside dans sa simplicité d’exécution. Pourtant, la cible dispose rarement de suffisamment de temps pour en atténuer les dégâts. L’attaque par force brute fonctionne sur tous les systèmes basés sur une clé de chiffrement ou un mot de passe. C’est pourquoi le temps nécessaire pour pénétrer un système est révélateur de son niveau de sécurité.
C’est là qu’interviennent les pentesters. Contrairement aux pirates informatiques, ils mènent des attaques pour tester et déchiffrer les identifiants de connexion.
Pour cela, ils s’appuient sur des logiciels spécialisés dans la force brute. Ces outils automatisent les attaques et peuvent tester jusqu’à un milliard de combinaisons par seconde.
Les logiciels de force brute les plus populaires du marché
Développés par la communauté du hacking éthique et par des entreprises de sécurité, les logiciels de force brute sont destinés au craquage de mots de passe. La plupart de ces outils sont open source et gratuits, et bénéficient de mises à jour régulières.
Voici les plus populaires :
John the Ripper
Comme le célèbre personnage dont il a emprunté le nom, John the Ripper est redoutable dans le craquage de mots de passe. C’est l’outil désigné pour tester la robustesse des authentifications dans un système.
Ce logiciel open source effectue le cassage par force brute via un dictionnaire ou en testant toutes les combinaisons possibles.
Il peut distribuer la charge sur plusieurs machines pour accélérer l’attaque. John the Ripper est très rapide pour identifier les mots de passe faibles, considérés comme une faille critique de sécurité.
John the Ripper suit trois étapes pour casser un mot de passe :
- Il récupère d’abord la version chiffrée, appelée aussi « hash », généralement trouvée dans les bases de données compromises.
- Il identifie l’algorithme de hachage utilisé (NTLM, MD5, bcrypt, etc.).
- Il déchiffre enfin le mot de passe en testant des millions de combinaisons.
Avec John the Ripper, le pentester peut mener différents types d’attaques par force brute : simple, incrémentale, par dictionnaire, hybride, Markov, etc.
Hydra
Comme John the Ripper, Hydra (ou THC-Hydra) est un logiciel open source conçu pour mener des attaques par force brute. L’outil se distingue par sa polyvalence puisqu’il prend en charge divers protocoles comme HTTP, MySQL, RDP ou encore SSH. Des millions de professionnels de la cybersécurité l’utilisent pour renforcer la sécurité des réseaux.
Hydra propose une interface simple à manipuler. Le pentester orchestre rapidement des attaques via les lignes de commande.
Hydra suit plusieurs étapes pour casser les mots de passe :
- Il sélectionne d’abord le protocole (SSH, FTP, HTTP, etc.).
- Il s’appuie ensuite sur un dictionnaire contenant les mots de passe courants pour augmenter les chances de réussite.
- Il mène enfin des attaques parallèles pour accélérer le processus.
Notons que Hydra est compatible avec toutes les plateformes majeures (Solaris, Windows, Linux, MacOS, etc.). Il est même possible de le déployer via Docker.
Hashcat
Hashcat est l’un des outils de craquage de mots de passe les plus polyvalents du marché. Il prend en charge cinq modes d’attaque par force brute : dictionnaire, force brute, hybride, association et combinatoire.
Il supporte plus de 300 algorithmes de hachage et peut déchiffrer plusieurs hachages simultanément. Cela va des classiques comme MD5 aux plus robustes tels que PBKDF2.
Hashcat est compatible avec tous les systèmes et profite pleinement des accélérateurs matériels comme le GPU et le CPU. Plus la carte graphique est performante, plus le logiciel gagne en rapidité. Les utilisateurs novices peuvent s’appuyer sur son forum très actif en cas de difficulté.
Hashcat utilise des lignes de commande faciles à comprendre. Si un pentester suspecte, par exemple, l’utilisation d’années de naissance dans les authentifications, il peut entrer la commande suivante :
hashcat -a 6 -m 0 hash.txt rockyou.txt ?d?d?d?d
Ici, le logiciel compare chaque hachage avec les dates du fichier rockyou.txt.
AirCrack-ng
AirCrack-ng est une référence dans l’audit de sécurité Wi-Fi. L’outil est surtout destiné à tester la sécurité des réseaux grâce à des simulations d’attaques. AirCrack-ng exige un système d’exploitation Linux pour son installation (Kali Linux ou Ubuntu).
Pour tester la sécurité d’un réseau Wi-Fi, le logiciel commence par capturer les paquets de données. Lorsqu’il dispose de suffisamment de paquets, il passe au déchiffrement des clés WEP et WPA par force brute. Mais ce n’est là qu’un aperçu de ce que AirCrack peut faire. Il excelle aussi dans l’analyse du trafic et l’exploitation des vulnérabilités.
Burp Suite
Burp Suite est avant tout un scanner de vulnérabilités destiné aux tests d’intrusion des applications web. L’outil est développé par PortSwigger, une référence dans le monde de la cybersécurité. Les pentesters apprécient la rapidité de Burp pour détecter un large éventail de vulnérabilités sur leurs cibles, comme les attaques HTTP ou l’inversion de répertoire.
Ce proxy web propose plusieurs fonctionnalités, dont le forçage de mots de passe par force brute. Il mène une attaque par dictionnaire pour trouver la bonne combinaison de caractères.
Burp Suite est un logiciel payant dans sa version professionnelle. Sa version Community Edition, gratuite, permet néanmoins de mener un test complet de vulnérabilités.
Burp Suite fonctionne par modules. La plupart sont embarqués par défaut, mais certains sont proposés sous forme d’extensions téléchargeables séparément.
C’est là que réside la force du logiciel : sa communauté très active développe régulièrement de nouvelles extensions.
Gobuster
Gobuster est à la pointe lorsqu’il s’agit de forcer les sous-domaines DNS, les répertoires et fichiers d’un site web ou encore les serveurs TFTP. Optimisé en langage Go, cet outil fait partie des plus rapides du marché pour le forçage de DNS et d’annuaires.
Gobuster est aussi préinstallé dans Kali Linux, ce qui facilite son exécution rapide. Il ne propose pas d’interface graphique : l’utilisateur doit tout saisir dans la commande. Pour un aperçu des possibilités du logiciel, il suffit d’entrer la commande gobuster -h.
Gobuster autorise également la personnalisation des options comme la liste de mots, la méthode HTTP ou la configuration du proxy. Notons qu’il bénéficie de mises à jour régulières. Récemment, il a par exemple intégré la prise en charge de TLS 1.0 et 1.1.
Les professionnels l’utilisent surtout pour identifier des sous-domaines, des répertoires cachés ou encore des hôtes virtuels.
