Comment les mots de passe sont-ils compromis ?
Comprendre la réutilisation d’identifiants, les tentatives en ligne et le craquage hors ligne des mots de passe.
En bref
Les attaquants peuvent réutiliser des identifiants issus de fuites, deviner des motifs fréquents ou tester des candidats sur des vérificateurs de mots de passe volés. La méthode dépend de la cible : connexion en direct ou données de vérification obtenues.
Réutilisation d’identifiants
Le credential stuffing consiste à essayer sur d’autres services des couples nom d’utilisateur et mot de passe exposés lors d’une fuite. Un mot de passe unique par compte empêche qu’un mot de passe divulgué donne accès à d’autres comptes. (OWASP, Authentication Cheat Sheet)
Tentatives en ligne et craquage hors ligne
Les tentatives en ligne passent par le service, qui peut les limiter ou les détecter. Hors ligne, un attaquant disposant de vérificateurs volés peut tester des candidats sans contacter le service. Un hachage de mot de passe salé et volontairement coûteux augmente le coût de chaque essai. (NIST SP 800-63B-4) (OWASP, Password Storage Cheat Sheet)
Comment protéger ses comptes ?
Utilisez des mots de passe uniques, activez l’authentification multifacteur, installez les mises à jour et changez un mot de passe lorsqu’un service signale une fuite. Un mot de passe d’apparence complexe ne doit pas être réutilisé. (NIST SP 800-63B-4)
Découvrir les outils
Parcourir les outils gratuits ou lire nos principes de confidentialité.