Qu’est-ce qu’une attaque par force brute ?

Une attaque par force brute consiste à tenter de découvrir un mot de passe en essayant systématiquement différentes combinaisons de lettres, de chiffres et de symboles afin de contourner les contrôles d’authentification et d’autorisation, souvent à l’aide d’un dictionnaire de mots et de techniques telles que la pulvérisation de mots de passe.

Le principe des attaques par force brute, également appelées cassage de mots de passe, est très simple : essayer toutes les combinaisons de mots de passe possibles. Par exemple, si vous utilisez un code PIN à quatre chiffres comme mot de passe (code d’accès), vous finirez par trouver le bon en testant les 10 000 combinaisons allant de « 0000 » à « 9999 ». Il serait difficile pour une personne de les essayer manuellement, mais les outils automatisés permettent de le faire sans effort. À raison d’une tentative par seconde, il faut au maximum 10 000 secondes (environ 2 heures et 47 minutes) pour trouver le mot de passe. Bien que les attaques par force brute ne soient pas une forme particulièrement sophistiquée de cyberattaque, elles perdurent en raison de leur efficacité contre les mots de passe faibles et les systèmes mal sécurisés, mais aussi parce que les boîtes à outils automatisées rendent leur déploiement à grande échelle et leur exécution économiquement intéressants pour les attaquants.

Types d’attaques par force brute

Les attaques par force brute peuvent prendre plusieurs formes. Les attaques simples par force brute consistent à essayer systématiquement toutes les combinaisons possibles de chiffres ou de caractères jusqu’à trouver la bonne. Cette méthode peut être longue et gourmande en ressources, en particulier pour les mots de passe ou phrases secrètes plus longs ou plus complexes.

Une technique plus ciblée est l’attaque par dictionnaire, qui repose sur une liste prédéfinie de mots de passe ou de phrases possibles. Au lieu d’essayer toutes les combinaisons possibles de chiffres ou de caractères, comme dans une attaque par force brute classique, l’attaquant teste méthodiquement chaque mot ou phrase d’un dictionnaire jusqu’à trouver le bon. Bien que les attaques par dictionnaire soient plus rapides que les attaques simples par force brute, elles peuvent néanmoins échouer si le mot de passe est suffisamment complexe, contient des caractères spéciaux ou ne figure pas dans le dictionnaire utilisé. En outre, le recours à une attaque par dictionnaire sur une même invite de connexion déclenchera rapidement les mécanismes de limitation du nombre de tentatives et de verrouillage du compte.

Les attaques hybrides par force brute combinent des éléments des attaques par dictionnaire et des attaques simples par force brute. Dans une attaque hybride, l’attaquant utilise à la fois un ensemble de caractères aléatoires, comme dans une attaque traditionnelle par force brute, et une liste de mots et d’expressions courants, comme dans une attaque par dictionnaire. Cette approche hybride augmente les chances de réussite en exploitant aussi bien les mots de passe courants issus du dictionnaire que des combinaisons de caractères moins prévisibles.

Une autre forme d’attaque est l’attaque par force brute inversée. Au lieu d’essayer successivement différents mots de passe pour un compte donné, les attaquants testent des mots de passe spécifiques qu’ils pensent être couramment utilisés (comme « password1234 ») sur un grand nombre de noms d’utilisateur. Cette méthode repose sur l’hypothèse qu’au moins certains des comptes ciblés utilisent le mot de passe choisi et est moins susceptible de déclencher des mesures de protection fondées sur le nombre de tentatives de connexion infructueuses.

Bien que le credential stuffing ne soit généralement pas considéré comme une forme d’attaque par force brute (l’attaquant dispose déjà d’une liste connue de noms d’utilisateur et de mots de passe), il poursuit le même objectif : obtenir un accès non autorisé à des comptes, souvent suivi d’une prise de contrôle de compte (ATO) et d’une fraude. Le credential stuffing s’appuie sur des scripts ou des outils automatisés pour tester rapidement de grands ensembles d’identifiants compromis, tels que des combinaisons nom d’utilisateur/mot de passe provenant de précédentes violations de données ou du dark web, sur divers formulaires de connexion en ligne. Bien qu’il ne consiste pas à tester de manière exhaustive toutes les combinaisons possibles comme les attaques par force brute, le credential stuffing reste une méthode automatisée visant à obtenir un accès non autorisé, ce qui en fait une menace importante pour la sécurité. Ces deux types d’attaques figurent parmi les principaux risques recensés dans les projets OWASP Top 10 et OWASP Automated Threats.

Une authentification faible ou défaillante constitue un autre point d’entrée pour les auteurs d’attaques par force brute. Certains systèmes d’authentification ne disposent pas de mécanismes de verrouillage ou de limitation du débit permettant de restreindre le nombre de tentatives de connexion sur une période donnée. En l’absence de ces mesures de protection, les attaquants peuvent tenter de deviner les mots de passe de manière répétée et sans aucune restriction, ce qui augmente les chances de réussite d’une attaque par force brute.

Les attaques par force brute peuvent également être utilisées pour deviner des identifiants de session ou exploiter les faiblesses des mécanismes de gestion des sessions afin d’obtenir ou de détourner des identifiants de session valides. Une fois en possession d’un identifiant de session valide, un attaquant peut l’utiliser pour usurper l’identité de l’utilisateur authentifié et accéder sans autorisation à des ressources protégées.

Les motivations derrière les attaques par force brute

Les motivations qui poussent les pirates informatiques à mener des attaques par force brute peuvent être très diverses, mais elles consistent généralement à obtenir un accès non autorisé à des systèmes, des réseaux ou des comptes à des fins malveillantes.

Parmi les motivations courantes figure l’appât du gain : les attaquants peuvent chercher à dérober des informations financières, telles que des numéros de carte bancaire ou des identifiants bancaires, afin de commettre une fraude ou un vol. Ils peuvent également chercher à accéder à des informations personnelles identifiables (PII), à des éléments de propriété intellectuelle ou à des données commerciales confidentielles susceptibles d’être revendus. Les attaquants peuvent aussi accéder à des comptes personnels afin d’usurper l’identité de leurs titulaires et de se livrer à des activités frauduleuses.

Les cybercriminels peuvent également détourner des systèmes à d’autres fins malveillantes, par exemple pour constituer un botnet, c’est-à-dire un réseau d’appareils sous le contrôle d’un attaquant qui coordonne ces multiples sources et lance des attaques par déni de service distribué (DDoS).

L’accès non autorisé à des systèmes et à des comptes au moyen d’attaques par force brute peut également servir à propager des logiciels malveillants ou espions, ou à cibler des sites web en les infestant de textes et d’images obscènes ou choquants, menaçant ainsi la réputation d’une entreprise ou d’un site web. Les pirates peuvent également recourir à des attaques par force brute pour exploiter des publicités ou des données d’activité. Grâce à un accès non autorisé, ils peuvent placer des publicités indésirables sur des sites web afin de percevoir des commissions publicitaires, ou rediriger le trafic d’un site web légitime vers un site malveillant dans le but de dérober des identifiants ou d’escroquer les utilisateurs.

Comment prévenir les attaques par force brute

Il existe plusieurs moyens de réduire le risque d’attaques par force brute. La mise en œuvre de plusieurs des mesures suivantes compliquera la tâche des attaquants qui tentent de deviner des mots de passe ou d’obtenir un accès non autorisé en multipliant les tentatives de connexion. Ces mesures comprennent :

• Utiliser des mots de passe robustes et complexes. Les mots de passe robustes constituent la première ligne de défense contre les accès non autorisés aux systèmes et aux données. Une politique de mots de passe bien définie permet de s’assurer que les utilisateurs créent et conservent des mots de passe sécurisés, comprenant une combinaison de lettres majuscules et minuscules, de chiffres et de caractères spéciaux. Face à des outils de piratage de mots de passe toujours plus sophistiqués, les phrases de passe longues offrent désormais une protection bien supérieure à celle des mots de passe simples. Les politiques doivent interdire la réutilisation des mots de passe, qui constitue l’une des principales causes des attaques par bourrage d’identifiants et des prises de contrôle de comptes.
• Utiliser l’authentification multifacteur (MFA). En plus de saisir un nom d’utilisateur et un mot de passe ou une phrase secrète, l’utilisateur doit fournir des facteurs d’authentification supplémentaires pour accéder à une application, une ressource, un compte en ligne ou un autre service. En pratique, cela consiste souvent à saisir sur un smartphone ou dans un navigateur un code à usage unique reçu par e-mail ou SMS, ou à fournir des données biométriques, telles qu’une empreinte digitale ou une reconnaissance faciale.
  
• Mise en œuvre de politiques de verrouillage des comptes. Après un certain nombre de tentatives de connexion infructueuses, verrouillez les comptes utilisateurs pendant une durée déterminée ou jusqu’à ce qu’un administrateur les déverrouille manuellement. Cela empêche les attaquants de tenter à plusieurs reprises de deviner les mots de passe. La limitation du débit peut également être utilisée pour restreindre le nombre de demandes de connexion provenant d’une même adresse IP ou d’un même compte utilisateur au cours d’une période donnée.
  
• Chiffrement des données sensibles. Le chiffrement des données sensibles au repos et en transit garantit que, même si des attaquants accèdent à un système sans autorisation, ils ne peuvent pas lire les données sans la clé de chiffrement. Les attaques par force brute sont ainsi moins efficaces, car les attaquants auraient besoin de la clé de chiffrement pour déchiffrer les données.
  
• Maintenir les logiciels à jour. Veillez à ce que tous les logiciels, notamment les systèmes d’exploitation, les serveurs web et les applications, fassent régulièrement l’objet de correctifs et de mises à jour afin de remédier aux vulnérabilités de sécurité susceptibles d’être exploitées par des attaquants.
  
• Déployer des solutions de gestion des bots et des pare-feu d’applications web. Le déploiement de solutions qui contrent les attaques automatisées permet de protéger les logiques métier critiques contre les abus, notamment les attaques par force brute.

Comment F5 gère-t-il les attaques par force brute ?

L’OWASP (Open Worldwide Application Security Project) Projet sur les menaces automatisées visant les applications web considère les attaques par force brute comme un type d’attaque visant à déchiffrer des identifiants (OAT-007). F5 propose des solutions permettant de contrer de nombreux risques automatisés recensés par l’OWASP.F5 Distributed Cloud Bot Defense neutralise les bots et les automatisations malveillantes afin d’empêcher les prises de contrôle de comptes (ATO), ainsi que les fraudes et abus qui en résultent et qui peuvent contourner les solutions existantes de gestion des bots. Distributed Cloud Bot Defense assure une surveillance et fournit des renseignements en temps réel, ainsi qu’une analyse rétrospective basée sur le machine learning, afin de protéger les organisations contre les attaques automatisées, notamment celles qui emploient des techniques de force brute.

Solutions F5 Web Application Firewall (WAF) bloquent et atténuent également un large éventail de risques identifiés par l’OWASP. Les solutions WAF de F5 combinent des protections basées sur les signatures et les comportements, notamment les renseignements sur les menaces de F5 Labs et une sécurité fondée sur le machine learning, afin de suivre l’évolution des menaces émergentes. Pour prévenir les attaques par force brute, le WAF comptabilise le nombre de tentatives infructueuses d’accès aux URL de connexion configurées. Lorsque des schémas d’attaque par force brute sont détectés, la politique WAF les considère comme une attaque si le taux d’échecs de connexion a augmenté de manière significative ou si le nombre maximal d’échecs de connexion a été atteint.

Les solutions WAF de F5 s’intègrent aux solutions de défense contre les bots de F5 afin d’assurer une protection robuste contre les principaux risques de sécurité, notamment l’exploitation des vulnérabilités et les attaques automatisées par force brute.