hello
appréciant la linuxie, l'unixie (et pas que) et le monde informatique/réseaux en général, j'admets sécher un peu en cybersécurité/défense.
on m'a récemment transmis de manière un peu surprenante une ligne, nominative, me concernant, pour me prévenir d'être parmis les "pownés" du site éponyme, qu'on m'avait fait découvrir il y a un ou deux ans, lors de la grande vagues de fuites.
ce dernier ne donnant aucune autre info que "votre adresse mail a été trouvée", un tiers m'a fait part de davantage d'infos :
prestataire.txt:moi@email.com:a4a9d969bc4b2b144783d71368d4a4be55995397
je reconnais évidemment le prestataire de services (qui ne fournit pas de mail) auquel mon adresse est rattachée. Cependant, la chaine suivant, je m'interroge :
ayant pu recevoir une telle information, ce sont sans doute des milliers (des millions?) dans de tels cas.
à part l'adresse email, la longue chaine de caractères semble etre un mdp chiffré. N'y connaissant rien : est ce que celui ci est fort? a t-il déjà été déchiffré?
je vous vois déjà venir : changes ton mdp!! fissa !!
argument caduque : je l'ai déjà fait plusieurs fois l'année passée, meme après réception de ce courriel (mémoire, quand tu nous tiens), ce pourquoi, le second argument :
mais $ù!:, quel est le mdp qu'ils ont piraté?
j'imagine que cela vient d'une fuite, et j'ai aucune idée des risques associés
j'ai fait une petite recherche, à priori il existe certaines formes de chiffrement faibles qui auraient été utilisées et seraient facilement déchiffrables.
Cependant! aucune idée ici.. les experts peuvent-ils m'apporter leurs lumières?
je vous remercie :)
ps: je n'ai pas utilisé le mot "décr**té" ;-)
# dommage :)
Posté par fearan . Évalué à 4.
Justement pour décoder une chaîne sans la clé c'est bien décrypter qu'il faut utiliser, déchiffrer c'est avec la clé ;) Dans le cas d'un hash comme c'est souvent le cas avec les mots de passe, on cherche plutôt des correspondance pouvant donner la même chaîne.
Pour le reste le site indiquant qu'on a été aspiré quelque part devrait donner les dates des fuites.
j'imagine que cela vient d'une fuite, et j'ai aucune idée des risques associés
ça dépend du type de compte; si c'était un compte utilisateur sur une machine accessible via internet, une sauvegarde des donnés et une réinstallation complète est de mise. Si c'est un compte utilisateur sur un forum de discussion comme linuxfr, à toi de voir quels dommage ça pourrait avoir si un jean kevin se met à poster des conneries. (Perso j'ai un mot de passe faible pour linuxfr, j'estime qu'une usurpation n'aura que peu d'impacts.)
Si c'est l'un de tes comptes mails principal, (ie celui qui reçoit les demande de réinitialisation de mot de passe)
si c'est un de tes comptes de courriel normal, ben la même chose en fait.
si c'est une boite à spam, amuse toi ;)
Et enfin si le mot de passe était utilisé ailleurs sur un autre compte, change le aussi.
Il ne faut pas décorner les boeufs avant d'avoir semé le vent
# Toi-même tu sais
Posté par 🚲 Tanguy Ortolo (site web personnel) . Évalué à 4.
Plutôt haché, je dirais. De fait, ça ressemble fort à une somme de contrôle SHA-1.
Ça, c'est toi qui peux le savoir : c'était à une époque ton mot de passe chez le prestataire en question.
On ne déchiffre pas un hachage. On ne le décrypte pas davantage. En revanche, on peut en calculer une pré-image, qui est un mot de passe valide, très certainement le tien, parce que les collisions sont quand même assez rares, surtout pour rentrer dans une taille raisonnable pour un mot de passe.
Encore une fois, quand on cherche à permettre aux gens de s'authentifier, on ne chiffre pas leurs mots de passes pour les stocker. On calcule des sommes de contrôle, en ajoutant un grain de sel – ce que le prestataire en question n'avait visiblement pas fait – et on stocke ces hachages. Il y a des hachages notoirement troués, notamment MD5, et SHA-1 dans une moindre mesure.
[^] # Re: Toi-même tu sais
Posté par aiolos . Évalué à 4.
Juste pour pinailler, l'ensemble des images étant fini, alors que l'ensemble de départ est infini, des collisions, il y en a une infinité ;)
[^] # Re: Toi-même tu sais
Posté par flan (site web personnel) . Évalué à 4.
Non : il a bien précisé qu’on parlait de mots de passe, donc avec un énorme sous-entendu qu’ils ont une taille finie (et que le nombre de personnes ayant des mots de passe démesurés est lui-même fini) et relativement faible.
[^] # Re: Toi-même tu sais
Posté par Mikis . Évalué à 3.
Sauf si je passe à côté d'une évidence, le prestataire a pu utiliser l'adresse courriel comme sel.
[^] # Re: Toi-même tu sais
Posté par gUI (Mastodon) . Évalué à 4. Dernière modification le 19 janvier 2023 à 14:53.
Ça ne rajouterai qu'un bit d'entropie (salé ou pas, donc on multiplie par deux le nombre de calculs), donc ce serait en gros inutile. Si on ne connaît pas le sel les possibilités sont bien plus grandes, pour ne pas dire infinies.
EDIT : Ah si, ça évite surtout l'utilisation de tables de hachage pré-calculées sur les mots de passes le plus courants, donc oui, c'est pas inutile du tout.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
# mot de passe faible
Posté par octane . Évalué à 3.
Alors est-il chiffré? La réponse est non. Il est haché.
Est-ce que celui-ci est fort? Non, il s'agit d'un hash de type SHA1 qui se bruteforce très bien. Est-ce que ton prestataire a enrobé le hachage avec un sel? non plus, donc le prestataire est plutôt mauvais.
A t-il déjà été déchiffré? Oui, il s'agit même de "clearmind". (je le donne ici, il m'a fallu moins d'une seconde pour le casser, donc donner ton hash ou ton clair, c'est la même chose).
cf ci-dessus
alors non, il existe certaines formes de hachage (sans sel, sans itérations) qui sont un peu faible face à une recherche par force brute. Ton mot de passe étant un mot anglais, il a fallu un temps très court pour parcourir tout le dico, calculer les sha1 et les comparer à a4a9d969bc4b2b144783d71368d4a4be55995397
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.