Avec la multiplication des fuites de données, il est impératif de choisir des mots de passe capables de résister aux attaques de type force brute. Pour aider les internautes à trouver un bon mot de passe, les initiatives se sont multipliées : certains services proposent de générer des mots de passe, d’autres d’analyser un mot de passe avant son utilisation et d’en proposer un qui serait meilleur. Mais Troy Hunt, l'expert en sécurité derrière le site Web "Have I Been Pwned” a choisi une approche différente : faire une base de données des mots de passe qui ont été précédemment compromis.
Dans la première version, qui a été publiée le 3 août, cette base de données comprenait 306 millions de mots de passe pour un poids total de 5,3 Go. Le lendemain, lors d’une mise à jour, le chercheur en a rajouté 14 millions, pour un poids supplémentaire de 250 Mo.
« Les mots de passe Pwned sont des centaines de millions de mots de passe du monde réel exposés aux violations de données. Cette exposition les rend impropres à une utilisation continue, car ils risquent beaucoup plus d'être utilisés pour prendre en charge d'autres comptes. Ils sont consultables en ligne ci-dessous et peuvent être téléchargés pour être utilisés dans un autre système en ligne », a expliqué Hunt.
« La réutilisation de mots de passe est normale. Elle s’avère extrêmement risquée, mais elle est répandue parce qu’elle est facile et que les gens ne perçoivent pas l'impact potentiel. Les attaques telles que le remplissage des informations d'identification profitent des informations réutilisées en automatisant les tentatives de connexion contre les systèmes utilisant des paires courriels connus et mots de passe », a-t-il reconnu.
Aussi, dans un billet, il a déclaré « J'invite des gens plus compétents en technologie à utiliser ce service pour démontrer un argument à des amis, des parents et des collègues : “vous voyez, ce mot de passe a été violé auparavant, ne l'utilisez pas ! “ ». Et de continuer en disant que « S'il y a une chose que j'ai apprise au cours des années passées à faire tourner ce service, c'est que rien n'a autant d'effet que de voir ses propres données compromises. »
D’où est-ce que ces mots de passe proviennent ?
Hunt déclare que « J'ai regroupé ces mots de passe de différentes sources, en commençant par les énormes listes sur lesquelles j'ai écrit au mois de mai. Celles-ci contiennent toutes les sortes d’exemples de mots de passe terribles auxquels vous pouvez vous attendre dans le monde réel et vous pouvez lire une analyse dans la publication de BinaryEdge sur la façon dont les utilisateurs choisissent leurs mots de passe sur Internet. J'ai commencé avec la liste Exploit.in qui a 805 499 391 lignes d'adresse e-mail et des paires de mots de passe en texte brut. En fait, elle avait “seulement” 593 427 119 adresses électroniques uniques, alors, ce que nous voyons ici, c'est un tas de comptes de messagerie comportant plus d'un mot de passe. C'est la réalité de ces listes : elles fournissent souvent plusieurs mots de passe alternatifs différents qui pourraient être utilisés pour entrer dans le seul compte.
« J'ai saisi les mots de passe de la liste Exploit.in qui m'a donné 197 602 390 valeurs uniques. Pensez-y un moment : 75 % des mots de passe dans un ensemble de données ont été utilisés plus d'une fois. Ceci est vraiment important, car cela commence à donner une forme sur l'ampleur du problème auquel nous sommes confrontés.
« Je suis passé à la liste Anti Public qui contenait 562 077 488 lignes avec 457 962 538 adresses électroniques uniques. Cela m'a donné encore 96 684 629 mots de passe uniques qui n’étaient pas dans les données Exploit.in. En y regardant d’une autre perspective, 83 % des mots de passe dans cet ensemble avaient déjà été vus auparavant. Ceci est tout à fait attendu : au fur et à mesure que d'autres données sont ajoutées, une plus petite proportion des mots de passe n'est précédemment pas visible.
« À partir de là, j’ai parcouru une variété d'autres sources de données ajoutant de plus en plus de mots de passe, mais avec un taux de diminution constante de nouveaux apparaissant. J'ajoutais des sources avec des dizaines de millions de mots de passe [...] Lorsque j'ai fini, il y avait 306 259 512 mots-clés Pwned uniques dans l'ensemble. »
Source : billet Troy Hunt, outil
Et vous ?
Que pensez-vous de cette approche ? 
Envoyé par hotcryx
