Attaque par dictionnaire
Une attaque par dictionnaire est une méthode de cassage d’identifiants fréquemment utilisée pour compromettre les systèmes d’authentification en testant systématiquement des listes précompilées de mots de passe potentiels. Également appelée attaque basée sur un dictionnaire, cette technique exploite la tendance des utilisateurs à choisir des mots de passe fondés sur des mots courants, des expressions fréquemment utilisées, des noms propres ou des combinaisons de caractères prévisibles. En outre, les attaquants recourent souvent à des méthodes basées sur des dictionnaires pour recenser automatiquement les adresses e-mail valides destinées à des campagnes de spam.
Contrairement aux attaques par force brute, qui testent de manière exhaustive toutes les combinaisons de caractères possibles (mobilisant ainsi d’importantes ressources informatiques et beaucoup de temps), les attaques par dictionnaire s’appuient sur des listes prédéfinies contenant des mots de passe couramment choisis ou divulgués, ce qui permet des tentatives de compromission plus rapides et moins gourmandes en ressources.
Les dictionnaires et les outils logiciels spécialisés permettant de mener des attaques par dictionnaire sont largement disponibles, aussi bien dans le commerce que gratuitement au sein des ressources de la communauté de la cybersécurité. Ces dictionnaires peuvent contenir de quelques milliers à plusieurs millions d’entrées. Les administrateurs informatiques et les spécialistes de la sécurité utilisent couramment ces outils et dictionnaires de manière proactive — en réalisant des tests de sécurité, des tests d’intrusion et des audits de mots de passe — afin d’évaluer la vulnérabilité de leurs systèmes à ce vecteur d’attaque.
Une technique d’atténuation courante consiste à appliquer des politiques de création de mots de passe qui rejettent automatiquement les identifiants exclusivement dérivés d’entrées de dictionnaire ou de listes de mots de passe prévisibles. Toutefois, des politiques de filtrage par dictionnaire trop restrictives peuvent nuire à l’expérience utilisateur et compliquer le choix de mots de passe conformes. Les professionnels de la sécurité doivent donc trouver un équilibre entre les exigences de complexité des mots de passe et les impératifs pratiques de facilité d’utilisation.
Une autre politique essentielle consiste à éliminer les « comptes Joe » — des comptes utilisateur dont le nom d’utilisateur et le mot de passe sont identiques —, car ils constituent souvent les principales cibles des outils automatisés d’attaque par dictionnaire. Les administrateurs de la sécurité doivent, au minimum, mettre en place des contrôles interdisant la création de comptes Joe et appliquer des règles de complexité des mots de passe afin de réduire les risques de réussite des tentatives visant à deviner les identifiants.
