Comment les pirates craquer des mots de passe

Mot de passe fissuration est l'un des hacks les plus agréables pour les méchants. Il alimente leur sens de l'exploration et le désir de comprendre un problème. Un pirate peut utiliser des méthodes de basse technologie pour casser les mots de passe. Ces méthodes comprennent l'utilisation de techniques d'ingénierie sociale, l'épaule surf, et tout simplement deviner les mots de passe à partir des informations qu'il sait à propos de l'utilisateur.

Ingénierie sociale

La méthode bas-tech le plus populaire pour la collecte de mots de passe est ingénierie sociale. L'ingénierie sociale profite de la nature confiante d'êtres humains pour obtenir des informations qui peuvent ensuite être utilisé malicieusement. Une technique d'ingénierie sociale commune est simplement de con les gens à divulguer leurs mots de passe. Cela semble ridicule, mais il arrive tout le temps.

Techniques

Pour obtenir un mot de passe grâce à l'ingénierie sociale, vous venez de le demander. Par exemple, vous pouvez simplement appeler un utilisateur et lui dire qu'il a des e-mails importants prospectifs coincés dans la file d'attente du courrier, et vous avez besoin de son mot de passe pour vous connecter et libérer les. Cela est souvent comment les pirates et les initiés voyous tentent d'obtenir l'information!

Une faiblesse commune qui peut faciliter cette ingénierie sociale est quand les noms des agents, les numéros de téléphone et adresses e-mail sont affichés sur vos sites Web d'entreprise. Sites de médias sociaux tels que LinkedIn, Facebook et Twitter peuvent également être utilisés contre une entreprise parce que ces sites peuvent révéler les noms des employés et les coordonnées.

Contre-mesures

La sensibilisation des utilisateurs et de la formation de sécurité cohérente ya de grandes défenses contre l'ingénierie sociale. Les outils de sécurité sont un bon fail-safe si elles surveillent de tels e-mails et la navigation Web au niveau de l'hôte, le périmètre du réseau, ou dans le nuage.

Former les utilisateurs à repérer les attaques et de réagir efficacement. Leur meilleure réponse est de ne pas donner d'informations et à alerter le responsable de la sécurité de l'information appropriée dans l'organisation pour voir si l'enquête est légitime et si une réponse est nécessaire. Oh, et de prendre ce répertoire du personnel hors votre site ou au moins l'enlever l'information des membres du personnel.

Épaule surf

Épaule surf (l'acte de regarder par-dessus l'épaule de quelqu'un pour voir ce que la personne est de taper) est une, low-tech de passe bidouille efficace.

Techniques

Pour monter cette attaque, les méchants doivent être près de leurs victimes et ne pas regarder évident. Ils recueillent tout simplement le mot de passe en regardant soit clavier ou de l'écran de l'utilisateur lorsque les journaux de personne en.

Un attaquant disposant d'un bon oeil pourrait même regarder si l'utilisateur est regardant autour de son bureau soit pour un rappel de mot de passe ou le mot de passe lui-même. Les caméras de sécurité ou d'une webcam peuvent même être utilisés pour de telles attaques. Des magasins et des avions de café fournissent les scénarios idéales pour le surf épaule.

Vous pouvez essayer de vous épaule surf. Il suffit de marcher autour du bureau et effectuer des vérifications aléatoires. Aller aux bureaux des utilisateurs et leur demander de se connecter à leurs ordinateurs, le réseau, ou même leurs applications e-mail. Il suffit de ne pas leur dire ce que vous faites à l'avance, ou ils pourraient tenter de dissimuler ce qu'ils tapant ou où ils sont à la recherche de leur mot de passe. Juste être prudent faire et respecter la vie privée d'autres personnes.

Contre-mesures

Encourager les utilisateurs à être conscients de leur environnement et de ne pas entrer leurs mots de passe lorsqu'ils soupçonnent que quelqu'un regarde par-dessus leurs épaules. Demandez aux utilisateurs que si elles soupçonnent que quelqu'un regarde par-dessus leurs épaules pendant qu'ils se connecter, ils devraient demander poliment à la personne de détourner le regard ou, le cas échéant, lancer une épithète appropriée pour montrer le délinquant que l'utilisateur est grave.

Il est souvent plus facile de simplement se pencher dans la ligne de mire de l'internaute à l'épaule pour les empêcher de voir toute la dactylographie et / ou l'écran d'ordinateur. 3M Filtres de confidentialité fonctionnent très bien aussi.

Inference

Inference est tout simplement deviner les mots de passe à partir des informations que vous connaissez sur les utilisateurs - tels que leur date de naissance, émission de télévision préférée, ou numéros de téléphone. Cela peut paraître idiot, mais les criminels déterminent souvent les mots de passe de leurs victimes en les devinant tout simplement!

La meilleure défense contre une attaque d'inférence est d'éduquer les utilisateurs sur la création de mots de passe sécurisés qui ne contiennent pas d'informations qui peut être associé avec eux. En dehors de certains filtres de complexité du mot de passe, il est souvent difficile de faire respecter cette pratique avec des contrôles techniques. Donc, vous avez besoin d'une politique de sécurité de son et une sensibilisation continue de la sécurité et de la formation pour rappeler aux utilisateurs de l'importance de la création de mot de passe sécurisé.

Authentification faible

Attaquants externes et internes malveillants peuvent obtenir - ou tout simplement éviter d'avoir à utiliser -. Mots de passe en profitant des systèmes d'exploitation plus anciens ou non garantis qui ne nécessitent pas de mots de passe pour vous connecter en va de même pour un téléphone ou une tablette qui ne soit pas configuré pour utiliser les mots de passe.

Contourner l'authentification

Sur les systèmes d'exploitation plus anciens qui incitent un mot de passe, vous pouvez appuyer sur Echap du clavier pour obtenir le droit à. Bon, il est difficile de trouver de Windows 9X systèmes ces jours, mais la même chose pour n'importe quel système d'exploitation - ancien ou nouveau - qui est configuré pour ignorer l'écran de connexion.

Après vous êtes, vous pouvez trouver d'autres mots de passe stockés dans des endroits tels que les connexions par modem et VPN et économiseurs d'écran. Ces mots de passe peuvent être craquées très facilement en utilisant l'outil et Caïn Password Recovery Système proactive de Elcomsoft Abel. Ces systèmes peuvent servir faibles confiance machines - ce qui signifie que les gens supposent qu'ils sont en sécurité - et offrent de bonnes rampes de lancement pour les attaques de passe basés sur le réseau ainsi.

Contre-mesures

La seule véritable défense contre authentification faible est d'assurer vos systèmes d'exploitation nécessitent un mot de passe au démarrage. Pour éliminer cette vulnérabilité, au moins mise à niveau vers Windows 7 ou 8 ou utiliser les versions les plus récentes de Linux ou un des différents types d'UNIX, y compris Mac OS X.