Qu'est-ce qu'une attaque par force brute ?

Les attaques par force brute peuvent prendre plusieurs formes. Les attaques par force brute simples consistent à essayer systématiquement toutes les combinaisons possibles de chiffres ou de caractères jusqu'à ce que la bonne soit trouvée. Cette méthode peut prendre du temps et nécessiter beaucoup de ressources, en particulier pour les mots de passe ou les phrases de passe plus longs ou plus complexes.

Une technique plus ciblée est l’ attaque par dictionnaire, qui s’appuie sur une liste prédéfinie de mots de passe ou de phrases possibles. Au lieu d’essayer toutes les combinaisons possibles de chiffres ou de caractères comme dans une attaque par force brute traditionnelle, l’attaquant essaie systématiquement chaque mot ou phrase dans un dictionnaire jusqu’à ce que le bon soit identifié. Bien que les attaques par dictionnaire soient plus rapides que les simples attaques par force brute, elles sont néanmoins susceptibles d'échouer si le mot de passe est suffisamment complexe, utilise des caractères spéciaux ou n'est pas inclus dans le dictionnaire utilisé. De plus, l’utilisation d’une attaque par dictionnaire sur la même invite de connexion déclenchera rapidement des contrôles de limitation du débit et de verrouillage du compte.

Les attaques par force brute hybrides combinent des éléments d'attaques par dictionnaire et d'attaques par force brute simples. Dans une attaque hybride, l'attaquant utilisera un ensemble de caractères aléatoires comme dans une attaque par force brute traditionnelle, ainsi qu'une liste de mots et d'expressions courants comme dans une attaque par dictionnaire. Cette approche hybride augmente les chances de succès en exploitant à la fois les mots de passe courants du dictionnaire et des combinaisons de caractères moins prévisibles.

Une autre forme d’attaque est l’ attaque par force brute inversée. Au lieu d’essayer une succession de mots de passe différents pour un compte spécifique, les attaquants appliquent des mots de passe spécifiques qu’ils pensent être couramment utilisés (tels que « motdepasse1234 ») contre un grand nombre de noms d’utilisateur de compte. Cette méthode repose sur l’hypothèse qu’au moins certains des comptes ciblés utilisent le mot de passe choisi et est moins susceptible de déclencher des mesures d’atténuation en fonction du nombre de tentatives de connexion infructueuses.

Alors que bourrage d'informations d'identification n'est généralement pas considéré comme une forme d'attaque par force brute (l'attaquant dispose déjà d'une liste connue de noms d'utilisateur et de mots de passe), il partage l'objectif d'obtenir un accès non autorisé aux comptes, souvent suivi d' une prise de contrôle de compte (ATO) et d'une fraude. Le bourrage d'informations d'identification s'appuie sur des scripts ou des outils automatisés pour appliquer rapidement de grands ensembles d'informations d'identification compromises, telles que des combinaisons nom d'utilisateur/mot de passe obtenues à partir de violations de données antérieures ou du dark web, sur divers formulaires de connexion en ligne. Bien que le bourrage d'informations d'identification n'implique pas le test exhaustif de toutes les combinaisons possibles comme les attaques par force brute, il s'agit toujours d'une méthode automatisée pour tenter un accès non autorisé, ce qui en fait une menace de sécurité importante. Les deux types d’attaques sont considérés comme les principaux risques dans les projets OWASP Top 10 et OWASP Automated Threats .

Une authentification faible ou rompue est un autre moyen d’entrée pour les attaquants par force brute. Certains systèmes d’authentification n’implémentent pas de mécanismes de verrouillage ou de limitation, qui limitent le nombre de tentatives de connexion sur une certaine période. Sans ces mesures de protection, les attaquants peuvent tenter à plusieurs reprises de deviner les mots de passe sans aucune restriction, augmentant ainsi la probabilité d’une attaque par force brute réussie.

Les attaques par force brute peuvent également être utilisées pour deviner les identifiants de session ou exploiter les faiblesses des mécanismes de gestion de session pour acquérir ou détourner des identifiants de session valides. Une fois qu’un attaquant obtient un identifiant de session valide, il peut l’utiliser pour se faire passer pour l’utilisateur authentifié et obtenir un accès non autorisé aux ressources protégées.

Les motivations qui poussent les pirates à se lancer dans des attaques par force brute peuvent varier considérablement, mais elles impliquent généralement l’obtention d’un accès non autorisé à des systèmes, des réseaux ou des comptes à des fins malveillantes.

Certains motifs courants incluent le gain monétaire, par exemple lorsque les attaquants cherchent à voler des informations financières, telles que des numéros de carte de crédit ou des informations bancaires, pour commettre une fraude ou un vol. Ils peuvent également cibler l’accès à des informations personnelles identifiables (PII), à la propriété intellectuelle ou à des données commerciales confidentielles, qui peuvent être vendues. Les attaquants peuvent également accéder à des comptes personnels pour se faire passer pour des individus et se livrer à des activités frauduleuses.

Les criminels peuvent également détourner des systèmes pour d’autres formes de comportement malveillant, comme l’organisation d’un botnet, qui est un réseau d’appareils sous le contrôle d’un attaquant qui coordonne ces multiples sources et lance des attaques par déni de service distribué (DDoS).

L'accès non autorisé aux systèmes et aux comptes via des attaques par force brute peut également propager des logiciels malveillants ou des logiciels espions, ou cibler des sites Web avec des attaques qui les infestent de textes et d'images obscènes ou offensants, menaçant ainsi la réputation d'une entreprise ou d'un site Web. Les pirates informatiques peuvent également utiliser des attaques par force brute pour exploiter les publicités ou les données d'activité, en utilisant un accès non autorisé pour placer des publicités de spam sur des sites Web afin d'obtenir des commissions publicitaires ou de rediriger le trafic d'un site Web prévu vers un site malveillant pour voler des informations d'identification ou frauder les utilisateurs. 

Le projet OWASP (Open Worldwide Application Security Project) Automated Threats to Web Applications identifie les attaques par force brute comme un type d' attaque de piratage d'informations d'identification (OAT-007) . F5 propose des solutions pour répondre à de nombreux risques automatisés de l'OWASP. F5 Distributed Cloud Bot Defense dissuade les robots et l'automatisation malveillante pour empêcher l'ATO et la fraude et les abus qui en résultent et qui peuvent contourner les solutions de gestion des robots existantes. Distributed Cloud Bot Defense fournit une surveillance et des renseignements en temps réel ainsi qu'une analyse rétrospective basée sur le ML pour protéger les organisations contre les attaques automatisées, y compris celles qui utilisent des techniques de force brute.

Les solutions F5 Web Application Firewall (WAF) bloquent et atténuent également un large éventail de risques identifiés par l'OWASP. Les solutions F5 WAF combinent des protections de signature et comportementales, y compris des renseignements sur les menaces de F5 Labs et une sécurité basée sur le ML, pour suivre le rythme des menaces émergentes. Pour éviter les attaques par force brute, WAF suit le nombre de tentatives infructueuses pour atteindre les URL de connexion configurées. Lorsque des modèles de force brute sont détectés, la politique WAF les considère comme une attaque si le taux d'échec de connexion a augmenté de manière significative ou si les échecs de connexion ont atteint un seuil maximal.

Les solutions F5 WAF s'intègrent aux solutions de défense contre les bots F5 pour fournir une atténuation robuste des principaux risques de sécurité, notamment les exploits de vulnérabilité et les attaques par force brute automatisées.