Brute Force Attack

Définition

L'attaque par force brute (Brute Force Attack) est une méthode d'attaque qui consiste à essayer systématiquement toutes les combinaisons possibles d'un secret (mot de passe, clé de chiffrement, OTP) jusqu'à trouver la bonne. C'est la méthode la plus directe mais aussi la plus lente pour retrouver un secret, son efficacité dépendant entièrement de la complexité du secret cible et de la vitesse d'essai. Les variantes de la force brute incluent : l'attaque par dictionnaire (utiliser des listes de mots communs et de mots de passe connus plutôt que toutes les combinaisons), l'attaque hybride (combiner des mots de dictionnaire avec des règles de mutation — ajout de chiffres, majuscules, substitutions), le credential stuffing (voir entrée dédiée), et la force brute pure (toutes les combinaisons de caractères jusqu'à une longueur donnée). Des outils de brute force réseau (Hydra, Medusa, Ncrack) testent des credentials sur des services réseau (SSH, FTP, HTTP auth, SMB, RDP, SMTP, SNMP). Hydra supporte 50+ protocoles et est très utilisé dans les pentests pour la validation des politiques de mots de passe. Hashcat et John the Ripper effectuent la brute force offline sur des hachages de mots de passe. La vitesse de la force brute dépend du mécanisme : pour un hachage MD5, une GPU moderne teste des milliards de tentatives par seconde ; pour un service SSH, les tentatives sont limitées à quelques par seconde par la latence réseau et les mécanismes de protection ; pour un formulaire web avec CAPTCHA, les tentatives sont limitées par les contournements CAPTCHA disponibles. Les protections standard contre la force brute réseau incluent : le rate limiting (limitation du nombre de tentatives par IP/compte dans une fenêtre de temps), les lockouts (blocage temporaire ou permanent du compte après N échecs), les CAPTCHAs (nécessitent une résolution humaine ou un service de contournement), et la MFA (un OTP dynamique résiste à la force brute des mots de passe statiques).