Maître de récupération de mot de passe de document Compteur de temps nécessaire pour retrouver le mot de passe
Vous voulez savoir combien de temps il faut pour essayer une clé de cryptage ? Voici les principes des trois méthodes d’attaque : la brute force, l’attaque par dictionnaire et l’attaque par masking. Je vais également expliquer pourquoi les différents formats de fichiers présentent des difficultés aussi importantes, ainsi que les différences en termes de capacité de calcul entre les cartes graphiques et les processeurs.
Faites le calcul: combien de temps faut-il pour craquer par force brute pure
Ce n'est que le pire des cas de «violence pure»
Téléchargez vous-même le logiciel vs Laissez-le à nous
| Éléments comparatifs | Téléchargez vous-même le logiciel de cracking | Laissez-le à nous |
|---|---|---|
| Puissance de calcul | Un ordinateur domestique ne dispose que d'une carte graphique intégrée dans la plupart des cas | Plusieurs décrypteurs GPU exécutent la même tâche en même temps |
| Dictionnaire des mots de passe | J'ai trouvé des centaines de milliers d'articles au hasard sur Internet, et il y en a beaucoup qui sont dupliqués et invalides | Dictionnaires accumulés et nettoyés au fil des ans, classés en fonction des habitudes d'utilisation |
| Stratégie de craquage | Je ne ferai que l'essayer un par un du début à la fin | Dictionnaire d'abord, ensuite masquage, ensuite volume complet, les stratégies multi-niveaux sont avancées couche par couche |
| Pouvez-vous continuer à courir | L'ordinateur doit être toujours allumé. Si vous l'éteignez ou redémarrez, tous vos efforts seront vains | Exécutez 7×24 sur le serveur et vous ne serez pas affecté même si vous éteignez votre ordinateur |
| Possibilité de débloquer | Tout dépend de la chance. Si le mot de passe est un peu plus long, il n'y a pratiquement aucune chance | Couvrez d'abord la combinaison la plus probable. Les mots de passe courts donnent souvent des résultats en quelques dizaines de minutes |
| Coût de démarrage | Personne ne se soucie de l'installation du pilote, de la configuration de la ligne de commande et des erreurs signalées | Téléchargez simplement le fichier et vous serez informé des résultats |
À propos de cette calculatrice
- La référence de vitesse est basée sur les données de test publiques d'une seule carte graphique RTX 3080 et est convertie de manière conservatrice. Les résultats varieront selon le modèle de machine.
- Le temps est estimé comme «en moyenne, vous devez essayer la moitié de la combinaison». Si vous avez de la chance, vous frapperez plus tôt, si vous n'avez pas de chance, vous devez terminer un tour.
- Ici, les chiffres sont estimés en termes de violence pure. Le traitement réel utilisera d'abord des dictionnaires et des masques. Les mots de passe faibles courants peuvent souvent être publiés en quelques minutes, il n'est donc pas nécessaire d'attendre si longtemps.
- Les différences entre les versions chiffrées du même fichier sont extrêmement différentes: un document Word peut différer des dizaines de milliers de fois entre la version 2003 et la version 2013.
Pourquoi la récupération du mot de passe est-elle si difficile ? Une explication claire du principe et des capacités de calcul nécessaires
L’essence de la récupération du mot de passe consiste à essayer sans cesse toutes les combinaisons possibles, jusqu’à trouver celle qui est correcte. Plus l’essai est rapide et moins de combinaisons sont testées, plus les chances de succès sont élevées. En revanche, plus il y a de combinaisons à tester et plus chaque essai est coûteux, ce qui rend les chances de réussite plus faibles. Ce calculateur permet de quantifier le nombre d’essais nécessaires et le temps requis pour chacun d’eux. Ainsi, vous pouvez avoir une idée plus claire de la sécurité de vos fichiers, et comprendre pourquoi certains fichiers peuvent être ouverts en quelques minutes, tandis que d’autres ne peuvent même pas être ouverts même après plusieurs tentatives.
I. Brute force : essayer toutes les combinaisons une par une
La brute force ne dépend d’aucune connaissance préalable. Elle énumère tous les combinaisons possibles en fonction de l’ensemble des caractères et de la longueur du mot de passe. Un mot de passe de 8 caractères, composé uniquement de chiffres, peut avoir un million de combinaisons différentes. En revanche, un mot de passe composé de lettres majuscules et minuscules, de chiffres et de symboles peut avoir plus de 6×10¹⁴ combinaisons possibles. La brute force teste toutes les combinaisons possibles, depuis “aaaaaa” jusqu’à la dernière. Son avantage est qu’elle est aussi simple que fiable : tant que le temps suffisant est disponible, il est théoriquement possible de trouver le bon mot de passe. Mais le prix à payer est que le nombre de combinaisons augmente de manière exponentielle avec la longueur du mot de passe et l’ensemble des caractères. Un mot de passe assez long ne peut être testé que pendant plusieurs générations d’une seule machine.
II. Attaque par dictionnaire : essayons d’abord un mot de passe qui ressemble le plus à une phrase humaine
La grande majorité des gens ne utilisent pas de codes aléatoires comme mots de passe, mais plutôt des dates de naissance, des noms, des séquences de chiffres sur le clavier (comme “qwerty”) ou des mots courants. Les attaques par dictionnaire permettent de trier ces mots de passe fréquents en listes de mots, et de les essayer un par un. Généralement, cela suffit pour trouver un mot de passe faible en quelques minutes. Cette méthode est beaucoup plus efficace que l’attaque purement violente, mais elle ne fonctionne que si le mot de passe se trouve vraiment dans la liste de mots de passe. En revanche, lorsqu’il s’agit de mots de passe aléatoires très difficiles, cette méthode devient inefficace. Nous avons accumulé et purifié de nombreux dictionnaires de mots de passe au fil des années, afin d’améliorer l’efficacité de cette approche.
III. Attaques par masquage : ajout de « informations connues » à l’attaque brute
Les attaques par masquage sont une version plus sophistiquée de la brute force de la résolution des mots de passe : si vous vous souvenez que « le mot de passe doit avoir 8 caractères, commencer par un chiffre majuscule, et se terminer par 2024 », vous pouvez indiquer ces conditions au programme de résolution, afin qu’il génère uniquement les combinaisons qui satisfont ces critères. L’ensemble initial de 6×10¹⁴ possibilités peut être réduit à seulement quelques centaines de millions d’options, et le temps nécessaire pour trouver le mot de passe peut être réduit à quelques heures. C’est pourquoi, lors de la soumission de l’attente, il est conseillé de fournir autant d’informations que possible pour augmenter significativement les chances de succès.
Quatre, pourquoi les difficultés liées aux différents formats diffèrent-elles de manière aussi importante ? — Le nombre d’itérations de l’algorithme de hachage
Les fichiers ne comparent pas directement les mots de passe, mais plutôt les « valeurs héarchées » obtenues à partir des mots de passe. Chaque fois qu’un mot de passe est essayé, le programme effectue d’abord une opération de hachage. Plus il y a d’itérations, plus le processus devient lent. Les formats anciens offrent peu de protection : Office 97 utilise MD5/RC4, et la carte graphique peut essayer des millions de mots de passe par seconde ; tandis que depuis Office 2013, on utilise environ cent mille itérations de PBKDF2, ce qui signifie qu’il n’est possible d’essayer que environ mille mots de passe par seconde, soit dix mille fois moins rapidement. Le format PDF utilise RC4, qui est assez faible, tandis qu’AES est un peu plus efficace. Le format RAR5 nécessite environ trente mille itérations, ce qui le rend plusieurs dizaines de fois plus lent que RAR3. Le format 7Z nécessite plus de cinquante mille itérations, ce qui en fait l’un des formats les plus difficiles à cracker. Un même mot de passe peut être brisé en quelques minutes sur un autre ordinateur, mais pour vous, cela peut prendre plusieurs jours sans aucun résultat… La raison en est juste ici.
V. Le décalage en capacité de calcul entre la carte graphique (GPU) et la CPU
Les opérations de hachage sont des exécutions typiques qui nécessitent beaucoup de calculs répétés, mais indépendants les uns des autres. Ce type d’opération est parfaitement adapté à l’architecture parallèle des cartes graphiques : une carte graphique de référence dispose de plusieurs milliers de cœurs, ce qui permet de effectuer des millions de calculs de hachage en même temps. La vitesse de ces calculs est donc plusieurs dizaines à cent fois supérieure à celle des CPU. Les ordinateurs ordinaires disposent soit d’une carte graphique intégrée, soit la tâche est confiée à la CPU, ce qui rend leurs performances très lentes. Notre méthode de décomplication consiste à utiliser plusieurs serveurs GPU pour exécuter simultanément la même tâche. De plus, nous utilisons des stratégies basées sur des dictionnaires et des masques pour limiter le nombre de calculs nécessaires. C’est précisément là où se situe la différence entre “travailler seul pendant plusieurs mois” et “laisser nos services nous fournir des résultats en quelques minutes”.
Ainsi, à chaque ajout d’une lettre dans la longueur du mot de passe, ou à chaque augmentation de l’éventail des caractères utilisables, la difficulté de retrouver le mot de passe augmente considérablement. En revanche, en utilisant un format de fichier plus rapide ou en retenant plus de indices pour le mot de passe, on peut réduire considérablement le temps nécessaire pour trouver le mot de passe. Le calculatrice ci-dessus a déjà quantifié ces facteurs : en indiquant le type de fichier et la plage de mots de passe, on peut savoir combien de temps il faudra à son ordinateur et au notre pour trouver le mot de passe. Si les résultats vous désespèrent, n’hésitez pas à nous confier le fichier pour que nous essayions de le résoudre.
Questions fréquentes
Quelle est la durée nécessaire pour cracker un mot de passe ?
Il dépend de la longueur du mot de passe, de l’ensemble de caractères utilisé et de la méthode d’encryption du fichier. Un mot de passe de 8 bits peut comporter environ 100 millions de combinaisons possibles ; un ordinateur ordinaire pourrait mettre plusieurs heures ou jours pour tester toutes ces combinaisons. Pour un mot de passe de 12 bits, qui inclut des lettres majuscules et minuscules, des chiffres et des symboles, le nombre de combinaisons possibles dépasse 10 à la puissance 24… Il pourrait donc falloir des milliers d’années pour trouver une combinaison valide. Vous pouvez utiliser le calculateur sur cette page pour estimer immédiatement le temps nécessaire pour trouver une combinaison valide.
Quelle est la différence entre la brute force, les attaques basées sur un dictionnaire et les attaques avec masquage ?
La brute force de cracking ne dépend pas des connaissances préalables ; elle explore toutes les combinaisons possibles. Les attaques basées sur un dictionnaire tentent d’abord avec des mots de passe faibles mais courants, ce qui est plus efficace. Les attaques par masking, quant à elles, utilisent des indices connus (comme des chaînes de 8 caractères ou des mots commençant par une lettre majuscule) pour générer uniquement les combinaisons qui correspondent aux critères requis, réduisant ainsi considérablement l’éventail des solutions possibles.
Pourquoi certains fichiers peuvent-ils s’ouvrir en quelques minutes, tandis que d’autres nécessitent beaucoup plus de temps pour s’ouvrir ?
En raison des différences considérables dans le nombre d’itérations de l’hash pour les différents formats. Office 97 utilise des algorithmes MD5/RC4 moins efficaces ; la carte graphique peut effectuer des millions d’itérations par seconde. Pour Office 2013, le nombre d’itérations est d’environ cent mille par seconde, soit environ dix mille fois moins rapide que Office 97. Le format 7Z nécessite plus de cinquante mille itérations, ce qui en fait l’un des formats les plus complexes à traiter.
Arrêtez de prendre votre ordinateur avec force
Donnez-nous les documents et courez d'abord le lot le plus probable de combinaisons, ce qui est plus logique que de courir seul à la maison pendant quelques jours.