Generateur de mot de passe efficace ...

Le Sun, 16 May 2004 09:29:34 +0000, Eric CHAPUZOT a écrit :

je n'ai pas encore mis windows XP sur mon ordi donc je n'ai pas testé encore
les manips dont tu causes.
Ca m'a valu de pouvoir survivre à Sasser.
d'ailleurs, je suppose que les sessions protégées par des mots-de-passe
différents n'affichent pas les fichiers récents des autres. Mais il faut
voir le côté réel et pratique de ce qui ce passe dans la vie courante, en
famille et en petites entreprises...

Ah ben je comprends mieux alors. Win9x/Me est justement un modèle
d'insécurité. Ce simili système d'exploitation n'implémente pas le
concept d'utilisateurs, et donc pas non plus celui de droit. La
conséquence directe est que tout le monde est superutilisateur sur le
système, et que les "profils" ne sont que des manières d'organiser ses
fichiers et de voir son "poste de travail". Du coup, papa a accès aux
fichiers de fiston et inversement. Mais il faut noter que même sous ce
système, si papa et fiston ont chacun leur profil, les récents de l'un
n'apparaissent pas dans les récents de l'autre.

généralement, chacun a son poste fixe, papa et fiston, patron et
employé... mais y a pas trente-six mille sessions et mots-de-passe : y
a la session commune et une ou deux sections auxquelles on accède que
si on a le mot-de-passe adéquat... fiston ou l'employé, même pas
très futé, trouve très vite le moyen de contourner ces mots-de-passe
(ils existent et pour des raisons évidentes, je ne vais pas en faire
une énumération... et non, c'est pas du délire), qui à la limite ne
font que faire perdre du temps à papa ou au patron.

Je crois qu'il va falloir sortir de ta caverne là. En entreprise, l'heure
est à la banalisation du poste de travail. À savoir que pour des
contraintes de coup, n'importe qui peut utiliser n'importe quel poste,
les données étant stockées sur un serveur central. Et dès lors, on a
besoin de login/mdp. De même, pour des raisons de
traçabilité/imputabilité, les login/mdp sont de mise. J'ai bossé dans
une PME de 50 personnes, et avant même que j'arrive, ils avaient mis en
place les login/mdp sur domaine NT (il y a 6 ans).

Je connais énormément de gens qui utilisent les comptes utilisateur sous
XP, sans pour cela qu'on leur ait fait un topo sur la sécurité. Ils
trouvent ça pratique. Chacun son compte, chacun son bureau, chacun ses
fichiers, etc...

Déjà sous windows 98, impossible de rendre invisible un fichier à
MS-DOS et fo pas être super-utilisateur pour avoir "accès à toute la
mémoire"(recours des derniers suicidaires) Fort à parier que c'est
strictement identique sous XP.

Et bien non justement.
On ne cache pas les fichiers, on les rend inaccessibles par un bonne
gestion des droits. Mais sous Win98, comme on n'a pas de gestion des
droits, ce n'est pas possible...

De même sous les autres systèmes, y a toujours les couches de commandes
premières qui ouvriront sur le principe du troyen tout le reste grâce à un
programme "assembleur"... quand ce n'est pas le super-utilisateur, tellement
fier (ou tellement dépassé) de ses commandes qu'il en fait des exposés plus
détaillés que , sans lui, le pirate n'aurait lui-même pu jamais comprendre.

Je te conseille fortement de commencer par te renseigner un peu sur la
réalité d'un système d'exploitation. Il y a pleins d'ouvrage sur le
sujet.
Il n'y a pas de premier ou de second niveau de commande, et le fait
d'exécuter en assembleur ne confère pas immédiatement plus de droits à
un utilisateur qu'un autre sous prétexte que c'est du langage machine. Il
y a des utilisateurs, qui ont des droits. Et c'est selon ces droits que
les commandes qu'ils utilisent, quelles qu'elles soient, ont accès au
système. Si toto n'a pas les droits pour lire la mémoire, il pourra
lancer ce qu'il veut, Perl, Shell, Basic, C ou assembleur, il ne pourra
pas la lire. Point.

D'ailleurs, ce n'est pas un secret terrible, on sait tous qu'il existe
un niveau 2 de la piraterie qui est bien le social-engeniering et le
psycho-engeniering... et y a déjà vingt ans, on parlait déjà
sérieusement d'équipes pour mettre au point des virus psychologiques
efficaces... de ma connaissance, jamais vu, mais je veux bien croire que
l'armée n'a pas craché sur une telle éventualité.

Oui, mais présentement, on parle de l'aspect technique, pas de l'aspect
social.


En conclusion, si tu pouvais éviter d'extrapoler ton expérience sur la
chariotte du système d'exploitation aux autres sytèmes (aux vrais), ça
éviterait de devoir systématiquement corriger tes élucubrations.


--
Alors la ca dépasse l'entendemment, même clara dans sa splendeur
n'était pas aussi dérangée ... A chacun de ses post j'entend la
petite musique de la quatrième dimension
-+- AM in GNU-SE : La dimension de l'infiniment con -+-

"Cedric Blancher" <blancher@cartel-securite.fr> a écrit dans le message de

fichiers de fiston et inversement. Mais il faut noter que même sous ce
système, si papa et fiston ont chacun leur profil, les récents de l'un
n'apparaissent pas dans les récents de l'autre.
attends, la manip la plus courante sur un ordi windows, c'est de faire

Windows-F est chercher les fichiers récents modifiés du(des) dernier(s)
jour(s) [ je perds un temps précieux-là]...
fort à parier que ca marche toujours ainsi sous Xp

Je crois qu'il va falloir sortir de ta caverne là. En entreprise, l'heure
est à la banalisation du poste de travail. À savoir que pour des...
ouep, ton affaire est contradistoire... on peut pas avoir sécurité et

partage...
et les entreprises avec qui je bosse, ne te déplaise, sont encore en w98

On ne cache pas les fichiers, on les rend inaccessibles par un bonne
gestion des droits. Mais sous Win98, comme on n'a pas de gestion des
droits, ce n'est pas possible...
pas certain de mon affaire, me semble avoir effectivement vu des peines avec

attrb et del sous W98 et Xp... verrais plus tard.

Je te conseille fortement de commencer par te renseigner un peu sur la
réalité d'un système d'exploitation. Il y a pleins d'ouvrage sur le
sujet.
Il n'y a pas de premier ou de second niveau de commande, et le fait
d'exécuter en assembleur ne confère pas immédiatement plus de droits à
un utilisateur qu'un autre sous prétexte que c'est du langage machine. Il
y a des utilisateurs, qui ont des droits. Et c'est selon ces droits que
les commandes qu'ils utilisent, quelles qu'elles soient, ont accès au
système. Si toto n'a pas les droits pour lire la mémoire, il pourra
lancer ce qu'il veut, Perl, Shell, Basic, C ou assembleur, il ne pourra
pas la lire. Point.

je sais, ca c'est de la théorie... y a vingt ans déjà, on y croyait(système
partagé), et malheureusement, un secteur de sauvegarde effacé par
basculement du sémaphore ne l'est pas réellement... donc toujours moyen de
tracer de l'activité récente...
vitesse et sécurité ne font pas bon ménage...

D'ailleurs, ce n'est pas un secret terrible, on sait tous qu'il existe
un niveau 2 de la piraterie qui est bien le social-engeniering et le
psycho-engeniering... et y a déjà vingt ans, on parlait déjà
sérieusement d'équipes pour mettre au point des virus psychologiques
efficaces... de ma connaissance, jamais vu, mais je veux bien croire que
l'armée n'a pas craché sur une telle éventualité.

Oui, mais présentement, on parle de l'aspect technique, pas de l'aspect
social.

oui, il s'agit de la validité du système de mot de passe

idem, une bonne serrure ne protége pas toujours d'un bon bélier

En conclusion, si tu pouvais éviter d'extrapoler ton expérience sur la
chariotte du système d'exploitation aux autres sytèmes (aux vrais), ça
éviterait de devoir systématiquement corriger tes élucubrations.

grrrr... je me vengerais ce soir... le temps me presse

Le Sun, 16 May 2004 11:38:38 +0000, Eric CHAPUZOT a écrit :

attends, la manip la plus courante sur un ordi windows, c'est de faire
Windows-F est chercher les fichiers récents modifiés du(des)
dernier(s) jour(s) [ je perds un temps précieux-là]... fort à parier
que ca marche toujours ainsi sous Xp

Faire une recherche de fichiers sur la date de modification n'est pas la
même chose que de regarder dans l'onglet "Recents". Maintenant, pour en
revenir à nos moutons, tu peux faire une recherche sur les fichiers, mais
comment tu vas lire ceux auxquels le système t'interdit l'accès ? Même,
comment iras-tu regarder les dates de modification des fichiers contenus
dans des répertoires auxquels tu n'as même pas accès ?

ouep, ton affaire est contradistoire... on peut pas avoir sécurité et
partage...

Si, justement. Et c'est bien là la base du partage. Parce qu'il y a des
espaces partagés, et d'autres non. Des documents lisibles par tout le
monde et d'autres non. Justement parce que quand quelqu'un accède au
système, il est _authentifié_ et que sur la base de cette
authentification, on lui affecte un certain nombre de droits.

La base d'un partage d'information, c'est justement la possibilité de
fixer des droits d'accès aux fichiers partagés : ceux qui ont le droit
de les lire, ceux qui ont le droit de les modifier, créer, effacer, etc.

Sous win9x/Me, tout le monde a le droit de tout faire. Ce n'est pas du
partage, c'est le bordel. Mais encore une fois, tous les systèmes
d'exploitation ne fonctionnent pas comme cela.

et les entreprises avec qui je bosse, ne te déplaise, sont encore en
w98

Les pauvres. Ceci dit, tant qu'elles sont conscientes que cela ne leur
apporte aucune sécurité et des limites que cela implique, elles font ce
qu'elles veulent.

pas certain de mon affaire, me semble avoir effectivement vu des peines
avec attrb et del sous W98 et Xp... verrais plus tard.

Je vous parle de droit d'accès, pas d'attrd ou trucs dans le genre. On
s'en fout de cacher les fichiers. C'est de la protection de nain de
jardin. Les fichiers, on les rends inaccessibles aux autres. Ils peuvent
les voir autant qu'ils veulent, tant qu'ils n'accèdent pas au contenu.
D'ailleurs, il suffit de les mettre dans un répertoire inaccessible aux
autres, et c'est réglé (comme les Mes Documents sous XP).

La commande attrb n'est pas une protection conte la malveillance, mais
contre les manipulations hasardeuses. En effet, le propriétaire du
fichier pourra toujours changer les attributs du fichiers pour faire ce
qu'il a envie d'en faire. C'est d'une rare évidence. Je ne vois pas ce
que tu veux prouver en me disant qu'un utilisateur peut effacer ses
fichiers...

je sais, ca c'est de la théorie... y a vingt ans déjà, on y
croyait(système partagé), et malheureusement, un secteur de sauvegarde
effacé par basculement du sémaphore ne l'est pas réellement... donc
toujours moyen de tracer de l'activité récente... vitesse et
sécurité ne font pas bon ménage...

Faut arrêter la moquette. Il y a 20 ans, comme tu l'as dit
précédemment, tu travaillais sous MS-DOS, qui est un système
mono-tâche et mono-utilisateur, sans aucune considération de sécurité.
Certains considèrent d'ailleurs que MS-DOS ne puisse pas recevoir
l'appellation de système d'exploitation (ce qui se discute).

oui, il s'agit de la validité du système de mot de passe

Tout le monde n'est pas perméable à l'ingénierie sociale, alors qu'un
mauvais mot de passe se casse de manière systématique. Tu vois la
différence ? C'est la même qu'entre "peut-être bien que" et "bien
sûr". Un utilisateur bien sensibilisé ne se laisse pas piquer son mot de
passe par n'importe qui.

idem, une bonne serrure ne protége pas toujours d'un bon bélier

Oui, mais est-elle pour autant inutile ? Tu te ballades tout le temps avec
un bélier sur toi ?

grrrr... je me vengerais ce soir... le temps me presse

J'ai hâte... En tout cas, je n'ai toujours rien vu dans ton discours qui
puisse justifier qu'un système protégé par un bon mot de passe ne soit
pas mieux sécurisé qu'un système protégé par un mot de passe
crackable en 5 secondes par le premier venu.


--

D'ailleurs, c'est pour ça que Corel arrète Linux.
Leurs avocats ont compris la GNU ?

Ils sont venus, ils ont vu, ils l'ont pris dans le GNU.

-+- OP in Guide du Fmblien Assassin : "Et mon GNU, tu l'as vu ?" -+-

Eric CHAPUZOT wrote:

Ca ce sont des maths, pas un délire.

allez, montes, montes... ca ne s'arrêtera pas. Tu peux imaginer un
code avec 2 millions de caractères et la protection ne sera quand
même pas efficace. Deux-trois fois, il m'est arrivé de casser du code
à 26 caractères en moins d'une demie-heure. Pourquoi ? paske
l'assembleur ca va très vite...et en plus avec des méthodes
d'accélération, ca va encore plus vite

Et la marmotte elle met le chocolat...
Dans sa réponse Cedric t'a mis un challenge simple je ne vais pas le
refaire.

Raisonnement du même type : un voleur n'est pas honnête, il triche
d'une certaine manière. *Donc* je ne ferme pas ma maison à clef et
je laisse les vitres ouvertes. Super comme raisonnement. Tu ne vois
pas un problème la?

Oui, tu vis dans une bulle, la première épine de passage peut tout
faire éclater...

Là mon gars tu es mal tombé en balançant tes exemples, il y a des années en
tombant sur un article du MIT sur le crochetage des serrures basiques
j'avais fait mumuse et je peux te dire que, comme en informatique, il existe
des systèmes inutiles mais aussi des systèmes particulièrement efficaces.
Et, comme en info d'ailleurs, le but du jeu n'est pas d'être inviolable mais
d'empêcher l'accès à l'agresseur le temps suffisant. Tu n'aura pas de mal à
ouvrir ma boite au lettre (norme La Poste avec le type de clef qui va avec)
mais tu passera plus de temps sur ma porte d'entrée (et le voisinage fait
que l'option passer par les murs n'est pas jouable).

(hihi, ca aussi, ce n'est qu'un parallèle, que je souhaite éminent
faux)

Je te rassure, c'est aussi "éminent faux" que le reste de tes élucubrat....
euh... arguments!?

[Snap : un gros délire qui se base sur Win98 qui ne dispose d'aucun système
de sécurité]

"les mille-et-une manières d'aller retrouver un texte crypté dans les
fichiers temporaires et buffers oubliés"

Ignore tu (je me demande si je dois poser la question, tant la réponse
semble évidente) que dans les OS moderne il est possible de demander de la
mémoire qui ne sera pas swappée (c'est d'ailleurs un problème avec GnuPG que
certains hésitent, pour cette raison, à mettre en suid root sous les
unixes-like)[1] et que le wipe n'est pas fait pour les chiens. Ensuite la
protection, dans ce type de cas, sur les systèmes actuels vient de la
séparation des utilisateurs. Si tu n'a pas confiance en root/admin/dieu de
la machine tu utilise ton portable que tu es le seul à toucher (en le
protégeant convenablement bien sur. Accessoirement sur mon portable j'ai une
partition cryptée pour éviter de me faire piller certains trucs en cas de
vol de la bécane et je trouve que ce n'est pas de la parano, juste une
précaution facile à mettre en oeuvre, alors pourquoi m'en priver).

de conclure, une maison est cambriolable, un ordinateur est
piratable... même après 10 mots de passe

Si ton pirate doit avoir les moyens de la NSA et devoir faire une intrusion
dans mes locaux pour avoir une chance de "voler mes secrets" alors je
m'estime très correctement protégé (merde! j'ai pas mis mon cache clavier
pour tapper mon passwd, dès fois qu'il y ait une caméra au plafond ; pas
grave de toute façon il y avait déjà le mouchard du clavier).

Ma protection n'est certainement pas aussi aboutie mais elle résulte d'un
compromis entre "utilisabilité" (berk, toujours fatigué, je ne trouve pas le
bon mot) et sécurité.

Eric.

[1] Je sais, il existe des moyens de faire mais pas toujours applicable à
une plateforme donnée.


--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.

finallement, c'est pas la peine... j'ai tort et puis c'est tout.

au fait, c'était quoi le message que tu avais codé ?

Le Sun, 16 May 2004 20:05:52 +0000, Eric CHAPUZOT a écrit :

au fait, c'était quoi le message que tu avais codé ?

Si je me souviens bien, le mot de passe était : TvLcAlEqAlFeSc. Le moyen
mnémotechnique est une morale d'une célèbre fable de la Fontaine.

C'est assez simple, 52 possibilités par caractère, et ça nous fait
environ 10^24 possibilités pour une attaque en force brute, soit un peu
moins de 80 bits de complexité, sans compter toutes les possibilités qui
seront vraisemblablement testées avant avec des longueurs incrémentales
à 4, 5, 6 caractères, etc. quand on ne connait pas la longueur du
password puisqu'elle n'est pas déductible du hash.

Ce n'est pas à la portée du meilleur ordinateur grand public disponible
sur le marché (hors dictionnaire). Et quant à la probabilité que la NSA
mette sa supposée puissance de calcul dessus...


PS : ce n'est pas un de mes mots de passe, je l'ai créé pour l'exemple
;)

--
liberez les packages captures !!
CA c'est de la politique...
-+- GM sur debian-french : "Debianistes, on vous ment, on vous
spolie !" -+-

On Sat, 15 May 2004 22:39:05 +0000, Eric CHAPUZOT wrote:

Deux-trois fois, il m'est arrivé de casser du code à 26 caractères en
moins d'une demie-heure. Pourquoi ?

Parceque le mot était dans un dico, ou trop court, ou avec un jeu de
caractères trop faibles ...

paske l'assembleur ca va très vite...

Mouais ...

Les algos d'usage courant sont bien connus et bien testés, et on sait
combien de temps met une recherche exhaustive pour tel programme avec tel
charset sur tel type de machine. Et le "coeur" de ces prgrammes est déjà
en assembleur optimisé (cf. John The Ripper)

et en plus avec des méthodes d'accélération, ca va encore plus vite

C'est quoi, ces "méthodes d'accélération" ?
Bug d'implémentation, hardware dédié, méthode vaudou ?


Nicob

j'ai eu la même discussion, il y a 20 ans à l'université :
tout dépend de la couche logicielle et des points d'entrées du pirate(en
l'occurence, je me suis prêté au rôle du pirate et j'ai fait des vertes et
des pas mûres, en plus on m'en a apprises que j'aurais même pas imaginées)

exemple:

Imaginons une application X. Pour utilisé la dite application
l'utilisateur doit inscrire un mot de passe. Celui-ci étant stocké en
dans une base quelconque.

Imaginons maintenant qu'un pirate, due à une faille de l'application X
(et oui aucun programmeur n'est pas parfait) permette l'accès à la dite
base (même une seule fois). Le pirate prend le fichier afin de
l'analyser tranquillement.

Maintenant deux cas de figure:

1. ta méthode

Puisque la sécurité n'est pas ma priorité, et que mes utilisateurs sont
très bête, je sais qu'ils viendront me derranger tous les jours car ils
auront perdu leur mot de passe. Donc pour pouvoir leur redonner
facilement tu stockes les mots de passe en clair.

Dans ce cas le pirate à accès à l'application en deux secondes, et sans
même avoir une quelconque notion cracking de l'application puisqu'il a
trouvé une faille publié depuis de nombreuse semaines.

2. methode courament utilisé (heureusement)

Le mot de passe se trouve encodé dans la base. Le pirate detecte qu'il
s'agit malgré tout de la liste précieuse et entame donc une attaque par
brute force (on notera qu'il aura identifié l'algorithme utilisé).

Suivant la complexité des mots de passes le pirate commencera petit à
petit à avoir accès à l'application. Il lui faudra un temps Y auquel tu
peux ajouter un temps W avant d'avoir trouver un compte ayant un pouvoir
suffisant pour rendre le crack interessant.


donc si on resume à cause d'une faille que tu ne pouvais pas prevoir,
car tu es exploitant de l'application et non son concepteur tu te
retrouve avecu n pirate dans le système suivant le schéma:

1. t = 2 secondes
2. t = (Y + W) secondes

Dans le deuxième cas tu remarqueras que la courbe du temps est
exponentielle avec le simple fait d'avoir des mots de passe suffisament
sur et un cryptage suffisament fort et bien fait.


En conclusion je pense que tu auras compris l'interet d'un bon mot de passe.

Je voulais allé continuer, mais j'avoue que je n'en ai plus le courage ...

Cordialement,
--
RAKOTOMALALA RENAUD
W-CONSULTING http://www.w-consulting.fr
Librenet Network http://www.librenet.net
InsideNetworks http://www.insidenetworks.net

Merci, tu as raison : 'Tant va la cruche à l'eau qu'à la fin, elle se
cache..."

Par contre, t'as cédé au social enginiering... (enfin, je ne sais pas, ptêt
que t'as donné un faux mdp)
Ca vaut bien le fait de ne pas m'être rendu compte immédiatement qu'Éric
Razny était co-modérateur de ce newsgroup. Excusez-moi donc auprès de lui,
mon nintention n'était pas d'abuser.

De vrai, je ne sais même pas me servir du MD5 qui est une technique trop
récente pour moi mais je me doute qu'en y mettant les pieds, j'aboutirais à
des catastrophes...

Encore merci, d'avoir pris la peine de bien vous pencher sur mes
"élucubrations"...

Un copain/fan d'Antoine.
É.chap.