Upload
patrick-leclerc
View
68
Download
0
Embed Size (px)
Citation preview
« Cybercrime: Nos données personnelles sont à risque, entre autres parce que nos mots de passe sont toujours inadéquats »
Patrick Leclerc
Biographie
Patrick Leclerc • Conseiller en sécurité des actifs
informationnels à La Capitale
Architecte et spécialiste en sécurité applicative
• Président du Chapitre OWASP Ville de Québec
Les pires mots de passe de 2015… À peine mieux sont ceux-ci…
Bonjour1!
Soleil01!
Québec16!
Passw0rd
GoCanadiens!
Remparts16!
St4rw4rs!
F4c3b00k
Selon l’étude de SplashData: https://www.teamsid.com/worst-passwords-2015/
Ordre du jour
Concepts
Revue de presse
Risques et impacts
Analyse des mots de passe
Solutions
Bonne pratiques
• Ne jamais les stocker « en clair »… d’aucune façon!
• On les chiffre (hashing) pour les sécuriser…
Mot de passe: "Pommes01"
SHA256: e6dbdf4b4dd6b90742ca55084812d8ca159dc82b169071e4c18a1a52bf8a18a1
• L’encryption est un processus réversible
• Le « hashing » est irréversible, donc plus sécuritaire – Cependant, il faut bien choisir sa fonction de « hashing »…
Stockage des mots de passe
Faux sentiments de sécurité…
• Nos mots de passe sont sécuritaires • Nos mots de passe sont bien protégés • Personne ne parviendra à les deviner… après tout sur certains
sites les pirates n’auront que quelques chances avant que le compte soit barré…
En entreprise:
• « Les mots de passe de nos clients sont en sécurité, seulement quelques personnes dûment autorisées peuvent les voir »
• « Les mots de passe sont en sécurité, nous les avons "encryptés" »
• « Pratiquement impossible de voler nos banques de mots de passe, notre infrastructure est solide »
La réalité… en quelques brèches
2012 2013 2014 2015 2016
http://www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/
6,5M @ **
30k @ ** RP
65M @ **
36M id ** CC RP
145M @ **
37M @ id **
360M @ id **
117M @ **
68M @ **
? @ ** …
@ = adresses de courriel ** = mots de passe Id = identités (nom, prénom) CC = cartes de crédit RP = renseignements personnels
500M @ ** id RP
Bilans et statistiques
« L'utilisation des identifiants/mot de passe volés est la menace #1 cette année »
« 63% des vols de données tirent parti de mots de passe faibles, volés, ainsi que les mots de passe par défaut »
- Verizon DBIR 2016 Report
http://www.verizonenterprise.com/verizon-insights-lab/dbir/2016/ http://www.slideshare.net/VerizonEnterpriseSolutions/evolution-of-the-verizon-data-breach-investigations-report-20082016
Pourquoi les réseaux sociaux?
Pour en obtenir davantage sur un seul utilisateur…
« …les pirates réutilisent d’anciens mots de passe obtenus d’un seul compte pour tenter de s’infiltrer dans d'autres comptes du même utilisateur »
- Reuters
…et pour atteindre également tous ses contacts…
« Ces vols de données à grande échelle sont utilisées pour concevoir des fraudes ou des attaques d’hameçonnage en atteignant l'univers des contacts liés à chaque compte compromis, multipliant davantage les risques de fraudes financières ou de dommages à la réputation »
- Reuters
http://www.reuters.com/article/us-cyber-passwords-idUSKCN0XV1I6 http://www.itworldcanada.com/article/most-data-breaches-leverage-weak-default-or-stolen-passwords-report/382781#ixzz4FpKNZ64E
Risques/impacts personnels
• Perte de confidentialité
• Usurpation d’identité / Fraudes
• Perte de données
• Pertes financières
• Atteinte à la réputation
• Pertes de souvenirs…
Compromission par des mécanismes « J’ai oublié mon mot de passe »…
Récit de Mat Honan http://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/
Mat Honan Journaliste technologique - Wired
Facteurs aggravants: l’individu
• Réutilisation des mêmes mots de passe… et sur d’autres sites!
• Mots de passe trop faibles ou prévisibles
• Q/R secrètes faibles • Vies exposées sur les réseaux
sociaux • Usage de connexions non
sécurisées • Victimes d’hameçonnage • …
Risques/impacts à l’organisation
http://www.ponemon.org/local/upload/file/Consumer%20Study%20on%20Aftermath%20of%20a%20Breach%20FINAL%202.pdf
• Perte de confidentialité
• Bris d’intégrité
• Fraudes
• Lourdes pertes financières
Selon une étude de Ponemon Institute
Au Canada:
Coût moyen d’une brèche : 5,9 million / année
Coût moyen par enregistrement: 260 $
Risques/impacts à l’organisation
« Le coût de la cybercriminalité comprend beaucoup plus que la valeur de l'information volée, il comprend aussi :
les coûts de l'interruption des activités, les occasions perdues, les frais juridiques, les coûts des rapports, les dommages à la réputation de marque, et les efforts de rétablissement. »
« Une étude a révélé que près de 29% des clients sont enclins à interrompre leur relation avec une entreprise après une violation de données. »
https://www.linkedin.com/pulse/take-note-findings-speed-cyber-attack-joseph-ezenwa http://www.ponemon.org/local/upload/file/Consumer%20Study%20on%20Aftermath%20of%20a%20Breach%20FINAL%202.pdf
Facteurs aggravants: l’entreprise
• Autoriser des mots de passe trop faibles
• Stockage inadéquat des mots de passe
• Contournements faciles (mots de passe oubliés)
• Données de PROD copiées dans les environnements de DEV
• Serveurs Web insuffisamment sécurisés
• Applications vulnérables
• Mauvaises pratiques de gestion ou d’utilisation des mots de passe
• Mauvaise attribution des droits d’accès
• Privilèges trop élevés
• Infrastructures désuètes
Les pirates…
• Astucieux, dessins criminels ingénieux
• Plusieurs groupes organisés et financés
• Accèdent aux données de brèches d’autres sites
• Plusieurs outils très évolués pour craquer les mots de passes
• La puissance de calcul disponible pour le craquage de mots de passe ne cesse d’augmenter
…et leurs type d’attaques
• Attaques en ligne: « credential stuffing »
– Le pirate utilise l’interface Web avec/sans scripts pour automatiser ses tentatives…
• Attaques hors ligne: « password cracking »
– Le pirate utilise une copie des données d’authentification obtenue à partir d’un piratage d’un site Web
– Puisque, les mots de passe devraient être chiffrés, le pirate attaque une copie des données pour tenter de « casser » le chiffrement…
– Le pirate dispose d’un nombre presque-illimité d’essais…
https://www.owasp.org/index.php/Credential_stuffing
Mots de passe
• Les humains sont prévisibles…
• Qui peut retenir ce mot de passe?
%u8#W6s!w_23h2f
• Qui utilise des mots de passe différents à chaque fois?
Longueur et complexité
• Mots de passe “forts”
– Minimum de 8 caractères
– Lettres (majuscules et minuscules) 26 X 2 = 52
– Chiffres 10
– Caractères spéciaux: _,.#!$%@ ≈10
– Possibilités:
• Pour chaque caractère: 52 +10 + 10 = 72
• Pour 8 caractères: 728 = 722 204 136 308 736
Nous sommes en sécurité, n’est-ce pas?
Artillerie lourde à bon marché…
Pas si certain…
• 8 cartes vidéos en parallèle
• 7000$ à construire (en 2012)
• 350 milliards d’essais/sec !!!
• En moyenne, mot de passe de
8 caractères: 17 minutes
11 caractères: 12 ans
http://arstechnica.com/security/2012/12/25-gpu-cluster-cracks-every-standard-windows-password-in-6-hours
Donc, avec 11 caractères nous sommes en sécurité?
… et techniques avancées
Pas si certain… • Il existe plusieurs outils et techniques
pour réaliser plus efficacement le « craquage » des mots de passe…
A = 4, /\ B= 8 E=3
O= 0, () i= 1, !
Techniques d’attaques pour craquer les mots de passe: – Dictionnaire – Hybride – Force brute – Tables arc-en-ciel (Rainbow tables)
Topologies des mots de passe
Notation:
‘ M ’ pour chaque lettre majuscule
‘ m ’ pour chaque lettre minuscule
‘ c ’ pour chaque chiffre
‘ s ’ pour chaque caractère spécial
Ex.: Pommes01 => Mmmmmmcc
Ex.: Bonjour01! => Mmmmmmmccs
Topologies les plus populaires
Topologies Exemples Proportion
Mmmmmmcc Banane01 12,7 %
Mmmmmmmcc Oranges12 12,7 %
Mmmmcccc Kiwi2016 10,6 %
Mmmmmmmmcc Noisette99 7,3 %
Mmmmmcccc Poire2015 5,0 %
5 plus utilisées –> 48 % des utilisateurs
100 plus utilisées –> 85 % des utilisateurs
Selon les données publiées d’études de KoreLogic, une firme spécialisée dans le craquage des mots de passe : https://www.youtube.com/watch?v=zUM7i8fsf0g
Optimisation d’une attaque…
On fait quoi maintenant?
DEV / Techno • 4 types de caractères (M, m, c, s) • 11 caractères: 411 = 4 194 304 topologies possibles (7308 topologies retrouvées)
• Attaquer seulement 7 308 de 4 194 304 = 0,17 % des topologies • Et pour les 100 topologies les plus populaires (0,0024 % des topologies possibles)
Attaque sur les topologies de 11 caractères: • En attaquant que les 100 topologies les plus populaires
– 85 % des mots de passe craqués en >> 5 heures <<
• En attaquant que les 7308 topologies les plus populaires – 99 % des mots de passe craqués en >> 15 jours <<
• Au lieu de 12 ans…
Selon les données publiées d’études de KoreLogic, une firme spécialisée dans le craquage des mots de passe : https://www.youtube.com/watch?v=zUM7i8fsf0g
Récapitulons…
Un mot de passe doit être:
1. Suffisamment LONG
préférablement 10 caractères alphanumériques et +
2. D’une TOPOLOGIE IMPOPULAIRE
donc réellement complexe
Longs et réellement complexes • Utilisez une phrase passe!
Ex.: “J’ai 1 chien qui s’appelle Fido!!" (33 caractères)
• Ou 4 mots aléatoires:
Ex.: “jambon bureau nuage caramel" (27 caractères)
Vous pouvez y introduire des fautes:
Ex.: “janbon burRAU nuage karamel" (27 caractères)
Seconds facteurs d’authentification
Activer les fonctions multi-facteurs lorsque disponibles:
• NIP envoyé par SMS
• Jeton physique: clef de type « RSA SecurID »
• Jeton virtuel généré par une application mobile
Gestionnaires de mots de passe • 1 seul mot de passe à retenir
mais un LONG et COMPLEXE (13 caractères et +)
• Génération aléatoire de mots de passe pour chaque site Plus besoin d’inventer des mots de passe! Mots de passe réellement complexes! Fini la réutilisation!
• Permet de stocker vos réponses aux questions secrètes Profitez-en pour répondre n’importe quoi!
Mais attention! Ne jamais perdre le mot de passe…ou la voute! Ayez la discipline d’y inscrire systématiquement tous
les changements de mots de passe…
PCMag The Best Password Managers of 2016 : http://www.pcmag.com/article2/0,2817,2407168,00.asp PCMag The Best Free Password Managers of 2016 : http://www.pcmag.com/article2/0,2817,2475964,00.asp
Bonnes pratiques « utilisateur » • Choisir des mots de passe sécuritaires
Longueur + topologie non populaire (complexité)
• Ne réutilisez jamais vos mêmes mots de passe d’un site à l’autre
• Ne divulguez jamais vos mots de passe, sous aucune condition
• Assurez-vous d’être sur le bon site avant de saisir votre mot de passe
• Conservation: – Ne jamais les conserver dans les courriels
– Le stockage dans un fichier non protégé n’est pas sûr
– Pas sur des « post-it » sous votre clavier!
• Supprimez vos anciens comptes d'utilisateurs, ou envisagez changer vos mots de passe
• Assurez-vous de configurer les paramètres de vie privée les plus sûres disponibles sur chaque plateforme de médias sociaux
Bonnes pratiques « entreprise » • Vérifier la robustesse des mots de passe choisis par les utilisateurs
Ex.: Interdire les 100 topologies les plus communes
• Forcer le changement des mots de passe après une certaine période (pas trop souvent) ou lorsqu’on soupçonne une compromission
• Ne pas permettre la réutilisation d’anciens mots de passe • Offrir des mécanismes de récupération et de changements de mots
de passe sécuritaires (lisez le récit de Mat Honan…) • Chiffrer correctement (hash + salt) tous les des mots de passe • Pas de mots de passe « en clair » • Pas de mots de passe dans les journaux • Ne jamais emprunter le mot de passe d’un autre utilisateur • Ne pas partager les mots de passe • …
Liens intéressants • Capsule vidéo: Les mots de passe sécurisés :
– https://www.youtube.com/watch?v=4po3RnlREYc
• Récit de Mat Honan: – https://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/
• “Your Password Complexity Requirements are Worthless” KoreLogic :
– https://www.youtube.com/watch?v=zUM7i8fsf0g
• Verizon Data Breach Investigations Report : – http://www.verizonenterprise.com/verizon-insights-lab/dbir/2016/
• Evolution of the Verizon Data Breach Investigations Report (2008-2016) :
– http://www.slideshare.net/VerizonEnterpriseSolutions/evolution-of-the-verizon-data-breach-investigations-report-20082016