pi.
2016-07-06 20:31:41 UTC
Je viens de recevoir un rapport sur un test de pénétration et l’une des recommandations était de renforcer les mots de passe. J'ai cependant réalisé qu'aucun mot de passe n'était fourni pour les testeurs, et je voulais savoir s'il était possible de déterminer la force d'un mot de passe sans réellement connaître ce mot de passe?
Ils signifient probablement qu'ils ont cassé certains mots de passe de compte et qu'en général, votre politique de mot de passe est considérée comme trop laxiste.
Je dirais qu'ils ont probablement raison dans 99% des organisations, alors ils pourraient simplement dire cela à tout le monde, à chaque fois et être assez confiants qu'ils ne seront presque jamais interrogés à ce sujet.
Vous pouvez toujours leur demander?
Honnêtement, si vous me demandez "Quelle est la seule chose que je peux faire pour renforcer la sécurité?"Je répondrais sans hésitation: «Renforcez votre politique de mot de passe».C'est une telle déclaration générale qu'ils ne peuvent presque jamais se tromper.Peu importe si vous parliez d'un domaine, d'une application ou d'un ouvre-porte de garage (qui a une épingle).C'est toujours une réponse valable.
@coteyr Certaines politiques (en particulier les politiques de mot de passe strictes combinées à de courts calendriers d'expiration) encouragent l'écriture des mots de passe - il y a un équilibre.
Ma première pensée est qu'ils ont vu un hachage de mot de passe trop court.Si vous stockez des hachages de mots de passe et qu'ils contiennent 16 caractères hexadécimaux, je suppose que vous utilisez le DES horriblement non recommandé pour faire le hachage.Même avec du sel / poivre, ce ne serait pas bon.Bien sûr, mon conseil aurait été plus descriptif si tel avait été le cas.
@Random832, Je suis d'accord, mais cela ne change pas la réponse.
Ils ont peut-être eu un accès physique à l'un des ordinateurs ou à un site Web sur lequel vous pouvez demander un nouveau compte utilisateur.Ensuite, il y aurait probablement un écran avec les exigences de mot de passe.Je sais, cela peut être assez stupide et simple, mais souvent assez stupide fonctionne bien.
Vous pouvez chronométrer le temps que met votre ordinateur pour «pirater» le mot de passe.Tout ce qui est inférieur à 100 ans est probablement trop faible.
> cryptage homomorphe
@Aron J'espère que vous voulez dire * estimer * combien de temps un ordinateur prendrait pour «pirater» le mot de passe.Le timing serait un long exercice de futilité.:)
@Darthfett si ce n'était pas un exercice futile, alors l'algo de chiffrement est faible.