Vous devriez avoir Cain & Abel dans votre boîte à outils de sécurité

Il y a une sorte d'ironie cruelle dans les mots de passe. Les mots de passe légitimes que les gens doivent utiliser pour accéder à des applications ou des données cruciales sont souvent oubliés, et pourtant les méchants semblent être en mesure de déchiffrer des mots de passe sans se ruiner. Heureusement, il existe un outil gratuit qui peut vous aider dans l'un ou l'autre de ces cas, Cain & Abel.

Qu'est-ce que Cain & Abel? Il est décrit comme un outil de récupération de mot de passe basé sur Windows, mais il fait beaucoup, beaucoup plus que juste la récupération de mot de passe. Le logiciel peut capturer et surveiller le trafic réseau pour les mots de passe, déchiffrer les mots de passe cryptés en utilisant diverses méthodes, enregistrer les conversations VoIP, récupérer les clés réseau sans fil, et plus encore.

Les mots de passe sont la clé de presque tout. vous avez oublié un mot de passe crucial et n'avez aucune fonction de réinitialisation du mot de passe en place. Vous pouvez utiliser Cain & Abel pour essayer de le déchiffrer. Cain & Abel peut effectuer une attaque par dictionnaire - essayant essentiellement chaque mot du dictionnaire - pour deviner le mot de passe. Il peut également effectuer une attaque en force brute, qui tente toutes les combinaisons possibles de lettres majuscules et minuscules, de nombres et de symboles jusqu'à ce qu'il trouve la bonne, ou d'attaques de cryptanalyse qui tentent de contourner les techniques de cryptage des mots de passe. Cela peut prendre des heures, voire des jours, mais si vous avez assez de temps, Cain & Abel devrait pouvoir récupérer le mot de passe pour vous.

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

un outil comme Cain & Abel à utiliser pour la sécurité par mot de passe. Vous pouvez exécuter Cain & Abel sur votre base de données de mots de passe pour tester la force de vos politiques de mot de passe. Vous pourriez avoir une politique de mot de passe en place, mais vous seriez surpris de voir comment certains mots de passe répondant aux exigences de la politique de mot de passe peuvent être piratés.

Dans une évaluation de sécurité à laquelle j'ai participé, le client nous avait pour accéder à la base de données SAM (Security Account Manager), qui stocke tous les mots de passe hachés des utilisateurs. Le client avait une politique de mot de passe raisonnablement stricte qui respectait ou dépassait les lignes directrices sur les meilleures pratiques à ce moment-là. Mais, nous avons couru Cain & Abel contre le fichier SAM, et en quelques heures nous avons réussi à déchiffrer la plupart des mots de passe - y compris les mots de passe des directeurs exécutifs.

Cain & Abel n'exploite pas les failles. Il tire simplement parti des faiblesses de la sécurité générale du système d'exploitation, des protocoles réseau, des méthodes d'authentification et des mécanismes de mise en cache.

Utilisez Cain & Abel pour voir à quel point

sécurisez réellement votre mot de passe. La dernière version est capable d'analyser le trafic réseau chiffré tel que SSH-1 ou HTTPS et dispose d'une nouvelle fonctionnalité appelée APR. APR signifie ARP (Address Resolution Protocol) Poison Routing, et permet à Cain & Abel de renifler le trafic sur les réseaux locaux commutés, ou de simuler des attaques MitM (Man-in-the-Middle).

Cain & Abel est une sécurité utile et précieuse outil, et vous ne pouvez pas battre le prix, c'est gratuit. Les développeurs avertissent qu'il existe une possibilité que le logiciel puisse causer des dommages ou la perte de données, et ils n'assument aucune responsabilité. Fondamentalement, vous obtenez ce que vous payez, mais des outils matures comme Cain & Abel ont été testés et affinés au fil du temps, et le risque n'est probablement pas plus grand qu'avec n'importe quel logiciel commercial.

Cain & Abel pourrait potentiellement être utilisé par attaquants, mais il a été développé comme un outil de sécurité. L'activité illégale utilisant Cain & Abel n'est ni soutenue ni tolérée par ses développeurs.