Des informaticiens appartenant à l’Unix Heritage Society (société du patrimoine Unix) sont arrivés à craquer les mots de passe des créateurs d’Unix grâce à un fichier /etc/passwd archivé avec de vieux codes source BSD et contenant l'empreinte hash des mots de passe qu’ils utilisaient. Le fichier, vieux de 40 ans, contient du code source de la version 3 de BSD, l’une des versions originales d'Unix utilisées à l’époque par plusieurs pionniers de l’informatique. BSD 3 utilisait Descrypt pour hacher les mots de passe, qui limitait les mots de passe à huit caractères, salés avec 12 bits d'entropie.La Berkeley Software Distribution ou BSD est un système d'exploitation dérivé d’Unix et développé par des chercheurs de l’université de Californie à Berkeley. En 2014, Leah Neukirchen, une ingénieure informatique, a trouvé un fichier /etc/passwd archivé dans l'arborescence des sources de BSD 3 contenant le hachage des mots de passe de certains créateurs de BSD, dont Dennis Ritchie, Ken Thompson, Brian Kernighan, Steve Bourne, et Bill Joy. Elle a ensuite entrepris de déchiffrer ces mots de passe.
La semaine dernière, Neukirchen a annoncé avoir réussi à déchiffrer les mots de passe de nombreux pionniers de l'informatique. Elle a expliqué dans un billet de blogue sur son site personnel s’être servi des outils de cracking comme John the Ripper et hashcat. Dans la plupart des cas, son succès est dû au fait que les utilisateurs ont choisi des mots de passe faciles à deviner. De plus, l'algorithme crypt(3) basé sur DES utilisé pour ces hachages est réputé faible (et limité à au plus 8 caractères) et considéré comme totalement obsolète à ce jour.
En effet, l’algorithme de hachage Descrypt limite les mots de passe à seulement huit caractères, une contrainte qui empêche les utilisateurs finaux de choisir des informations d'identification réellement solides. Et le sel utilisé par Descrypt ne fournit que 12 bits d'entropie, soit l'équivalent de deux caractères imprimables. En raison de cet espace minuscule, il est probable que les bases de données volumineuses contiennent des milliers de chaînes de hachage que les attaquants peuvent craquer simultanément, car ces chaînes utilisent le même sel.
« Rapidement, j'avais déchiffré une bonne partie de ces mots de passe, dont beaucoup étaient très faibles », a-t-elle écrit dans son billet. Parmi les mots de passe qu’elle a déchiffrés, le co-inventeur de BSD, Dennis MacAlistair Ritchie, utilisait pour mot de passe « dmac » ; Stephen R. Bourne, créateur de l'interprète de ligne de commande shell Bourne, a choisi « bourne » ; Eric Schmidt, l'un des premiers développeurs de logiciels Unix et désormais directeur exécutif de l’Alphabet, s'est fié à « wendy !!! » (représentant le nom de sa femme).
Stuart Feldman, auteur de la marque d’outils d’automatisation Unix et du premier compilateur Fortran, utilisait « axolotl », représentant le nom d’une salamandre mexicaine. Le plus faible de tous était le mot de passe du contributeur Unix Brian W. Kernighan : « /.,/.,», représentant une chaîne de trois caractères répétée deux fois en utilisant des touches adjacentes sur un clavier QWERTY. Selon ses dires, elle a pu déchiffrer tous les mots de passe, mais cinq mots de passe hachés cependant sont restés insaisissables, y compris celui de Thompson.
Ces cinq mots de passe comprenaient celui de l'informaticien turc Özalp Babaoğlu, du développeur de logiciels Unix Howard Katseff et des collaborateurs essentiels d'Unix Tom London et Bob Fabry. Toutefois, le cryptage qui a résisté à toutes les tentatives utilisées par Neukirchen était le mot de passe utilisé par Ken Thompson. Elle a ensuite demandé de l’aide sur la liste de diffusion de l'Unix Heritage Society. Plusieurs personnes s’y sont collées et ensemble, elles sont arrivées à déchiffrer les mots de passe restants.
« Je n'ai jamais réussi à cracker le mot de passe de Ken dont le hachage est “ZghOT0eRm4U9s”, et je pense que j'ai énuméré l'ensemble des 8 lettres minuscules + symboles spéciaux. Toute aide est la bienvenue », a écrit Neukirchen sur la liste de diffusion de l'Unix Heritage Society. Les participants à la liste de diffusion, intéressés par le défi, se sont mis au travail sur les résistances. Le mot de passe de Thompson a finalement été trouvé la semaine passée par Nigel Williams, un administrateur de systèmes HPC basé à Hobart, en Tasmanie.
L’effort de craquage lui a pris plus de quatre jours. Il a utilisé un hashcat sur un processeur AMD Radeon RX Vega 64 tournant à une vitesse d'environ 930 MH/s. Nigel Williams a trouvé que « ZghOT0eRm4U9s » est le hash de « p/q2-q4! ». Il s’agit d’une ouverture très connue aux échecs. Comme Neukirchen a observé, Thompson a contribué au développement des échecs sur ordinateur. Thompson, qui a aussi aidé à créer le langage de programmation Go, a reconnu l'exploit en offrant ses félicitations. Il n'a cependant pas répondu à une demande de commentaires.
Sources : Leah Neukirchen, Liste de diffusion Unix Heritage Society
Et vous ?
Qu'en pensez-vous ?Voir aussi
Les mots de passe Windows NTLM à 8 caractères peuvent être piratés en moins de 2,5 heures, selon des chercheurs Classement des mots de passe les plus utilisés : 123456 en tête suivi de 123456789 et qwerty. Quels sont selon vous les pires mots de passe à bannir ? Les MdP trop faibles sont devenus une menace majeure, rendant nécessaire l'authentification multifacteur, d'après le dernier rapport WatchGuard