[RESOLU] Cain & Abel...

[lut123]

Bonjour,

actuellement en stage au poste d'administrateur réseau, je souhaiterais tester le niveau de sécurité des mots de passe implantés sur ce dernier.

Pour cela, j'ai trouvé un outil qui me semble idéal : Cain & Abel.

Je voulais savoir, tout d'abord si quelqu'un ici connait cet outil et si cela présentait un réel problème d'infection ; en effet, je l'ai récupéré sur leur site officiel, http://www.oxid.it/, mais , à l'installation, un trojan est repéré par mon antivirus (antivir).

Je lui ai donc interdit l'accès et ai désinstallé le logiciel en attendant divers avis sur le sujet.

Bonne fin de semaine à tous.

Edit : En option, si quelqu'un sait s'en servir, je ne suis pas contre une petite aide à l'utilisation en français.

[tidus95]

Pour ma part je m'en suis servi pour faire du reverse md5, j'ai détecté aucun virus.

Je pense que ca doit être un faux-positif.

edit : un tour sur leur site et ils le disent eux-même :

Antivirus vendors could have signatures for some of the programs on this site. Cain & Abel v2.0 for example has been classified as a low-risk trojan virus even if the program's features are all documented in the manual.rtf file and Abel (the server component) is completely visible (the blue icon in the system tray). I can assure to you that there are no viruses or hidden features in the programs from my site. Cain & Abel v2.0 does not infect files, it does not send your passwords over the Internet or anything like that....

[lut123]

OK merci pour l'information concernant l'installation. J'avoue n'avoir lu que les infos en français de wiki pour ce logiciel ; ma lecture du français étant plus fluide qu'en anglais.

Questions subsidiaires : à quoi peut servir le reverse md5 ? Décrypter un fichier crypté sans en connaitre les clés ? Est ce que ça sort les clés ou ne fait que sortir le fichier décrypté ? Les informations sont-elles stockées (et si oui, sont elles protégées ?) ?

[tidus95]

Pour pirater retrouver un mot de passe à partir d'un hash md5, en comparant le hash avec une liste de dictionnaires.

[-SKy-]

Je confirme aucun virus dans ce logiciel.

Je m'en servais pour le reverse MD5 et MDP windows.

Tu veux t'en servir pour quoi exactement?

[fabien29200]

Questions subsidiaires : à quoi peut servir le reverse md5 ? Décrypter un fichier crypté sans en connaitre les clés ?

L'algorithme MD5 n'est qu'un Hash. C'est à dire qu'à partir d'une série de lettres (ou de 0 et 1 peu importe), il te sortira une autre série de lettres et chiffres.

Ensuite, l'intérêt, c'est que tu as une probabilité infinitésimale qu'un hash d'une autre série de lettres te redonnent le même hash.

Par conséquent, si tu hashes le mot de passe saisi par l'utilisateur et qu'il est égal au hash stocké, on peut considérer que le mot de passe saisi est le bon.

Et l'autre intérêt majeur est qu'il est difficile (mais pas impossible) de retrouver la série de lettres initiales avec le hash.

Mais à AUCUN moment il n'y a un mécanisme de clé. L'algorithme est connu de tous. Tu le trouveras même sur la page Wikipedia.

Donc évidemment, si tu mets un mot d'un dictionnaire ou un mot court comme mot de passe, inutile de te dire qu'un bon brute force avec dictionnaires va te retrouver le mot de passe relativement vite.

C'est pour cela qu'on peut activer des vérifications de mot de passe afin de d'assurer qu'ils soient suffisamment longs et complexes pour être difficilement "brute forcés".

[lut123]

Je confirme aucun virus dans ce logiciel.

Je m'en servais pour le reverse MD5 et MDP windows.

Tu veux t'en servir pour quoi exactement?

Tester le niveau de sécurité des accès VPN par VNC, des mots de passe administrateurs et utilisateurs, ainsi que le niveau de protection de nos bases de données.

Au final, je veux un peu tout faire avec cet outil mais je n'en connais pas les performances, la fiabilité, ni la façon dont il faut l'implanter pour tester la quasi totalité du réseau.

Les postes clients sont sous XP, les serveurs en Windows 2003 et Debian.

[lut123]

C'est pour cela qu'on peut activer des vérifications de mot de passe afin de d'assurer qu'ils soient suffisamment longs et complexes pour être difficilement "brute forcés".

Oui j'avais regardé Wiki à ce sujet ; j'avais moi même fait de la crypto mais j'avoue être largué par le niveau d'abstraction...

Est-ce via le contrôleur de domaine que l'on vérifie la complexité des mots de passe ?

[fabien29200]

Au niveau Windows, il me semble que ça doit fonctionner avec AD, en tout cas, j'ai déjà rencontré des Windows en entreprise où il fallait tant de lettres minimum, avec obligatoirement des chiffres et des majuscules.

Sous Linux, il y a des paquets pour faire ça. Mais tout dépend de si votre authentification est centralisée (AD, LDAP ?). Dans ce cas, c'est à ce niveau qu'il faut mettre la vérification.

Par contre, pour tout ce qui est accès serveur, la Rolls de la sécurité c'est SSH avec jeu de clés. Rien n'égale ce niveau de sécurité à ma connaissance.

[supergao03]

oui ,c'est normale qu'il le detecte en trojan,mais tu n'as aucun souci avoir.

cela fait des années que je l'utilise et il est extrement redoutable,notament sa fonction de man in middle,mais ne parlont pas de sa sur ce forum;donc un outil a ne pas mettre entre toutes les mains et a reserver a un usage strictement professionnel