Attaque par dictionnaire

L'attaque par dictionnaire (ou en anglais « dictionary attack ») est une méthode utilisée pour pénétrer par effraction dans un ordinateur ou un serveur protégé par un mot de passe, en essayant systématiquement tous les mots d'un dictionnaire donné. Ce type d'attaque peut également servir à rechercher la clé nécessaire pour déchiffrer un message ou document codé.

Si les attaques par dictionnaire fonctionnent, c'est que de nombreuses personnes et entreprises persistent à utiliser des mots courants comme mots de passe. En revanche, elles aboutissent rarement contre des systèmes qui utilisent des expressions comportant plusieurs mots, et sont inopérantes contre des systèmes qui font appel à des combinaisons aléatoires de lettres majuscules et minuscules avec des chiffres. Dans ces systèmes, la méthode d'attaque par force brute (qui consiste à tester de façon systématique toutes les combinaisons possibles de caractères et d'espaces jusqu'à une certaine longueur) s'avère parfois efficace, bien qu'elle puisse prendre un certain temps.

Il est possible d'éliminer presque entièrement la vulnérabilité aux attaques contre les mots de passe ou clés de chiffrement en limitant le nombre de tentatives autorisées au cours d'une période donnée et en choisissant judicieusement le mot de passe ou la clé. Par exemple, si trois tentatives seulement sont autorisées et qu'un délai de 15 minutes doit s'écouler avant les trois tentatives suivantes, et si le mot de passe ou la clé consiste en une longue combinaison de lettres et de chiffres dénuée de sens, un système sera immunisé totalement contre les attaques par dictionnaire et presque totalement contre les attaques par force brute.

Les spammeurs utilisent souvent une forme d'attaque par dictionnaire. Un message est envoyé à des adresses électroniques composées de mots ou de noms, suivis du symbole arobase (@), puis du nom d'un domaine particulier. Les longues listes de prénoms (par exemple, pierre, nicolas, julie ou delphine) et/ou d'initiales suivies de noms de famille (du type cdubois, jperrier ou pthomas) combinées à un nom de domaine sont généralement efficaces.