➤ Deviner le mot de passe 🕹

Deviner le mot de passe (aussi abrégé PG-ing, et/ou ses variantes) est une forme de piratage de sécurité impliquant le processus de vol de mots de passe à partir de données stockées ou transmises par un système informatique. Une approche courante consiste à essayer de deviner le mot de passe à plusieurs reprises et à les comparer à un hachage cryptographique disponible du mot de passe, connu sous le nom de force brute.

Les motivations pour deviner le mot de passe peuvent être soit d'aider un utilisateur à récupérer un mot de passe oublié (la création d'un tout nouveau mot de passe est toutefois moins dangereux pour la sécurité) ou d'obtenir un accès non autorisé à un système. Dans le cas de Roblox, la devinette de mot de passe est utilisée pour accéder à des comptes qui n'appartiennent pas au devineur, après quoi ils peuvent détourner le compte à des fins personnelles ou malveillantes, voler ses Robux/éléments limités, ou même faire bannir le compte. Les comptes piratés sont appelés compromis (souvent abrégé à compté). La devinette du mot de passe est interdite par les directives de la communauté de Roblox, ce qui signifie que le ou les comptes d'un utilisateur peuvent être bannis s'il s'avère que le mot de passe a deviné d'autres joueurs.

Pour tenter de lutter contre le PGing, Roblox interdira automatiquement un compte qui a été connecté après avoir été inactif pendant un nombre arbitraire d'années [citation nécessaire], et ne le retirera que si l'utilisateur peut fournir une preuve de propriété du compte. Cette mesure s'est avérée polarisante parmi la base d'utilisateurs. Certains y voient une nécessité efficace pour lutter contre le vol de compte, d'autres le considèrent comme trop strict pour les propriétaires d'origine qui ont perdu l'accès à une adresse e-mail antérieure liée audit compte. Il ne tient pas compte non plus des propriétaires de compte d'origine qui donnent ou vendent des comptes à d'autres, ce qui viole également les directives de la communauté de Roblox.

Contenu

1 Histoire
- 1.1 2016
2 cibles prioritaires
Prévention 3
Remarques 4
Références 5

Notre Histoire

La devinette de mot de passe a été un problème constant tout au long de l'histoire de Roblox, et de nombreux événements ont influencé l'utilisation de la devinette de mot de passe.

2016

Article détaillé : 2016 Roblox Security Breach

Certains comptes créés en septembre 2006 ou avant ont été invités à modifier leur mot de passe après que Roblox a annoncé qu'un joueur avait obtenu un accès non autorisé à un site de test contenant des informations utilisateur "limitées" en 2016 ; cet incident a ensuite motivé Roblox à mettre en œuvre une fonction d'autorisation à deux facteurs.[1]

Objectifs prioritaires

Bien que les devineurs de mot de passe puissent avoir une variété de motifs pour le faire, les utilisateurs suivants sont considérés comme les types d'utilisateurs les plus prioritaires

Développeurs de jeux à succès (principalement ceux qui ont des jeux en première page)
Utilisateurs ou leurs comptes alternatifs avec une richesse extrême en Robux ou des articles limités
Comptes de YouTubers populaires, en particulier ceux du programme Roblox Video Stars, ou leurs comptes alternatifs
Utilisateurs qui possèdent des groupes populaires de toutes sortes
Des créateurs de vêtements de renom
Anciens comptes (généralement antérieurs à 2012) et utilisateurs snipés
Utilisateurs avec des articles rares hors vente ou ceux qui possèdent la seule copie d'un certain article
Les utilisateurs avec des numéros d'identification « spéciaux » ou ceux qui possèdent des groupes avec des identifiants de groupe spéciaux (par exemple, Azoo5573, le milliardième utilisateur)
Administrateurs Roblox
Utilisateurs décédés

Prévention

La devinette de mot de passe reste un problème répandu sur Roblox, les utilisateurs doivent donc prendre des mesures pour éviter que cela ne leur arrive. Un mot de passe fort est l'une des meilleures méthodes pour empêcher que le compte de l'utilisateur ne soit violé, et ce qui suit sont des directives pour créer des mots de passe forts, ainsi que des méthodes pour protéger leur mot de passe et leur compte. Beaucoup de ces conseils ne sont pas exclusifs à Roblox et peuvent être utiles sur d'autres sites Web concernant la cybersécurité de l'utilisateur :

Les mots de passe ne doivent contenir aucune information facilement identifiable, telles que leur nom Roblox, leur date de naissance ou d'autres informations facilement connues. Évitez d'utiliser certains des mots de passe les plus courants, tels que "mot de passe" (Roblox ne l'autorise plus à partir d'une date inconnue), "1234567", "roblox123", "abc123" ou "qwerty".[2]
Créer un mot de passe long. Les mots de passe doivent comporter au moins 8 caractères et inclure des lettres majuscules, des lettres minuscules, des chiffres et des symboles spéciaux si possible. Évitez d'avoir des motifs dans le mot de passe, tels que "12345678", qui sont souvent filtrés en premier par les devineurs de mot de passe.[3]Si l'utilisateur n'est pas en mesure de créer son mot de passe, il est fortement recommandé d'utiliser des générateurs de mot de passe et de l'enregistrer quelque part dans le les fichiers informatiques de l'utilisateur ou les gestionnaires de mots de passe.
Éviter les mots courants. Le meilleur mot de passe est un fouillis de caractères. l33t sp33k est plus puissant que les caractères de texte normaux, mais doit toujours être évité car le logiciel est plus facilement capable d'identifier l33t sp33k.[3] La meilleure façon de créer un mot de passe est de penser à une phrase et de l'abréger.[4] Par exemple, la phrase Shedletsky mange du poulet frit tous les jours. Miam miam! peut être abrégé en sefcedyy. L'ajout de lettres majuscules, de chiffres et de caractères spéciaux crée un mot de passe comme $3fCed_Y&y!. Alternativement, plusieurs mots simples aléatoires (connus sous le nom de phrase secrète) avec des espaces entre eux tels que « papier de couverture verte d'horloge » peuvent également être étonnamment efficaces et plus faciles à retenir (une de ces méthodes est Diceware). Des sites Web tels que How Secure Is My Password sont un excellent outil pour déterminer la force du mot de passe de l'utilisateur et l'améliorer en conséquence. L'utilisateur doit également essayer d'éviter d'utiliser des mots du dictionnaire, car les pirates ont un logiciel qui force brutalement les mots de passe du dictionnaire.
Garder le mot de passe unique à Roblox.com. De cette façon, si une vulnérabilité de sécurité se produit sur un autre site Web (comme un site Web de fans sur Roblox), le compte Roblox de l'utilisateur est moins susceptible d'être menacé par les PGers utilisant ce mot de passe de site Web de fans pour essayer d'accéder à leur compte Roblox. S'ils utilisent le même mot de passe pour chaque site Web, au cas où une personne aurait pénétré le compte de la victime, ils auraient essentiellement accès à tous les comptes numériques de la victime.[3][5]
Utiliser un gestionnaire de mots de passe. Un gestionnaire de mots de passe typique permettra à l'utilisateur de créer un compte pour stocker toutes ses informations de connexion pour chaque site Web qu'il utilise séparément sous un seul compte principal, et il peut également lui permettre de générer des mots de passe longs et aléatoires pour chaque site Web, puis de les enregistrer automatiquement. -rempli la prochaine fois qu'il veut se connecter. Le seul problème est que l'utilisateur doit s'assurer qu'il se souviendra des détails du compte principal lui-même (noter le nom d'utilisateur et le mot de passe quelque part est une bonne méthode) et s'assurer également que son mot de passe pour le compte principal n'est pas faible.
Ne jamais partager le mot de passe avec qui que ce soit. L'utilisateur ne doit pas entrer ses informations de connexion Roblox sur un site Web autre que Roblox.com. Le personnel et les jeux de Roblox ne demanderont jamais leur mot de passe, et toute personne qui leur demande de le faire est une arnaque. L'utilisateur ne doit jamais partager les informations du navigateur Roblox, telles que son cookie ROBLOSECURITY. S'ils utilisent un ordinateur partagé, comme dans une école ou une bibliothèque, ils ne doivent pas laisser le navigateur Web enregistrer leurs informations de connexion, ou éviter de se connecter à des sites Web si possible.[5] Juste au cas où, l'utilisateur pourrait vouloir dire à un tuteur ou à un parent de confiance s'il oublie son mot de passe, comme alternative aux gestionnaires de mots de passe. Enfin, ils doivent s'assurer qu'ils sont au courant des dernières escroqueries et qu'ils ne tombent pas dans le piège.
Faire preuve de prudence lors du téléchargement d'extensions Roblox. Certaines extensions et applications de navigateur peuvent voler des informations de connexion ou injecter des logiciels malveillants dans l'ordinateur de l'utilisateur.
Toujours se déconnecter lorsque l'utilisateur a fini de jouer. Il est possible que si quelqu'un vole l'ordinateur, le téléphone, la tablette ou tout ce qui contient ses informations Roblox (ou tout autre site Web), il doit les modifier immédiatement et se déconnecter de toutes les autres sessions de son compte à l'aide d'un autre appareil. Il est possible que le voleur pénètre dans l'appareil, lance Roblox et vole le compte de la victime. Des mesures doivent donc être prises pour empêcher cela dès que possible. Cependant, ils doivent d'abord s'assurer que les sites Web les plus cruciaux sont sécurisés, tels que leurs e-mails, leurs réseaux sociaux, leurs services bancaires et d'autres détails importants avant Roblox.
Vérifier leur e-mail et activer la vérification en deux étapes. Lorsque la vérification en deux étapes est activée, chaque fois que son compte est connecté à partir d'un nouvel emplacement, Roblox demandera au joueur de saisir un code envoyé à l'adresse e-mail du compte avant d'autoriser la connexion. Cela permet également à l'utilisateur de savoir s'il a deviné le mot de passe et s'il a besoin de créer un mot de passe plus fort. C'est l'un des meilleurs moyens de sécurité du compte, car le pirate doit également accéder au mot de passe de la victime et à son adresse e-mail avant de pouvoir se connecter avec succès au compte de la victime, même s'il peut être contourné en obtenant son cookie ROBLOSECURITY. [5]
Activation d'un code PIN de compte. Lorsqu'un code PIN de compte est activé, chaque fois qu'un paramètre tel qu'un nom d'utilisateur, un mot de passe, une date de naissance, un e-mail, un numéro de téléphone ou une autorisation à deux facteurs ou l'activation d'un code PIN est modifié, Roblox demandera un code PIN prédéfini avant que les modifications ne soient activée. Cela empêche les utilisateurs non autorisés de modifier les paramètres du compte s'ils ne connaissent pas le code PIN.

Notes

Un mot de passe facile à retenir est généralement aussi facile à deviner pour un attaquant. Les mots de passe difficiles à mémoriser réduiront la sécurité d'un système car

(une) les utilisateurs peuvent avoir besoin d'écrire ou de stocker électroniquement le mot de passe en utilisant une méthode non sécurisée,
(B) les utilisateurs auront besoin de fréquentes réinitialisations de mot de passe
(c) les utilisateurs sont plus susceptibles de réutiliser le même mot de passe.

De même, plus les exigences de force de mot de passe sont strictes, par exemple « avoir un mélange de lettres et de chiffres majuscules et minuscules » ou « le changer tous les mois », plus le degré auquel les utilisateurs vont subvertir le système est élevé.

Dans « La mémorabilité et la sécurité des mots de passe », Jeff Yan et al. examine l'effet des conseils donnés aux utilisateurs sur un bon choix de mot de passe. Ils ont découvert que les mots de passe basés sur la pensée d'une phrase et la prise de la première lettre de chaque mot sont tout aussi mémorables que les mots de passe sélectionnés naïvement, et tout aussi difficiles à déchiffrer que les mots de passe générés aléatoirement. La combinaison de deux mots sans rapport est une autre bonne méthode. Avoir un "algorithme" conçu personnellement pour générer des mots de passe obscurs est une autre bonne méthode. Dans les dernières améliorations, de plus en plus de personnes remarquent un changement dans la manière dont les mots de passe sont sécurisés.
Cependant, demander aux utilisateurs de se souvenir d'un mot de passe composé d'un « mélange de caractères majuscules et minuscules » est similaire à leur demander de se souvenir d'une séquence de bits : difficile à retenir, et seulement un peu plus difficile à déchiffrer (par exemple seulement 128 fois plus difficile à crack pour les mots de passe à 7 lettres, moins si l'utilisateur met simplement une des lettres en majuscule). Demander aux utilisateurs d'utiliser « à la fois des lettres et des chiffres » conduira souvent à des substitutions faciles à deviner telles que « E » → « 3 » et « I » → « 1 », des substitutions bien connues des attaquants. De même, taper le mot de passe une ligne de clavier plus haut est une astuce courante connue des attaquants.

Des recherches détaillées dans un article d'avril 2015 de plusieurs professeurs de l'Université Carnegie Mellon montrent que les choix de structure de mot de passe des gens suivent souvent plusieurs modèles connus. En conséquence, les mots de passe peuvent être beaucoup plus facilement déchiffrés que leurs probabilités mathématiques ne l'indiqueraient autrement. Les mots de passe contenant un chiffre, par exemple, l'incluent de manière disproportionnée à la fin du mot de passe.

Les chances de deviner un mot de passe à 8 chiffres sont de 1 sur 2.1834 Quintillion (2.1834E+15), ce qui rend extrêmement rare de deviner le mot de passe de quelqu'un. Les chances de deviner un mot de passe charabia (chaîne aléatoire de chiffres, de lettres et de symboles) sont de 1 sur 6.09569 Quintillion (6.09569E+15).

Références

Roblox. (2016). Mise à jour de sécurité. Blog Roblox. Extrait de https://blog.roblox.com/2016/08/security-update/
Koshevoy Dmitry. (2018). Liste des mots de passe les plus courants. Extrait de : http://www.passwordrandom.com/most-popular-passwords
3.0 3.1 3.2 Kim Komando. (2015). Comment créer un mot de passe sécurisé. États-Unis aujourd'hui. Extrait de https://www.usatoday.com/story/tech/columnist/komando/2015/05/15/strong-passwords/27240877/
pzdupe2. (2016). Un pirate informatique m'a dit comment créer un mot de passe super fort dont je me souviens réellement. Interne du milieu des affaires. Extrait de http://www.businessinsider.com/hacker-strong-password-2016-4
5.0 5.1 5.2 Lilly_S. (2017). PSA : Protégez votre compte. Forums des développeurs Roblox. Extrait de https://devforum.roblox.com/t/psa-keep-your-account-safe/65430.