Brute force et MFA
Brute force est l'un des six types d'attaque du duel de cartes, et MFA est la défense qui le contre. Tu trouveras ici ce qu'ils représentent dans la sécurité réelle, comment ils s'affrontent dans le jeu et leurs 19 cartes.
L'attaque : Brute force
La force brute essaie mot de passe après mot de passe jusqu'à ce que l'un fonctionne. Les variantes plus rusées sont l'attaque par dictionnaire, qui utilise les mots les plus courants, le password spraying, qui tente quelques mots de passe sur un très grand nombre de comptes pour ne pas déclencher de blocages, et le credential stuffing, qui réutilise des identifiants volés ailleurs. Cela marche parce que beaucoup de mots de passe sont courts, prévisibles ou réutilisés sur plusieurs sites.
La défense : MFA
L'authentification multifacteur (MFA) demande, en plus du mot de passe, une deuxième preuve : un code temporaire, une notification sur le téléphone, une clé physique ou une passkey. Ainsi, un mot de passe deviné ou volé ne suffit plus pour entrer. Les clés FIDO2 et les passkeys résistent même au phishing, car elles ne peuvent pas être utilisées sur un faux site.
Qui arrête quoi
- MFA contre Brute force : dégâts divisés par deux. Même si le mot de passe est deviné, il manque le second facteur : l'accès reste fermé.
- Brute force contre IDS : double dégâts. Chaque tentative est une connexion normale sur la bonne page : une attaque lente et répartie ressemble au trafic habituel.
- Brute force contre Patch : double dégâts. Elle n'exploite aucune faille, elle utilise la fonction de connexion telle quelle : aucune mise à jour ne rend solide un mot de passe faible.
- Exploit contre MFA : double dégâts. L'exploit ne passe pas par la connexion, il contourne entièrement l'authentification : le second facteur n'entre jamais en jeu.
- Scan contre MFA : double dégâts. Un scan n'essaie d'entrer dans aucun compte, il regarde seulement ce qui répond : le second facteur n'y est pour rien.
Dans toutes les autres combinaisons, les dégâts sont normaux.
Les combos avec Brute force
- Kill chain (Scan → Exploit ou Brute force, +2 dégâts): on découvre d'abord ce qui est exposé, puis on attaque le point faible trouvé.
- Vol d’identifiants (Phishing → Brute force, +2 dégâts): les mots de passe obtenus par phishing rendent les tentatives de connexion bien plus efficaces.
Cartes d'attaque Brute force (10)
Password spray
Essaie quelques mots de passe courants sur de très nombreux comptes, pour éviter les blocages.
Attaque par dictionnaire
Essaie les mots de passe les plus courants, l'un après l'autre. Ça marche plus souvent qu'on ne le croit.
Credential stuffing
Réutilise des identifiants volés sur d'autres sites : ça marche car on réutilise ses mots de passe.
Brute force à grande échelle
Une attaque solide à coût moyen.
Credential dump
Tu pioches une carte.
Low and slow
Peu de tentatives, très espacées : elles restent sous le seuil des alarmes et aucun blocage ne se déclenche. Pendant 2 tours, au début du tour, les défenses adverses perdent 1 de résistance.
Clés API exposées
Une clé oubliée dans un dépôt public vaut un mot de passe. On l'évite avec des secrets dans un coffre et l'analyse des dépôts. L'adversaire défausse 1 carte au hasard.
Rainbow table
Une attaque forte, sans effets.
MFA fatigue
Des rafales de demandes d'approbation jusqu'à ce que l'utilisateur, las, accepte. On répond avec le numéro à confirmer et une limite de demandes. Les défenses adverses sont exposées (+1 dégât) pendant 2 tours.
Pass-the-hash
L'empreinte d'un mot de passe suffit pour passer d'une machine à l'autre sans le connaître. On le limite avec des identifiants locaux uniques et des niveaux d'administration. La défense adverse la plus forte perd 2 de résistance et les défenses adverses sont exposées (+1 dégât) pendant 2 tours.
Cartes de défense MFA (9)
Code OTP
Un second facteur avec un code temporaire : le mot de passe seul ne suffit plus.
Gestionnaire de mots de passe
Des mots de passe longs et différents pour chaque site, sans devoir les retenir. Une défense pas chère.
Clé matérielle
Une clé FIDO2 : elle résiste même au phishing d'identifiants.
Bastion host
Provocation : doit être frappée en premier.
Passkey
Régénère : +1 de résistance au début du tour.
Contrôle d'accès réseau (NAC)
Chaque appareil doit s'identifier avant d'entrer : un inconnu reste dehors ou finit en quarantaine. Provocation : doit être frappée en premier. Bouclier : −1 à chaque dégât à ton core.
Coffre-fort chiffré
Un coffre-fort numérique : des données chiffrées qui ne s'ouvrent qu'avec plusieurs facteurs. Armure : −1 à chaque coup subi.
Forteresse zero trust
Une architecture où chaque accès est vérifié, même depuis l'intérieur du réseau. Armure : −1 à chaque coup subi. Bouclier : −1 à chaque dégât à ton core.
Clé FIDO2
L'identifiant est lié au vrai site : sur un faux, il ne produit rien, et le phishing perd son but. Contre-attaque : qui la frappe perd 1 d'intégrité.
Guides associés (en anglais)
Pour apprendre la partie technique, il y a les laboratoires simulés :