Ophcrack est un logiciel qui va vous permettre de cracker les mots de passe des utilisateurs de Windows qui sont stockés en LAN Manager hash (LM hash) ou NTLM hash de façon assez simpliste. Celui-ci utilise les Rainbow Tables qui sont un hybride des Lookup Tables et de brute force. J'en parle dans un article pour sécuriser un mot de passe en base de données.

Il permet de casser 99.9% des mots de passe alpha-numériques en quelques secondes, voir quelques minutes. La nouvelle version LiveCD 3.4.0 est construite sur SliTaz 4.0. Christophe Lincoln de SliTaz a d'ailleurs aidé les auteurs de Ophcrack à améliorer les scripts de partitions et de détection des tables.

Un tableau provenant du livre Troubleshooting Windows 7 nous montre combien de temps cela prendrait pour un PC classique de cracker un mot de passe suivant sa longueur et sa complexité.

Ce livre ayant été écrit en Novembre 2010, les temps de traitement rapportés dans ce tableau doivent maintenant être plus courts mais il reste tout de même un bon indicateur. Par exemple un mot de passe de 8 caractères composé d'au moins une lettre majuscule et minuscule, de nombres et de symboles prenait à l'époque 2,25 ans à cracker. Le même mot de passe aujourd'hui ne prendrait que 57 jours à cracker.

ghacks nous propose ici son tableau avec des zones de chaleurs en rouge, jaune et vert suivant si le mot de passe est sécurisé ou non sécurisé.

Comme ils l'expliquent dans leur article, la loi de Moore a beaucoup à voir avec les durées plus courtes qu'il faut faut pour cracker un mot de passe aujourd'hui. En 1975, Moore réévalua sa prédiction en posant que le nombre de transistors des microprocesseurs sur une puce de silicium double tous les deux ans. Et aujourd'hui avec les quad core et l'utilisation du GPU pour des calculs encore plus poussés, nous pouvons voir que nos mots de passe que nous considérions comme sécurisés ne le sont tout simplement pas.

Pour avoir un mot de passe sécurisé, il faut faire en sorte que celui-ci contienne des lettres majuscules et minuscules, des chiffres et des caractères spéciaux avec une longueur entre 10 et 14 caractères. Évitez aussi les mots de passe connus utilisés par la majorité des dictionnaires comme God par exemple et votre date de naissance qui peut être facile à deviner.

Pour savoir si votre mot de passe est sécurisé, vous avez des sites comme How Secure Is My Password qui vous permettront de rentrer votre mot de passe afin de savoir le temps que cela peut prendre pour un PC de bureau à le cracker.