Contrôle des mots de passe compromis ou vulnérables dans WordPress
L'un des types d'attaque les plus connus et les plus anciens est ce qu'on appelle les attaques par force brute. Pour simplifier, elles consistent à essayer des combinaisons d'utilisateurs et de mots de passe jusqu'à trouver celle qui donne accès à l'espace privé.
Même si elle peut sembler difficile à mener à bien, plusieurs facteurs font qu'elle reste aujourd'hui une attaque efficace. D'une part, les utilisateurs continuent d'utiliser des combinaisons peu sûres, qu'il s'agisse de mots de passe très répandus (le fameux 123456) ou faibles (des mots ou des combinaisons de chiffres qui pourraient être devinés en un nombre d'essais assez réduit).
À cela s'ajoute l'existence sur le réseau de bases de données exposées lors de fuites de services massifs (comme celle de Facebook, un piratage qui a exposé 500 millions d'utilisateurs et de mots de passe). Elles pourraient servir à obtenir des adresses e-mail et des mots de passe encore utilisés sur d'autres services et, par conséquent, à augmenter l'efficacité des attaques par force brute.
Grâce aux mécanismes de sécurité mis en place, nous détectons de façon très fiable lorsqu'une attaque par force brute est en cours, et nous bloquons les tentatives suivantes des IP de l'attaquant.
Cependant, le meilleur scénario est que l'utilisateur sache lui-même qu'il utilise un mot de passe vulnérable et puisse le changer avant toute tentative fructueuse d'un attaquant. C'est pourquoi, pour plus de sécurité, nous avons mis en place un nouveau mécanisme qui détecte, lors de la connexion de l'utilisateur légitime, s'il utilise un mot de passe faible ou compromis (qui apparaît dans une base de données de fuites). Si c'est le cas, il est redirigé vers la page de récupération de mot de passe de WordPress, qui lui demande de remplacer son mot de passe par un nouveau mot de passe sûr.
Pour l'instant, cette option est disponible pour WordPress, mais elle sera étendue à l'avenir aux autres applications les plus utilisées.