Auditer la réutilisation des mots de passe après une fuite du portail est un projet pratique Kali Linux destiné aux personnes sachant saisir des commandes et reconnaître des chemins de fichiers. Une association a fermé son portail du personnel, mais l’ancien export de mots de passe pourrait encore menacer son service d’archives. Votre mission consiste à établir quelles informations d’authentification récupérées permettent réellement d’accéder à une identité actuelle autorisée.
Deux laboratoires guidés présentent la démarche : récupérer des mots de passe anciens synthétiques avec John the Ripper, préserver leur lien avec les employés, puis tester les paires exactes autorisées avec Hydra et SSH. Un défi indépendant transpose ces méthodes à des archives d’ateliers dont les enregistrements, comptes et port sont différents. Chaque unité dispose de son propre environnement préparé.
Ce que vous apprendrez
- Effectuer une récupération limitée par dictionnaire sur de véritables hachages SHA-512 crypt et conserver les résultats liés aux comptes dans des fichiers privés.
- Relier les anciens enregistrements aux identifiants actuels autorisés grâce à des identifiants d’employé stables, même lorsque les noms affichés se répètent.
- Tester des paires exactes avec Hydra et distinguer un refus d’authentification abouti d’un échec de connexion ou de l’outil.
- Observer une identité authentifiée par SSH et produire un inventaire des impacts sans mots de passe.
- Distinguer la réutilisation démontrée, le refus des anciens identifiants, l’absence d’autorisation et les mots de passe non récupérés.
À qui s’adresse ce cours
Ce cours s’adresse aux apprenants Kali Linux et aux futurs analystes de sécurité souhaitant mener une petite évaluation complète des identifiants, au-delà d’une commande de récupération isolée.
Prérequis : Savoir saisir des commandes simples et reconnaître des chemins. Commencez par le premier laboratoire guidé : il enseigne les options nécessaires, la protection des fichiers et la récupération avant leur mise en pratique autonome. Aucune programmation ni expérience préalable d’Hydra n’est requise.
Environnement d’apprentissage : LabEx fournit le terminal Auditor dans le navigateur, les outils Kali, des éléments synthétiques et un véritable service SSH isolé. L’auditeur et la cible sont des conteneurs partageant le noyau d’une VM. Aucune installation locale de Kali, aucun compte externe ni aucune cible publique ne sont nécessaires.
Questions fréquentes
Récupérer un ancien mot de passe prouve-t-il l’accès au compte actuel ?
Non. Il faut relier l’enregistrement à un identifiant actuel autorisé et tester cette paire exacte. Le cours sépare explicitement ces deux décisions.
Un mot de passe non récupéré est-il sûr ?
Non. Cela signifie seulement que le budget de candidats fourni n’a pas permis de le récupérer. Le projet conserve cette incertitude au lieu de certifier sa robustesse.
Vais-je modifier des mots de passe ou attaquer des systèmes publics ?
Non. Toutes les identités et cibles appartiennent à l’exercice préparé. Vous préservez le service et ses comptes pendant l’évaluation ; la rotation des mots de passe constitue une autre tâche.
Que vais-je livrer ?
Des éléments privés de récupération et des paires exactes, étayés par de véritables décisions d’authentification, ainsi qu’un inventaire sans mots de passe distinguant les quatre résultats possibles. Le défi vous demande de réunir ces résultats sans procédure guidée.
