conf harden your brain Brest 2016

iot.md

Sébastien Lambour

DEFCON16: 47 0-day ESP8266

hmac/AES/RSA...

Trust, but verify blockchain=trust N-1 code using hash (link like a transaction)

mdp.md

https://twitter.com/Hydraze

Performance

https://hashcat.net/hashcat/

970 GTX => 10GH/s pour MD5 (5 seulement avec un i7)

Attaques

dictionnaire

listes de mots de passes cassés, top 10 perso, scrapping, etc...

Recommandations:

• ne pas réutiliser des mots de passes
• pas de mots ou de citations connues

règles de mutations

écriture de règles:

• ajoute l'année de naissance à la fin
• change le a en @

Recommandations:

• Ne pas utiliser un mot modifié

Force brute

couverture exhaustive extrêmement lents

(taille_charset)^(nombre_de_caractères)

par masque

comment optimiser bruteforce ?

• des masques (une majuscule possède une proba forte d'être au début par ex)
• chaînes de Markov (+ de chance d'avoir un i après un m qu'un p)

recommmandation:

• pas de motifs
• pas moins de 10 caractères

Analyses et statistiques

passpal, pipal, P.A.C.K

LinkedIn

123456 utilisé par 1 135 935 personnes en 2012...

Pour les développeurs

• bcrypt, scrypt, argon2 (anti-GPU, évolutives)
• ajouter un pepper (un préfixe comme AES256)
• zxcvbn