Défi : Notez le générateur de mots de passe de Tlams

Bonjour,

La rubrique sécurité vous propose de noter le générateur de mot de passe de Tlams dans le cadre de ce défi.

N'oubliez pas que notre partenaire livre, les éditions ENI, offrira aux trois meilleures participations un livre intitulé Ethical Hacking, dont vous pouvez consulter les retours par nos membres.

Participation :

• Auteur :Tlams
• Type de projet : Applicatif (AHK)
• Tester : lien
• Sources : lien
• Description :

Citation:

---

Envoyé par Tlams

Il s’agit d’un générateur de mots de passes basé sur des listes de mots.
Ce fonctionnement permet d’obtenir des mots des passes résistants et faciles à retenir.
J'ai visé la simplicité, autant sur le niveau fonctionnel que sur l'interface.

Il est programmé en AutoHotKey(AHK), langage presque inconnu en France. (Dérivé de l'Auto-IT).
Il permet de réaliser des programmes et scripts de façon rapide.

Au niveau du fonctionnement du programme:
L'utilisateur choisi ses préférences, puis le programme teste toutes les possibilités jusqu'à trouver un enchainement valable correspondant à la taille du mot de passe désiré. Sorte de brute force qui teste environ 1600 possibilités par secondes*.


Caractéristiques :
- Programmé en AHK.
- Compatible systèmes Windows (Win9x/NT/XP/VISTA/W7/W8).
- Tout-en-un, un seul fichier (.exe), pas d’installation.
- Langue: Français.

Fonctions :
- Choix du niveau de complexité.
- Choix du nombre de caractère, avec marge.
- Filtre de suppressions (chiffres, caractères spéciaux, majuscules).
- Calcule deux possibilités.
- Donne un indice de résistance.

Source: http://pastebin.com/zrs2YkYH
Téléchargement: http://www.tlams.fr/ressources/Gen_pw.exe

http://www.developpez.net/forums/att...-genpxcap.jpg/

*Bench réalisé sur mon poste (I7/8Go ram)

---

J'essaye d’être le plus objectif possible, mais ayant soumis moi même soumis une proposition à ce concours c'est relativement délicat pour moi de noter. N’hésitez pas a revenir vers moi si mes notations semblent abusives.

C'est le dernier candidat a noter et il ne me reste qu'une heure... C'est court.

Je suis ici aussi admiratif... C'est original et audacieux

Note: mon antivirus m'interdit d’exécuter le fichier (quarantaine auto)... Je dois donc l’exécuter en mode Sandbox sur une VM. C'est plutôt pénalisant, on veut réduire les risques en ayant des mots de passe forts, et non pas les augmenter en exécutant de force un fichier place en quarantaine par l'antivirus.

Note globale :10.8 /20

fonctionnalités : 2.2 points

• Les fonctions demandées sont présentes
• Je ne comprends pas comment la force du mot de passe est testée, il semble que les parametres de configuration du générateur soient utilises au lieu du mot de passe lui même. Approche dangereuse et pénalisante sur cette fonction pourtant importante.
• Mauvais point: On ne peut pas tester un mot de passe non généré
• Portabilité limitée aux systèmes Windows
• Bon point: génération de mot de passe facile a mémoriser base sur un dictionnaire... Le dictionnaire est un peu court toutefois.

qualité du code : 2 points

• C'est un peu difficile a lire mais on s'y retrouve, après c'est pas du tout modulaire, disons même entièrement monolithique
• L'indice de notation dépend de paramètres d’entrée, pas réutilisable

commentaire et documentation : 2 points

• Le code est un peu commenté
• Dommage: Pas de documentation autre que les quelques ligne de description
• Dommage: Pas d'information de licence du code

sécurité de l'application : 2 points

• Ne comprenant pas parfaitement le AHK je suis mal place pour noter la sécurité de l'aleas de génération. Le dictionnaire est trop court.
• Mauvais point: mon antivirus (Symantec) refuse d’exécuter l'application (risque de sécurité?)

design et inventivité de l'interface : 2.6 points

• Pas de point fort ici. Rien de particulièrement pénalisant non plus.
• Dommage: rien n'indique pourquoi l'indice est fort ou faible