L'attaque combinator — Fonctionnement exhaustif
Document de référence pour le projet Time2Crack
Destinataires : développeurs, chercheurs en sécurité, utilisateurs avancés
Table des matières
addCombinatorAttacks()1. Vue d'ensemble
L'attaque combinator concatène des entrées de dictionnaire pour produire des candidats composés (mot1+mot2, parfois avec variantes). Elle cible particulièrement les passphrases courtes de mots courants.
2. Contexte historique et académique
Les wordlists issues de fuites ont montré qu'une grande partie des passphrases humaines courtes reposent sur des mots fréquents combinés. Les moteurs combinator sont devenus des briques standard des campagnes hashcat.
3. Fondements : concaténation de tokens probables
Si A et B sont deux ensembles de mots, l'espace nominal vaut |A| * |B|, bien inférieur à une brute force de même longueur. Le gain vient de la densité probabiliste: les combinaisons humaines fréquentes sont testées tôt.
4. Architecture d'une attaque combinator moderne
1) Sélection de listes (mots courants, prénoms, contexte)
2) Tri par fréquence
3) Concaténation ordonnée (A+B, parfois B+A)
4) Ajout optionnel de règles simples
5) Test hash GPU5. Combinator vs passphrase robuste
Deux mots courants concaténés restent vulnérables.
Une passphrase robuste combine plusieurs mots rares et non corrélés, idéalement générés aléatoirement.
6. Implémentation dans Time2Crack : addCombinatorAttacks()
Activation quand :
looksPassphrase,
common,weak.Catégorie: cat: "combi", note: nPassphrase ou nNotPassphrase.
7. Keyspace combinator dans Time2Crack
Le modèle utilise COMBI_KEYSPACE et budgetTime(...), avec branche spécifique pour certains cas communs.
8. Calibration et priorisation
En haute fidélité, la catégorie combinator est favorisée lorsque la structure passphrase est détectée.
9. Benchmarks et ordres de grandeur
Sur hash rapides, les combinaisons fréquentes peuvent être testées très vite.
Sur KDF lents, le coût de chaque tentative ralentit l'attaque mais ne supprime pas la vulnérabilité structurelle.
10. Exemples concrets
bluesky : exposé combinator.horsebattery : exposé si mots fréquents.fjord-nectar-lotus-amber : nettement plus résistant.