Default Credentials

Que sont les identifiants par défaut ?

Les identifiants par défaut sont les noms d’utilisateur et mots de passe préconfigurés par un éditeur ou un fabricant. Ils servent souvent à la première connexion. Lorsqu’ils sont publics et restent inchangés, ils peuvent donner accès à l’équipement ou à l’application sans deviner un mot de passe propre à l’utilisateur.

Pourquoi les identifiants par défaut restent une porte d’entrée

Beaucoup d’équipements et de logiciels sortent d’usine avec un couple identifiant et mot de passe connu, publié dans le manuel pour la première configuration. Quand ce couple n’est pas changé, il offre un accès complet à qui connaît le produit. Le problème est ancien et toujours vivant parce que le parc est immense : routeurs grand public, caméras IP, imprimantes, consoles d’administration, bases de données exposées par erreur.

Le ver Mirai l’a montré à grande échelle en 2016 : il se propageait en testant une liste d’une soixantaine de couples telnet par défaut (root/xc3511, admin/admin, root/vizxv, parmi d’autres) sur des caméras et des enregistreurs vidéo. En octobre 2016, le botnet ainsi constitué a servi à l’attaque par déni de service contre le fournisseur DNS Dyn, qui a rendu indisponibles de nombreux services aux États-Unis. Le code source de Mirai, publié la même année, a confirmé que la liste tenait en quelques dizaines de lignes.

Les régulateurs ont fini par traiter le sujet. La loi californienne SB-327, entrée en vigueur le 1ᵉʳ janvier 2020, impose à tout objet connecté vendu dans l’État une sécurité raisonnable, et en pratique l’interdiction d’un mot de passe par défaut commun à tous les appareils. La norme européenne ETSI EN 303 645 (publiée en 2020) fait de l’absence de mot de passe par défaut universel sa première disposition. Le Cyber Resilience Act de l’Union européenne, entré en vigueur en décembre 2024 et dont les obligations s’appliqueront à partir de 2027, va dans le même sens pour les produits comportant des éléments numériques.

Comment l’outil fonctionne

Les données proviennent du projet DefaultCreds-cheat-sheet (ihebski, MIT). Un script de synchronisation épinglé sur un commit précis récupère le fichier CSV, vérifie que la licence est toujours MIT, parse le CSV selon la RFC 4180, puis normalise : les fabricants sont harmonisés pour l’affichage sans perdre la valeur d’origine, les doublons sont retirés et les marqueurs comme <blank> deviennent une valeur vide. Le jeu de données figé est chargé dans votre navigateur, où tout le filtrage a lieu.

La recherche ignore la casse et les accents, découpe la requête en mots dont chacun doit correspondre, et tolère espaces et tirets, de sorte que d-link, dlink et d link renvoient le même produit. Les résultats sont groupés par fabricant avec le nombre de couples, et l’export reprend exactement la sélection affichée.

Méthode en mission

La première étape est d’identifier le produit : bannière de service (SSH, telnet, SNMP), en-tête HTTP Server, titre et logo de la page de connexion, format du realm d’authentification Basic. Une fois le modèle connu, le couple à essayer se réduit souvent à deux ou trois valeurs, ce qui évite de multiplier les tentatives.

De nombreux systèmes verrouillent un compte après quelques échecs, et un verrouillage déclenché sur un compte d’administration est un incident en soi, visible côté client. Un test ciblé, limité aux couples pertinents et espacé dans le temps, respecte cette contrainte mieux qu’une attaque par dictionnaire aveugle. Journalisez chaque tentative, l’horodatage et la réponse obtenue : la preuve d’un accès par identifiant par défaut doit figurer dans le rapport, et la traçabilité protège aussi le testeur.

Limites du jeu de données

La cheat sheet est utile mais partielle. Elle ne distingue pas toujours les versions de firmware, les variantes régionales ni les sorties récentes, et certaines entrées sont en réalité des indices (numéro de série, les huit derniers chiffres du numéro de série) plutôt que des valeurs littérales : l’outil les signale et les exclut des exports. Un produit absent peut parfaitement avoir un couple par défaut non répertorié ici. Pour une liste faisant autorité, revenez à la documentation du constructeur, qui publie désormais souvent ses valeurs par défaut, ou à des bases spécialisées.

Comment s’en défendre

Changez tout identifiant par défaut avant la mise en production, imprimante et onduleur compris, et préférez un équipement qui force ce changement à la première connexion, comme l’exigent désormais la norme ETSI EN 303 645 et le Cyber Resilience Act. Désactivez les comptes de service inutiles, segmentez le réseau d’administration, et placez les interfaces de gestion derrière un VPN plutôt que sur Internet. Côté détection, une règle qui remonte les connexions réussies avec un identifiant par défaut connu repère à la fois un oubli et un attaquant.