Audit ou revue de processus : que faire quand un fichier chiffré n’a plus de mot de passe documenté ?
Lorsqu’une entreprise prépare un audit, un changement de périmètre, une certification ou une revue d’organisation, elle découvre souvent des archives ZIP, RAR, 7Z, des PDF ou des documents Office que personne ne sait ouvrir. Le fichier existe, mais la clé d’accès n’est ni dans le gestionnaire de mots de passe, ni dans le dossier de transmission, ni dans la tête du collaborateur parti.
Ce problème n’est pas seulement technique : c’est souvent une défaillance de documentation. Le chiffrement remplit bien son rôle, mais la procédure qui permet de retrouver la clé a été oubliée. Heureusement, on peut fréquemment récupérer l’accès avec une méthode structurée, sans « casser » le chiffrement et sans envoyer le fichier original à un tiers.
Pourquoi les entreprises se retrouvent avec des fichiers chiffrés non documentés
Plusieurs causes reviennent régulièrement :
- Un collaborateur a chiffré une archive avec un code propre à lui, sans le verser dans le coffre-fort partagé.
- Le mot de passe a été envoyé par e-mail ou messagerie instantanée, puis la conversation a été supprimée ou archivée.
- Le fichier vient d’un client, d’un prestataire ou d’un ancien système, et la personne qui l’a reçu a quitté l’entreprise.
- Une politique de mots de passe a changé : on tente le nouveau code alors que l’archive utilise l’ancien.
- Le fichier est une sauvegarde ancienne portant un nom générique, par exemple « sauvegarde_2021.zip ».
- L’entreprise stocke ses codes dans un classeur Excel ou un PDF, mais ce document est lui-même chiffré.
Le chiffrement est une bonne pratique. Il protège les données sensibles pendant le transfert et l’archivage. En revanche, sans procédure de dépôt et de test, il devient un point de blocage au moment où l’entreprise a justement besoin de prouver qu’elle maîtrise ses informations.
Commencer par le diagnostic, pas par la force brute
Avant de lancer un calcul long, il faut qualifier le problème.
- Identifier le format et le niveau de protection. Un ZIP, un RAR, un 7Z, un PDF, un Word, un Excel ou un PowerPoint ne se comportent pas tous de la même façon. Certains exigent un code pour l’ouverture ; d’autres interdisent seulement la modification, l’impression ou la copie.
- Vérifier s’il s’agit d’un vrai chiffrement ou d’une restriction. Dans Office, une feuille Excel peut être protégée contre la modification alors que le classeur s’ouvre normalement. Dans un PDF, un « mot de passe permissions » n’est pas toujours un « mot de passe d’ouverture ». Seul ce dernier bloque réellement la lecture.
- Travailler sur une copie. Ne réenregistrez pas l’original à chaque essai. Une copie permet de tester sans risque d’altérer le fichier source.
- Retracer le contexte. Cherchez dans les tickets, e-mails, notes de réunion, gestionnaires de mots de passe et documents de passation. Le nom du client, le code projet, l’année, le sigle de l’entreprise ou une règle interne peuvent faire partie du code.
- Contrôler l’intégrité du fichier. Un fichier corrompu ou incomplet peut afficher un message d’erreur trompeur. Si possible, comparez-le avec une autre sauvegarde ou avec la source d’origine.
Cette étape permet souvent d’éviter des heures de calcul inutiles.
Les approches de récupération possibles
Une fois le diagnostic posé, plusieurs méthodes existent.
1. Attaque par dictionnaire et règles dérivées
C’est souvent l’approche la plus efficace pour les codes choisis par des humains. On teste des mots courants, des noms de projets, des années, des suffixes d’entreprise et leurs variantes : majuscules, minuscules, chiffres ajoutés, symboles ou remplacements courants.
Pour un fichier d’entreprise, un dictionnaire personnalisé est plus utile qu’une liste générique. Il peut inclure :
- le nom de l’entreprise et ses anciennes marques ;
- les noms de clients ou de projets ;
- les dates de clôture, de migration ou de signature ;
- les sigles internes ;
- les anciennes règles de création de mots de passe.
2. Attaque par masque
Si vous vous souvenez de la structure — par exemple trois lettres, quatre chiffres et un point d’exclamation — un masque réduit considérablement le nombre de combinaisons. C’est beaucoup plus rapide qu’une recherche exhaustive.
3. Force brute
La force brute teste toutes les combinaisons possibles. Elle fonctionne pour les codes courts et simples, mais elle devient très coûteuse pour un secret long et aléatoire. Face à une archive AES avec un code de 16 caractères tirés au hasard, aucune méthode ne peut promettre un résultat rapide.
4. Calcul GPU et extraction locale du hash
Les outils sérieux n’essaient pas de « deviner » le code directement dans le fichier. Ils extraient localement une empreinte, ou hash, et les données de vérification nécessaires, puis effectuent les calculs sur des processeurs graphiques. Les GPU sont beaucoup plus adaptés que les CPU pour ce type de tâche répétitive.
C’est aussi un avantage pour la confidentialité : le fichier source reste sur votre poste ; vous ne transmettez que l’empreinte nécessaire au calcul.
Faire soi-même ou passer par un service spécialisé ?
Un utilisateur technique peut utiliser des outils locaux sur son propre matériel. C’est économique, mais cela demande du temps, de la configuration et une machine puissante. Sur un ordinateur portable, une recherche peut durer des jours sans résultat, avec un impact sur la productivité.
Un service comme Catpasswd est particulièrement adapté lorsque :
- le délai est serré (audit, clôture, réponse client, contentieux) ;
- vous ne connaissez pas la structure du mot de passe ;
- le fichier est ancien ou provient d’un collaborateur parti ;
- vous devez traiter plusieurs archives ;
- vous souhaitez préserver la confidentialité du contenu.
Catpasswd prend en charge ZIP, RAR, 7Z, PDF, Word, Excel, PowerPoint, ainsi que des portefeuilles Bitcoin, des exports 1Password et d’autres formats courants. L’extraction du hash se fait localement : vous n’avez pas besoin d’envoyer le fichier original. Le calcul est ensuite réalisé sur un cluster GPU, avec des dictionnaires et des règles de régularités qui augmentent les chances face à des mots de passe humains.
Côté tarif, le modèle est simple : en cas d’échec, vous n’avez rien à payer. En mode gratuit, après une récupération réussie, un temps d’attente permet de consulter le résultat ; une option payante permet de l’afficher immédiatement.
Comment éviter que la situation se reproduise
La récupération est un dépannage. La vraie solution est organisationnelle :
- Centralisez les codes légitimes dans un gestionnaire de coffre-fort avec droits d’accès, pas dans un tableur non chiffré.
- Mettez en place une procédure de dépôt. Pour chaque archive sensible, enregistrez le mot de passe dans le coffre avec l’identifiant du propriétaire et la date de création.
- Séparez le fichier et le code. Envoyez l’archive via un canal et le secret via un autre canal, ou stockez-le dans un coffre auquel les administrateurs autorisés ont accès.
- Testez la restauration. Un mot de passe stocké mais jamais testé ne vaut rien. Vérifiez régulièrement qu’un échantillon d’archives s’ouvre correctement.
- Sécurisez les départs. Lorsqu’un collaborateur quitte l’entreprise, demandez-lui de référencer les fichiers chiffrés et de transférer l’accès au coffre avant la révocation des comptes.
- Documentez les archives. Le nom du fichier peut indiquer le projet et l’année, mais jamais le mot de passe en clair.
Avec ces réflexes, un audit devient l’occasion de réduire la dette numérique, pas de découvrir un obstacle la veille d’une échéance.
FAQ
Un fichier ZIP ou RAR peut-il se verrouiller après plusieurs essais erronés ?
En général, les fichiers chiffrés locaux n’appliquent pas de compteur de verrouillage comme un compte en ligne. Multiplier les essais ne « casse » pas le fichier, mais il est préférable de travailler sur une copie et d’utiliser une méthode organisée.
Dois-je envoyer mon fichier à Catpasswd ?
Non. Catpasswd permet d’extraire localement le hash ou les caractéristiques nécessaires ; le fichier source reste sur votre appareil. Seules les données de calcul sont transmises.
Quels formats sont pris en charge ?
ZIP, RAR, 7Z, PDF, Word, Excel, PowerPoint, Bitcoin Wallet, 1Password, Wallet et d’autres formats chiffrés courants.
Combien de temps prend la récupération ?
Cela dépend du format, de l’algorithme, de la longueur et de la complexité du mot de passe, ainsi que des indices disponibles. Un code court ou basé sur un motif connu peut être retrouvé rapidement ; un code long et aléatoire peut être impossible à récupérer dans un délai raisonnable.
Un PDF interdit en modification est-il bloqué par un mot de passe d’ouverture ?
Non. Un PDF peut avoir un mot de passe de permissions pour empêcher l’impression ou la copie, tout en restant lisible. C’est différent d’un mot de passe d’ouverture, qui chiffre le document et nécessite une récupération.
Est-ce légal de récupérer un mot de passe sur un fichier d’entreprise ?
Vous devez avoir un droit légitime d’accès au fichier et aux données qu’il contient. Catpasswd est conçu pour retrouver l’accès à vos propres fichiers ou à ceux dont votre organisation est légitimement responsable.
Que faire si le mot de passe est totalement aléatoire ?
S’il est long, généré aléatoirement et stocké nulle part, la récupération peut être infaisable. En revanche, la plupart des blocages en entreprise viennent de codes humains, réutilisés ou dérivés d’une règle interne ; les dictionnaires personnalisés et les attaques par masque donnent alors de bons résultats.