Game Boy Advance cracke des mots de passe à 727/s : GBA-Hashcat défie le temps

727. Oui, vous avez bien lu. Pas 727 tentatives par minute, non. 727 hashes par seconde. Sur une Game Boy Advance. Une machine sortie en 2001, avec un processeur ARM7 à 16,8 MHz et 256 Ko de RAM. Mine de rien, c’est plus rapide que mon vieux Pentium III sur lequel j’ai démarré ma carrière en 2003. Et encore, ce dernier avait besoin de Windows 98 SE, d’une carte mère qui prenait feu toute seule, et d’un ventilateur à enrouleur. Bref.

Ce petit exploit ? Le fait de solst-ice, un développeur qui a décidé de transformer une console de Nintendo en machine de guerre. Son arme ? GBA-Hashcat, un portage de Hashcat sur la GBA. Le célèbre outil de crackage, version 2024, mais en version light, histoire de voir ce que donne un CPU qui tient dans la main… et une alimentation par piles AA.

Pour être honnête, je ne m’attendais pas à ça. Pas après avoir passé des heures à expliquer à des clients que non, leur ancien PC sous XP ne tiendra pas 3 minutes face à une attaque par force brute. Mais bon. Quand la technologie prend des chemins détournés, autant en profiter pour rigoler un coup.

—

Hashcat sur une cassette Game Boy : l’audace a des limites (et c’est tant mieux)

Hashcat, pour ceux qui dorment encore sous un rocher numérique, c’est l’outil ultime pour cracker des mots de passe. 300 algorithmes supportés, des attaques en GPU/CPU, des optimisations à faire pâlir d’envie un ingénieur de la NSA. Bref, la Rolls du crackage. Sauf que… la Rolls, elle pèse 30 kg et coûte 20 000 $. La GBA, elle, tient dans une poche et se trimballe avec des piles qui coûtent 5 euros la boîte.

Alors oui, GBA-Hashcat ne gère qu’un seul algorithme. Le SHA-256. Pas de MD5, pas de NTLM, pas de bcrypt pour ralentir gentiment la machine. Juste du SHA-256. Mais 727 hashes par seconde, c’est déjà pas mal du tout. Pour comparaison, un vieux Core 2 Duo de 2006 en fait… 10 à 15 par seconde. Autant dire que la GBA est un monstre de son temps, même 20 ans après.

D’ailleurs, j’ai testé ça sur un client dernièrement. Un pauvre gars qui m’a appelé parce que son mot de passe « azerty123 » avait été cracké en 2 heures par un script kiddie. Son PC ? Un i5-4590, une GTX 1060, et… Windows Update qui tournait en arrière-plan. Résultat : il a mis 45 minutes de plus que prévu. La preuve que même en 2024, Microsoft trouve encore le moyen de saboter les performances. Mais c’est une autre histoire.

Ce qui m’impressionne, c’est la bricole. Parce qu’une GBA, on ne la code pas comme un Raspberry Pi. Le processeur est lent, la mémoire est limitée, et le SDK officiel de Nintendo date de l’époque où l’on pensait que la 3D était l’avenir (spoiler : ça l’était… jusqu’à ce que tout le monde passe sur mobile).

Et pourtant, ça marche. Comment ? Grâce à un mélange de monstres sacrés :

• Un portage de Hashcat en C, optimisé pour l’ARM7 de la GBA.
• Une routine de calcul de SHA-256 en assembleur, pour gagner chaque cycle CPU.
• Des piles AA en lieu et place du secteur. Parce que bon, une console qui s’alimente en 2024 avec des piles, c’est quand même un coup marketing.

Alors oui, c’est lent. Comparé à mon RTX 4090 qui casse des hashes en mode parle à mon cul en 0,0001 seconde. Mais c’est portable. On peut l’emmener à la plage, dans le train, ou devant la télé en regardant une rediffusion de « Plus belle la vie ». Et surtout, c’est discutable. Un cracker lambda ne va pas trimballer un rack de serveurs dans sa poche. Mais un script kiddie avec une GBA dans son sac ? Là, ça devient drôle.

—

SHA-256 : l’algorithme qui a tout déclenché

Pourquoi SHA-256 ? Parce que c’est un des hashs les plus utilisés aujourd’hui. Bases de données, sauvegardes, mots de passe en base64… Bref, un classique. Et comme tout classique, il a ses faiblesses. Notamment : il est crackable en force brute si le mot de passe est faible. « azerty123 »? « 12345678 »? « password »? Même Hashcat en 2001 aurait pu les trouver.

Le projet GBA-Hashcat est donc un bon exemple de ce qu’on peut faire avec du vieux matériel. Mais attention : ce n’est pas une révolution. C’est une démonstration. Une preuve que même les vieilles consoles peuvent servir à quelque chose si on les utilise bien. Mais surtout, c’est un rappel : un mot de passe faible, ça se cracke. Point.

Prenez mon client de l’autre jour. Son mot de passe était « toto2024 ». 4 secondes sur GBA-Hashcat. 0,5 milliseconde sur mon RTX 4090. La différence ? Le hardware. La logique ? Toujours la même : un mot de passe simple = un mot de passe cracké.

D’ailleurs, j’ai un pote qui utilisait sa date de naissance comme mot de passe. 2002-08-15. Devinez quoi ? Cracké en 2 minutes. Pas par une GBA, mais par Hashcat en mode simple. Alors oui, parfois, un vieux clou fait le même taf qu’un marteau-piqueur.

Le vrai problème, ce n’est pas la technologie. C’est l’utilisateur. Parce qu’un mot de passe fort, ça se fait avec :

• 12 caractères minimum.
• Majuscules, minuscules, chiffres, symboles.
• Une phrase mnémotechnique (ex : « J’ai_mangé_3_pizzas_en_2024! » → « J’m3p2024! »)
• Et surtout… ne jamais le réutiliser.

Sinon, même une Game Boy Advance en 2001 vous bottera le cul.

—

Une Game Boy pour cybercriminel ? Spoiler : non

Alors, est-ce que GBA-Hashcat va révolutionner le crackage de mots de passe ? Non. Ou du moins, pas encore. Parce que 727 hashes par seconde, c’est bien. Mais contre un mot de passe comme « CorrectBatteryHorseStaple! », même la GBA va galérer. Là, il faut des années de calcul. Et des années, sur une console qui tourne à 16 MHz, ça fait une éternité.

Mais alors, à quoi ça sert ?

À rien, et c’est très bien comme ça. Parce que cette bricole, c’est avant tout un projet artistique. Une façon de montrer que même les vieux jouets ont encore du potentiel. Et puis, bon. C’est marrant. Un peu comme ceux qui installent Linux sur une calculatrice TI-83. Ou qui font tourner Doom sur un frigo intelligent.

Par contre, ce que je trouve dangereux, c’est l’idée que ça pourrait inspirer des gens à développer des outils similaires. Parce que mine de rien, si demain, un script kiddie sort une NES cracker qui fait 100 hashes par seconde… là, ça devient un problème. Pas parce que c’est impressionnant techniquement. Mais parce que ça va donner des idées à des gens qui n’ont pas les compétences pour comprendre les limites.

À côté de ça, j’ai vu des clients qui utilisaient leur adresse email comme mot de passe. Oui, vous avez bien lu. Pas « azerty123 », pas « 123456 », mais leur propre email. Résultat ? Hack en 3 secondes. Alors franchement, entre un script kiddie avec une GBA et un utilisateur qui fait ça, je sais qui je préfère de loin.

Alors oui, GBA-Hashcat, c’est un coup de com’. Un pied de nez à la technologie moderne. Et un bon rappel : le matériel ne fait pas tout. La sécurité, elle, commence par l’utilisateur.

—

Faut-il s’inquiéter ? Mon avis de tech qui a vu passer le siècle dernier

Alors, inquiétude niveau orange ? Rouge ? Pas vraiment. Parce que même avec 727 hashes par seconde, on est loin du compte. Un mot de passe fort reste inattaquable en force brute. Et puis, soyons honnêtes : qui va trimballer une GBA en 2024 pour cracker des mots de passe ? À part les nostalgiques et les geeks en mal de sensations fortes ?

Par contre, ce projet me fait penser à autre chose. Aux vieux PCs que je répare encore aujourd’hui. Des machines sous Windows XP, avec des disques durs qui font un bruit de tracteur. Des gens qui me disent : « Mais Marc, mon PC est lent, il freeze tout le temps… ». Et moi de leur répondre : « Oui, mais c’est un Pentium 4 avec 512 Mo de RAM. En 2024. En 2024. »

La GBA cracke des mots de passe ? Super. Mais mon plus gros problème aujourd’hui, c’est les clients qui utilisent encore Flash en 2024. Des sites qui tournent sur des VPS avec 1 cœur CPU et 512 Mo de RAM. Des logiciels qui plantent parce que « l’éditeur a arrêté le support en 2012 ». Là, oui, c’est un drame. Un vrai.

Alors oui, GBA-Hashcat, c’est cool. C’est drôle. C’est un projet qui prouve que même les vieilles consoles ont encore des secrets à révéler. Mais le vrai danger, ce n’est pas une GBA qui cracke des hashes. C’est un utilisateur qui ne met pas à jour ses mots de passe depuis 10 ans. C’est un administrateur système qui utilise encore SHA-1 en 2024. C’est Windows qui installe des MAJ qui plantent la moitié des PCs du pays.

Donc non, je ne m’inquiète pas. Pas pour ça. Mais si un jour je vois un client arriver avec une GBA en diciendo : « Marc, il me faut ce truc pour cracker les mots de passe de mon entreprise », là, je vais rire. Ou pleurer. Je ne sais pas encore.

En attendant, continuez à forcer les gens à changer leurs mots de passe tous les 6 mois. Parce que même avec une GBA crackant à 727 hashes par seconde, un mot de passe simple, ça se casse en 2 secondes.

—

Pour aller plus loin : la GBA, Hashcat, et ce qu’on en fait vraiment

Si vous voulez essayer GBA-Hashcat par vous-même (parce que bon, c’est toujours sympa de bidouiller), le projet est open source. Vous trouverez tout sur GitHub. Mais attention : il vous faudra une GBA, un linker, et un peu de patience. Parce que compiler du code pour ARM7 en 2024, c’est comme essayer de faire tourner Windows 95 sur un PC moderne : ça demande du temps et des connaissances.

Et si vous vous demandez ce que donne un SHA-256 en réel sur cette bécane, le projet inclut des benchmarks. Spoiler : 727 hashes par seconde, c’est le max absolu. Pas de miracle. Juste du bon vieux calcul brut, comme à l’époque des disquettes.

Du coup, si vous voulez tester, préparez-vous à :

• Acheter une GBA d’occasion (environ 50-100€ sur Leboncoin).
• Trouver un linker (le matériel qui permet de flasher la console).
• Télécharger le SDK de Nintendo (oui, il faut encore faire ça en 2024).
• Et surtout, avoir une bonne raison de faire ça. Parce que franchement, à part impressionner les potes ou faire un article de blog, je ne vois pas l’intérêt.

Alors oui, c’est un projet génial. Ambitieux. Un peu fou. Mais la vraie question, c’est : à quoi ça sert vraiment ? À cracker des mots de passe ? Non. À prouver que la technologie est résiliente ? Oui. À rappeler que même les vieilles bécanes ont encore des choses à nous apprendre ? Absolument.

Et puis, avouons-le : c’est toujours marrant de voir une console de 2001 défier nos PCs ultra-puissants. Parce que mine de rien, ça nous rappelle une chose essentielle : le progrès ne se mesure pas toujours en GHz ou en To de RAM.

—

Source et crédits : où j’ai piqué mes infos (et pourquoi je fais confiance à Korben)

Toutes les infos sur GBA-Hashcat viennent d’un article de Korben, un site que je suis depuis des années. Pourquoi je leur fais confiance ? Parce que Gabriel, le fondateur, c’est un ancien infographiste devenu tech. Il teste les trucs, il écrit des articles clairs, et surtout… il a des couilles au dos. Pas comme certains sites qui font du clickbait sur « les 10 hackers les plus dangereux » alors que leur dernier article date de 2010.

Donc si vous voulez en savoir plus, lisez l’article original. Et si vous voulez rigoler un coup, testez GBA-Hashcat. Mais ne venez pas me voir en disant que vous voulez cracker les mots de passe de votre entreprise. Je ne suis pas complice.

Lire l’article sur Korben : « 727 mots de passe par seconde, la Game Boy Advance s’y met fort ^^ »

Source : article original