Votre mot de passe vous protège-t-il?

30 secondes! C'est le temps maximum pour casser un mot de passe de 6 lettres.
Depuis quelques années, nous sommes assaillis de demandes de noms d'utilisateur (login), de numéros+digit, de dates d'expiration, de codes, de mots de passe pour une multitude de services d'importances variées.
Il est donc devenu vital d'établir une politique robuste de sécurité accompagnée de moyens mnémotechniques simples. Voyons comment se créer un ou plusieurs mots de passe solides.

1) Les mauvaises habitudes à éviter:

Il est tentant d'utiliser son login comme mot de passe. Mais n'oubliez pas que votre login est rarement stocké chiffré (codé). Il est donc très facile pour le pirate informatique de le trouver.

Tous les services n'utilisent pas le même niveau de sécurité. Si un tiers malveillant découvre votre mot de passe en cassant la sécurité faible d'un service, il pourra alors l'utiliser pour franchir une sécurité supérieure d'un service plus important.
C'est la première attaque qu'un pirate informatique tentera contre vous!
Le niveau de sécurité du service c'est, entre autre, la manière dont il va garder secret le mot de passe que vous lui aurez transmis. En effet, cette sécurité dépend de l'importance des données et du sérieux du créateur du service.
Lorsque les données ou l'accès au service ne nécessitent pas une grande protection (par exemple: un forum) le mot de passe n'est pas toujours codé et il peut être facilement récupéré (degré de fiabilité faible). Par contre, lorsque les données ou les services sont extrêmement confidentiels (par exemple: l'accès aux données bancaires) aucun ordinateur ne doit pouvoir communiquer votre mot de passe. Et celui-ci ne doit pas pouvoir vous être rappelé en cas d'oubli (degré de fiabilité élevé).

Il existe beaucoup de sortes d'attaques, mais une des plus simples utilise une base de mots provenant de multiples dictionnaires. Pensez qu'un mot correctement orthographié, même décliné et quelle que soit sa longueur sera aussi facile à casser qu'un mot inintelligible de 4 lettres parmi les 26 de l'alphabet latin. En simple: anticonstitutionnellement est aussi facile à trouver que fjzt. Inutile d'aller pêcher dans les langues étrangères, elles sont rarement mieux loties que le français sauf peut-être les langues tribales ou les dialectes.

Voici le top 15 des mots de passe les plus utilisés:

Ces mots de passe sont à bannir de notre utilisation.

Lorsque l'attaque par dictionnaire échoue, le pirate informatique tentera une attaque par "force brute". C'est-à-dire qu'il essaiera toutes les combinaisons de manière exhaustive. Pour connaître en combien de temps maximum ce pirate cassera votre code, c'est simple, il vous suffit de résoudre le calcul suivant: tmax=(bⁿ)/f
tmax= temps maximum pour découvrir un mot de passe
b= base de symboles dans laquelle vous allez puiser
n= taille de votre mot de passe.
f= fréquence de test par seconde. Par exemple, sur un ordinateur de moyenne gamme, la fréquence de test est d'environ 10 millions de mots de passe/seconde

2) Comment créer une politique de mot de passe fiable et facile à retenir?

N'hésitez pas à créer un mot de passe rempli de fautes d'orthographe d'usage, ceci afin d'empêcher une attaque par dictionnaire:

Évitez les fautes d'orthographe habituelles ou de simplement supprimer les accents

Cela peut produire des mots de passe performant et facile à retenir

Afin d'allonger de manière conséquente la base de symboles et la taille du mot de passe, et donc sa sécurité, il est facile d'ajouter une séquence personnelle et rapide au clavier.

Il suffit alors de prendre la première lettre de chaque mot d'une chanson ainsi que la ponctuation.

qui prendra déjà plusieurs années avant d'être décrypté.
Attention de ne pas siffloter votre mot de passe dans votre bureau tous les matins.

1) Créez un mot de passe simple de base.

2) Ajoutez-lui en préfixe ou suffixe un terme se rapportant au service protégé

3) Ensuite modifiez le mot de passe suivant le niveau de sécurité du service protégé pour le rendre graduellement plus complexe.

(Notez que les banques traditionnelles ont d'autres procédés bien plus efficaces mais requérant un calculateur externe.)

3) Le futur du mot de passe.

Avec la démocratisation des lecteurs d'empreintes digitales, de formes du visage, de pigmentations de l'iris puis plus tard de signatures génétiques, les mots de passe deviendront vite désuets. Se poseront alors d'autres problèmes ergonomiques, éthiques, politiques voir marketing.
Mais la vie privée sera-t-elle mieux protégée?
En attendant, un mot de passe solide peut vous faire épargner beaucoup d'argent et de soucis.

Bernard Cédrik

Expert informatique
Auceanne IT