Vous estimez
avoir un excellent mot de passe, qui combine mot, chiffres et
caractères spéciaux ? Détrompez-vous ! La bonne nouvelle, c'est qu'il
est facile d'avoir un sésame plus sécurisé... et plus facile à retenir.
Quatorze ans après avoir publié ce qui était
considéré comme la bible de la création de mots de passe, l’auteur du
document révise sa position dans une interview au
Wall Street Journal.
En 2003, Bill Burr conseillait dans une annexe d'un document publié par le
National Institute of Standards and Technology
(agence américaine notamment chargée de développer des normes
technologiques) de créer un mot de passe contenant majuscules,
minuscules, chiffres et signes de ponctuation et d’en changer
régulièrement (tous les 90 jours).
Des combinaisons trop compliquées à retenir
Mais ces conseils n’étaient finalement pas si judicieux. Pour une
raison simple : de tels mots de passe sont non seulement compliqués à
retenir pour les utilisateurs... mais aussi très faciles à casser par
d'éventuels pirates. En effet, d'innombrables internautes choisissent un
simple mot, qu'ils vont légèrement modifier et/ou compléter par des
caractères spéciaux pour en faire leur sésame.
Exemple ? Un amateur de pangolins pourrait par exemple choisir de
sécuriser son compte avec le mot de passe "$Pang0l1N$!". Or malgré sa
complexité apparente, cette suite de caractères demeure facilement
cassable par une attaque hybride combinant dictionnaire et force brute
(voir le dessin plus bas).
« Je regrette une grande partie de ce que j’ai écrit », a
déclaré Bill Burr, aujourd’hui à la retraite, au journal américain. Il
admet par ailleurs que ses conseils n’étaient pas basés sur des données
empiriques et qu’il était sous pression parce qu’il devait terminer
rapidement son document.
« Finalement, conclut-il,
ça rendait juste les gens dingues et leur a fait choisir de mauvais mots de passe. »
Une meilleure idée : la phrase longue
En juin dernier, le document a donc été entièrement réécrit par Paul
Grassi, expert en sécurité pour le NIST, qui tempère les reproches que
se fait le retraité.
« Il a tout de même rédigé un document qui a duré 10 à 15 ans. J’espère pouvoir en faire autant. »
Désormais, le NIST conseille d’utiliser une longue phrase facile à retenir, comme le montre la bande dessinée de
l'inénarrable Randall Munroe
ci-dessous. Selon ses calculs, il faudrait seulement trois jours pour
trouver le mot de passe Tr0ub4dor&3 à raison de 1000 tentatives par
seconde, contre... 550 ans pour la phrase « correcthorsebatteryestable
» !
Plutôt que son mot de passe impossible à retenir, notre fan de
pangolins serait donc plus en sécurité avec une clé telle que
«vivelespangolinsbretonsenliberte» ou «pangolinartichautrugbytablette»
par exemple. Des suites de mots qui sont, en plus, bien plus faciles à
retenir.
Autre changement dans les consigne du NIST : ne changer de mot de passe
que s’il y a un signe qu’il a pu être corrompu, et non plus tous les
90 jours.
Ces consignes utiles peuvent désormais être accompagnées d'outils
complémentaires pour sécuriser ses comptes. La double authentification
que proposent déjà de nombreuses applis et services (
Facebook,
Apple,
Google…) en est un. Vous savez ce qu'il vous reste à faire !
Commentaires
Enregistrer un commentaire