Les mots de passe sont une constituante essentielle de notre vie privée. Ils permettent de verrouiller l'accès à nos secrets pour les protéger des curieux. Mais choisir un bon mot de passe et surtout le retenir est quelque chose qui ne doit pas être pris à la légère.
La faiblesse de mots de passe
Connaissez-vous les 6 mots de passe utilisés les plus fréquemment dans le monde ? Vous allez voir, ce n'est pas très recherché...
password
123456
12345678
1234
qwerty (ou azerty pour les Français)
12345
Des mots de passe assez simple à deviner, qui sont pourtant encore la norme, tant les gens n'y prêtent pas attention.
Seulement, voilà... Un mot de passe, ça se devine ou ça se cracke. Pour ce qui est de deviner, les hackers n'ont pas eu à chercher loin... Avec des outils comme John The Ripper, et des listes de mots de plusieurs gigas (wordlist), il ne leur faudra que quelques secondes, voire minutes pour trouver un mot de passe simple.
Et si votre mot de passe ne fait pas partie de cette liste de mot, mais qu'il est court avec des caractères simples du genre "23#aj", il ne faudra que quelques minutes pour le cracker avec une technique dite de bruteforce. Le bruteforce, ça consiste à trouver le sésame en testant toutes les combinaisons.
Par exemple :
0001
0002
0003
...
aaaa
aaa1
aaa2
....
aaab
aaac
aaad
....
Et au bout d'un moment plus ou moins long, votre mot de passe ne sera plus un secret. Évidemment, plus les machines sont puissantes, moins elles mettent de temps pour tester toutes ces combinaisons. Les super ordinateurs de la NSA sont d'ailleurs connus pour être très efficaces sur le sujet ;-).
Si votre mot de passe est un mot qu'on trouve dans le dictionnaire, cela représentera environ 600 000 possibilités à tester. Autant dire pas grand-chose.
Après pour un mot de passe à 8 caractères, il faudra tester au maximum 100 000 000 de combinaisons si le mot de passe est constitué uniquement de chiffres, 208 827 064 576 combinaisons si c'est uniquement des lettres en minuscules. Et si c'est toutes les lettres (majuscules et minuscules + les chiffres) ce sera 218 340 105 584 896 combinaisons qu'il faudra tester.
Mais si ces chiffres sont impressionnants, les ordinateurs d'aujourd'hui sont capables de traiter ça très rapidement.
Sur la totalité des caractères ASCII, il fallait en 2010 environ :
11 heures pour un mot de passe de 6 caractères
6 semaines pour un mot de passe de 7 caractères
5 mois pour un mot de passe de 8 caractères
10 ans pour un mot de passe de 9 caractères
Évidemment, depuis 2010, la puissance des machines et les logiciels ont énormément évolué, donc ce temps s'est considérablement réduit.
Comment avoir un mot de passe solide ?
Vous l'aurez compris, l'erreur à éviter est de choisir un mot de passe trop court, trop simple à deviner ou un mot du dictionnaire.
Si les gens utilisent des mots de passe faibles, c'est surtout par manque d'imagination et surtout par paresse mentale. Pourtant, il est possible d'avoir des mots de passe difficilement violables et mémorisables .
Comment retenir un mot de passe ?
La seconde technique, pour avoir des mots de passe costauds et surtout mémorisables, c'est de faire ce qu'on appelle des phrases de passe. Plutôt que de retenir quelque chose comme "A5g4&Po5@2" ce qui n'est pas évident, il vaut mieux constituer une phrase complète que vous ne trouverez pas dans un livre ou dans une chanson, mais uniquement dans votre tête. Par exemple :
Ma loutre ne devinera jamais que le téléphone a mangé des frites au caramel bleu
Non, je vous assure, je n'ai rien fumé. Mais cette phrase est très longue, facilement mémorisable et impossible à cracker au moment où j'écris cet article.
Vous pouvez bien sûr la rendre encore plus complexe en y élargissant les caractères ASCII, ce qui augmentera encore la difficulté :
M4 loutr# ne deviner4 jamais que le t&l&phne a m@ngé des fr/tes au caram3l bleu
Il convient évidemment de ne jamais écrire ce mot de passe (encore moins sur un post-it collé sur l'écran ou sous votre clavier) ni le donner à quelqu'un (un collègue, un ami...etc.). Un mot de passe, ça reste personnel et uniquement dans sa tête.
L'idéal, c'est donc d'utiliser une phrase de passe comme mot de passe principal de votre gestionnaire de mot de passe, puis de générer des mots de passe complexes différents pour chacun des services en ligne (ou non) que vous utilisez.
La question secrète
La question secrète, c'est ce que vous demande un site web pour vous renvoyer un mot de passe oublié. Par exemple, le nom de jeune fille de votre mère, votre couleur préférée, le nom de votre animal de compagnie ou votre lieu de naissance.
Comme c'est le genre de choses facile à trouver si on vous connait un peu ou si on vous pose simplement la question et que vous y répondez naïvement, je vous invite plutôt à répondre un truc débile, mais dont vous vous souviendrez à chaque question secrète.
Quelle est votre couleur préférée : Andouillette
Nom de jeune fille de votre mère : Terminator
Nom de votre animal de compagnie : Grand-mère
Lieu de naissance : Ford Fiesta
L'authentification en 2 étapes
Ce processus est primordial. Il repose sur un principe simple... Pour vous autoriser l'accès à un service, il faut quelque chose que vous connaissez et quelque chose que vous possédez.
Par exemple, en plus de votre mot de passe, un service en ligne pourra vous envoyer un email ou un SMS contenant un code à taper. Il existe aussi des solutions hardware avec une clé USB de type Yubikey à insérer dans votre ordinateur ou des choses plus biométrique comme votre empreinte de pouce.
L'idée c'est donc de coupler ces 2 informations. Ainsi, en cas de vol de mot de passe par un cyber criminel, celui-ci ne lui sera d'occupe utilité s'il n'a pas aussi volé votre smartphone ou arraché votre pouce. ;-)
La plupart des services en ligne et des gestionnaires de mot de passe proposent la double authentification et je vous invite vraiment à l'activer partout.
Conclusion
Finalement, gérer efficacement ses mots de passe et les retenir, ce n'est pas si compliqué que ça. Il suffit juste de s'y mettre en choisissant une phrase de passe qui restera gravée à jamais dans votre esprit, et vous reposer ensuite sur l'imagination débordante d'un générateur de mot de passe et la mémoire sans faille d'un gestionnaire de mots de passe.
C'est le moment d'aller changer votre mot passe, vous ne trouvez pas ?