« Sésame, ouvre-toi ! » publié le 08/10/2010 - mis à jour le 17/12/2021
Pour que le mot de passe ne soit plus une passoire...
Le mot de passe… fort
Définition :
"Un mot de passe fort est un mot de passe qui est difficile à retrouver, même à l’aide d’outils automatisés1. La force d’un mot de passe dépend de sa longueur et du nombre de possibilités existantes pour chaque caractère le composant. En effet, un mot de passe constitué de minuscules, de majuscules, de caractères spéciaux et de chiffres est techniquement plus difficile à découvrir qu’un mot de passe constitué uniquement de minuscules."
Site internet du Centre d’Expertise gouvernemental de Réponse et de Traitement des Attaques informatiques2
enaissancechambara
licenceCC/by-sa
Les règles (et leur mise en œuvre réaliste) :
- 1. Ne pas utiliser un seul mot de passe.
Les services en ligne se multiplient et il semble irréaliste voire contreproductif (car l’utilisateur sera contraint de noter ses différents mots de passe) de suggérer la création et la mémorisation de dizaines de mots de passe différents.
En revanche, il est impératif de hiérarchiser et de distinguer le « niveau de risque » des applications (ou services) et de s’interdire une quelconque perméabilité entre elles. Si le site accessible par votre mot de passe ne sert qu’à réserver des salles, l’enjeu n’est pas le même que s’il s’agit d’un logiciel avec lequel vous pouvez par exemple envoyer des messages, renseigner des évaluations ou faire des achats. Si une base est piratée et votre mot de passe découvert il ne faut pas que l’usurpateur puisse utiliser tous vos comptes sensibles.
Ainsi, je n’utiliserai jamais le même mot de passe pour :
-
- ma correspondance (courriel, messagerie instantanée, liste de diffusion),
- mes publications (forum, site web, blog, wiki),
- mes transactions financières,
- mon accès réseau,
- mes applications protégées,
- etc.
et distinguerai toujours ce qui relève du contexte personnel et du contexte professionnel.
- 2. Ne pas noter son mot de passe là où on irait le chercher
Le mieux est de le retenir, mais si je ne m’en sens pas capable il doit être bien noté dans un endroit improbable, caché dans une liste, et pas en 1ère page de l’agenda.
- 3. Ne pas autoriser le navigateur à enregistrer le mot de passe
L’usage nomade des TIC implique d’être particulièrement vigilant lorsque l’on utilise un ordinateur autre que la machine domestique. Que l’on soit en salle des professeurs, au cdi, dans une salle de formation…, il convient de ne jamais autoriser le navigateur à enregistrer le mot de passe qui permet d’accéder à une application ou un service protégé (le navigateur demande par exemple « Voulez-vous que xx se souvienne du mot de passe ? »). Dans le cas contraire, une personne mal intentionnée pourrait -à mon insu- utiliser mon compte !
- 4. Ne pas utiliser un mot de passe trop simple ou « attendu ».
Ainsi, les combinaisons en séquence (11111 ; 12345 ; abcde ), les suites du clavier (azerty ; wxcvbn ; …), les prénom, nom et date de naissance (en particulier de proches) ainsi que les mots qui se trouvent dans le dictionnaire (écrits à l’endroit ou à l’envers) sont à proscrire.
Le plus fâcheux consistant probablement à utiliser son identifiant comme mot de passe !
- 5. Ne pas partager son mot de passe
Sans sombrer dans la paranoïa aiguë, j’évite de taper mon mot de passe lorsque les regards se font trop indiscrets !
Dans le même esprit, je ne partage pas mon mot de passe, même avec un collègue amical, car ce collègue peut être imprudent ou entouré de personnes moins bien intentionnées.
Page suivante : Le mot de passe… mémorisable !
(1) Exemples d’outils automatisés :
L’attaque par dictionnaire est une méthode utilisée en cryptanalyse pour trouver un mot de passe ou une clé. Elle consiste à tester une série de mots de passe potentiels, les uns à la suite des autres, en espérant que le mot de passe utilisé pour le chiffrement soit contenu dans le dictionnaire (source : wikipedia).
L’attaque par force brute est une méthode utilisée en cryptanalyse pour trouver un mot de passe ou une clé. Il s’agit de tester, une à une, toutes les combinaisons possibles. Cette méthode de recherche exhaustive ne réussit que dans les cas où le mot de passe cherché est constitué de peu de caractères (source : wikipedia).