Comme tout informaticien, j’ai régulièrement des appels au secours pour dépanner les ordinateurs de mes connaissances… La plupart du temps, il s’agit d’ordinateurs tournant avec MS Windows et ayant été contaminés par des virus. Outre une sensibilisation aux comportements de précaution liés à la sécurité de leurs machines, il se pose souvent la question du choix des multiples mots de passe nécessaires à toute sortes de tâches ou services informatisés (accès privilégié à certains systèmes, services de courrier électronique, banques, réseaux sociaux, sites de commerce en ligne, etc). Quel conseil donner sur ce choix des mots de passe ?
Quelques articles récents m’ont poussé à refaire le point sur la question. Un premier conseil primordial est qu’un mot de passe est personnel, on ne doit jamais le communiquer à quelqu’un d’autre (voir ici et là) ! Ensuite, voici une liste de conseils donnés habituellement sur les mots de passe :
- ne pas écrire ses mots de passe ;
- ne pas utiliser le même mot de passe sur différents sites ;
- ne pas laisser son ordinateur se souvenir des mots de passe ;
- utiliser des mots de passe « forts », c’est-à-dire longs, avec des caractères de plusieurs types (minuscules, majuscules, chiffres, ponctuation, etc) ;
- ne pas utiliser un algorithme de construction de mots de passe prévisible du genre 123<nom du site>ABC ;
- changer de mot de passe régulièrement ;
- ne pas réutiliser d’anciens mots de passe.
L’ordre de priorité de ces conseils est sujet à discussion (voir ici) mais tous sont basés sur 2 types d’attaques principaux : les attaques par dictionnaire et les attaques statistiques. Les attaques par dictionnaires, très bien décrites ici, consistent à essayer une multitude de mots de passe en commençant par les plus couramment utilisés. Ces attaques se font en général hors ligne et utilisent des dictionnaires spécialement adaptés (voir ici). Un des moyens les plus simples de les empêcher est de rendre impossible l’accès aux mots de passes chiffrés et de limiter (à 3 par exemple) le nombre d’essais admis pour entrer un mot de passe (voir ici et on peut alors se permettre des mots de passe plus simples comme expliqué ici). Les attaquants ont contourné ces restrictions en lançant des attaques statistiques, c’est-à-dire que plutôt de concentrer leurs efforts sur un compte particulier, ils essaient de deviner les mots de passe d’un grand nombre de comptes et entrent dans le système par ceux dont les mots de passe sont les plus faibles. Un article récent propose une prévention qui peut être efficace contre ce genre d’attaques.
Concrètement, que pouvons-nous faire ? Il y a deux raisons pour lesquelles il est très difficile de respecter les conseils ci-dessus : d’une part l’homme a une mémoire défaillante et est paresseux et d’autre part, il est toujours plus facile d’attaquer le système que le mot de passe (voir les derniers paragraphes de cet article), par exemple en utilisant l’ingénierie sociale, d’où le conseil préliminaire de ne jamais communiquer son mot de passe à quiconque. Pragmatiquement, les conseils 2, 3, 6 et 7 ne me semblent pas tenables en général…
La technique que je préconise est d’apprendre par cœur quelques mots de passe forts et de les utiliser dans des contextes différents. Par exemple un pour les sites sur lesquels on dépose peu d’information, et un autre groupe de sites plus sensible et enfin, un mot de passe spécifique pour les 2 ou 3 plus sensibles (le travail, celui qui donne accès à un gestionnaire de mots de passe, etc) qu’on pourra éventuellement changer de temps en temps. Avec 5 ou 6 mots de passe complexes, on atteint la limite des capacités de mémorisation qu’on peut raisonnablement attendre de quelqu’un de non paranoïaque.
Et pour revenir sur le conseil n°1 de ne jamais écrire ses mots de passe, tout dépend du contexte d’utilisation. Ainsi, il est évident qu’il ne faut pas écrire sur un post-it collé sur l’écran de son ordinateur le mot de passe d’accès aux ressources fournies par cet ordinateur, j’avoue avoir écrit sur un papier posé à côté de mon boîtier d’accès à l’internet le mot de passe de mon réseau Wi-Fi personnel. En effet, je considère que toute personne arrivant chez moi ou bien est un ami et donc autorisé à accéder au réseau, ou alors un voleur et ne vient pas pour accéder à mon réseau ou à l’internet à travers lui.
Pour conclure, je relativiserai tout ceci en disant que se reposer uniquement sur des mots de passe pour la sécurité est une pratique obsolète et que d’avoir des mots de passe plus forts que la moyenne vous met déjà à l’abri des attaques automatisées les plus courantes.
