Avec un nombre incessant de sites et d’applications qui demandent une authentification il est bien difficile de trouver des mots de passes et surtout de les retenir. A tel point que bon nombre d’entre nous utilisent le même mot de passe pour tous les accès authentifiés. C’est en partant de ce postulat que les hackers parviennent à entrer dans un de nos comptes en ayant dérobé les informations d’authentification d’un autre compte.

Vous ne maitrisez pas le stockage des mots de passe

Vous ne savez pas comment sont stockés les mots de passes que vous saisissez ni qui y a accès. La règle de l’art voudrait que les mots de passe ne soient jamais stockés en clair, que juste leur signature (hachage) soit stocké. Une signature est une transformation d’un texte en une suite d’octets selon un algorithme reposant sur la théorie du chaos : le moindre changement, aussi minime soit-il, sur le texte d’origine donnera une signature totalement différente. Et l’élément le plus important : à partir d’une signature, il n’existe aucun algorithme capable de retrouver le texte d’origine. Parmi ces algorithmes je citerai MD5 et SHA1 pour les plus utilisés.

Mais voila, pas mal de sites utilisent de simples tables sur une base de données peu sécurisée où les mots de passe sont stockés en clair. Il suffit que le hacker trouve un moyen d’accéder à la base (par une injection de code SQL par exemple) et il lui sera possible de récupérer la liste des utilisateurs avec leurs mots de passe.

Muni de cette liste, il peu ensuite tenter de se connecter à un autre site en utilisant ces informations. Pour peu que vous soyez également inscrit sur cet autre site avec le même mot de passe, il est alors probable qu’il réussisse à s’y connecter en utilisant vos identifiants et avoir ainsi accès à des informations personnelles.

Et plutôt que de taper au hasard, si l’attaque est ciblée, autant se renseigner sur vos habitudes pour trouver les sites où vous êtes inscrits. Les réseaux sociaux diffusent des informations personnelles que vous déposez volontairement sans vous rendre compte de l’utilisation qui peut en être faite : vous êtes sur facebook et avez fait un commentaire sur une recette de cuisine sur un site culinaire que vous appréciez ? Le hacker peut tenter de voir si ce site de cuisine est mal protégé, peut-être y avez vous un compte, peut-être utilisez-vous le même mot de passe que sur votre page facebook… voila donc où se trouve le problème : à force d’utiliser le même mot de passe sur tous les sites, il suffit que la sécurité d’un site soit compromise pour que l’ensemble de vos compte le soient aussi. Saurez-vous changer votre mot de passe sur tous les sites ? Savez-vous précisément sur combien de sites vous êtes inscrits ?

Choisir un mot de passe

Quelques critères simples :

• La taille d’un mot de passe doit être au moins de 8 caractères.
• Un mot de passe ne doit pas faire partie d’un dictionnaire, même étranger.
• Il peut comporter les majuscules, minuscules, chiffres mais faites attention à l’utilisation de caractères accentués. Si vous devez utiliser un mot de passe à l’étranger vous ne disposerez pas forcément d’un clavier vous permettant de les saisir (clavier AZERTY ou QWERTY).
• Les remplacements habituels de lettres par des chiffres sont connus des systèmes de cassage de mot de passe, ne faites pas confiance à ces substitutions trop connues : i devient 1, A devient 4, E devient 3, etc…
• Utilisez une phrase que vous saurez facilement retenir et prélevez la première lettre de chaque mot ou de chaque syllabe. Exemple : « Je suis sûr que ce mot de passe est bon à 90 pourcent » -> Jssqcmdpeba9p vous pouvez ainsi le taper tout en récitant cette phrase dans votre tête.
  

La double authentification

Je vois fleurir ici et là des sites qui prônent la double authentification. Deux mots de passe pour accéder à un site, dont un géré de façon externe ? Deux authentifications différentes dont l’une avec un appareil mobile ou un token de type RSA ? A qui allez-vous imposer cela ? Pensez-vous réellement que tous les administrateurs de sites accepteront de proposer une double authentification ? Techniquement certains ne sauront pas comment le faire ou comment accoster leur système avec un annuaire externe. Personnellement je n’y crois pas une seconde. Le système doit rester pratique, s’il est trop contraignant personne ne voudra l’utiliser.

Le mot de passe intelligent

Voici ma solution, peut-être pas très innovante, elle fait juste appel au bon sens : utiliser un mot de passe différent pour chaque site ! Si un mot de passe est compromis sur un site il ne compromet pas les autres.

Ah mais mémoriser 50 mots de passes et retrouver à quel site il est associé c’est pas de la tarte ! C’est là que je vous donne cette astuce que vous pouvez dériver comme bon vous semble : votre mot de passe sera composé d’une partie fixe, commune à tous les mots de passe et d’une partie variable unique pour chaque site. Utilisez la méthode habituelle pour la partie fixe (1ère lettre de chaque mot d’une phrase) et composez la partie variable à partir du nom du site qui apparait sur la barre de titre de votre navigateur (2ème lettre de chaque mot qui compose le nom du site par exemple) puis juxtaposez-les

Exemple:

Partie fixe : "ce pauvre chat roux a 3 pattes cassées" -> cpcra3pc

Partie variable pour : Rue Du Commerce -> uuo
Mot de passe pour ce cite : uuocpcra3pc

Partie variable pour : Gaz de France Dolve Vita -> aeroi
Mot de passe pour ce cite : aeroicpcra3pc

Partie variable pour : Oracle -> r
Mot de passe pour ce cite : rcpcra3pc

Vous avez là un moyen mnémotechnique de retrouver vos mots de passe sans avoir à les apprendre par cœur.

Autres conseils

Utilisez plusieurs parties fixes en fonction de l’usage du site : usage courant, accès administrateur, gestion bancaire, etc…

Si un site change de nom, modifiez votre mot de passe avant d’avoir oublié comment le site s’appelait.

Certains site n’acceptent que des chiffres pour les mots de passe, il faudra les gérer à part. C’est également le cas de ceux qui imposent une contrainte sur la taille (mini ou maxi) du mot de passe.

Si un système impose de changer régulièrement votre mot de passe vous pouvez intégrer une seconde partie variable. Ne vous contentez pas d’un compteur, cela est trop prévisible.