Les mots de passe

@Tricki

Nous nous inscrivons sur de nouveaux sites chaque semaine et chacun de ces sites nous demande d’avoir un mot de passe long, avec des caractères spéciaux, des chiffres et des majuscules. Cela nous impose d’apprendre des mots de passe difficiles, d’autant plus qu’ils doivent être différents sur chaque site. Avec toutes ces recommandations, certaines personnes notent leurs mots de passe sur leurs téléphones dans un mémo ou sur un carnet papier. Lorsque je parle de l’utilisation des mots de passe avec des utilisateurs non sensibilisés à la cybersécurité, ils me disent tous que la gestion de leurs mots de passe les énerve et que c’est une véritable plaie. Nous pouvons alors nous demander pourquoi toutes ces mesures de sécurité sont-elles si importantes.

Comment fonctionnent les attaques ?

Afin de mieux comprendre pourquoi il est si important d’avoir des mots de passe complexes et différents, voyons comment fonctionnent les attaques contre les utilisateurs ayant un mot de passe faible et enregistré sur plusieurs sites.

Au cours de la vie d’Internet, plusieurs piratages de sites ont conduit à une fuite des mots de passe des utilisateurs et au fur et à mesure de ces attaques, les attaquants se sont rendu compte que beaucoup d’utilisateurs partageaient un même mot de passe. Il suffisait donc aux attaquants de tester ces mots de passe communs sur des comptes utilisateurs pour les pirater.

Ces listes de mots de passe ont évolué et sont de plus en plus complètes, aujourd’hui, la liste de mots de passe la plus commune est très certainement RockYou, qui contient des millions de mots de passe communs.

Que faire face aux attaquants ?

Avoir un mot de passe très long et relativement simple (comme une phrase, une citation,…) s’avère plus efficace en matière de protection qu’un mot de passe court et très complexe.

L’idéal théorique est d’avoir un mot de passe long, complexe et différent pour chaque site bien sûr, mais personne sur Terre ne va s’amuser à passer son temps à retenir des suites de caractères aléatoires pour assurer sa sécurité numérique.

Quelle est la solution ?

Une solution, qui est la meilleure à mon avis, est d’utiliser un gestionnaire de mots de passe. Le fonctionnement de ces logiciels est simple, vous n’avez qu’à retenir un seul mot de passe, qui lui sera très fort, et qui permet de déverrouiller votre base de mots de passe.

Une fois la base créée, vous pourrez générer des mots de passe forts, aléatoires, longs et contenant des caractères spéciaux pour tous les sites que vous utilisez au quotidien.

De plus, avec les gestionnaires de mots de passe, vous n’aurez plus de problèmes d’oubli de vos identifiants.

Je vous conseille personnellement KeePassXC (hors-ligne) ou BitWarden (en ligne) pour stocker tous vos identifiants. Un gestionnaire hors ligne signifie que vous devrez vous-même gérer la base de données, et vous ne pourrez pas la retrouver si vous perdez le fichier de la base de données. Une version en ligne signifie que la base de données est gérée par un hébergeur, vous ne perdrez donc jamais votre base, mais celle-ci dépend de l’entreprise à qui vous faites confiance.

Personnellement, j’utilise KeePass tous les jours depuis plusieurs années et je n’ai jamais eu de soucis, c’est un outil gratuit et facile à prendre en main.

Conseils supplémentaires

Pour vous garantir plus de sécurité, je vous recommande de ne jamais mettre d’informations personnelles dans vos mots de passe (comme votre date de naissance, département, ville, rue, nom de votre animal de compagnie, prénom des enfants, parents, numéro de téléphone, mail, informations sur votre travail,…), car un attaquant qui voudrait vous cibler personnellement commencera toujours par attaquer vos mots de passe avec vos informations personnelles.

Enfin, pour aller plus loin, vous pouvez utiliser de l’authentification à facteurs multiples. Vous avez déjà utilisé cette méthode avec votre banque lorsque celle-ci vous envoie un code par sms pour confirmer votre connexion. Cela rajoute une couche de sécurité, car un attaquant doit posséder vos identifiants et votre téléphone pour pirater votre compte.