Bien choisir et mémoriser ses mots de passe ?

Contenu sponsorisé avec passion par F-Secure

Les mots de passe sont une constituante essentielle de notre vie privée. Ils permettent de verrouiller l’accès à nos secrets pour les protéger des curieux. Mais choisir un bon mot de passe et surtout le retenir est quelque chose qui ne doit pas être pris à la légère.

La faiblesse de mots de passe

Connaissez-vous les 6 mots de passe utilisés les plus fréquemment dans le monde ? Vous allez voir, ce n’est pas très recherché…

• password
• 123456
• 12345678
• 1234
• qwerty (ou azerty pour les Français)
• 12345

Des mots de passe assez simple à deviner, qui sont pourtant encore la norme, tant les gens n’y prêtent pas attention.

Seulement, voilà… Un mot de passe, ça se devine ou ça se cracke. Pour ce qui est de deviner, les hackers n’ont pas eu à chercher loin… Avec des outils comme John The Ripper, et des listes de mots de plusieurs gigas (wordlist), il ne leur faudra que quelques secondes, voire minutes pour trouver un mot de passe simple.

Et si votre mot de passe ne fait pas partie de cette liste de mot, mais qu’il est court avec des caractères simples du genre “23#aj”, il ne faudra que quelques minutes pour le cracker avec une technique dite de bruteforce. Le bruteforce, ça consiste à trouver le sésame en testant toutes les combinaisons.

Par exemple :

• 0001
• 0002
• 0003
• …
• aaaa
• aaa1
• aaa2
• ….
• aaab
• aaac
• aaad
• ….

Et au bout d’un moment plus ou moins long, votre mot de passe ne sera plus un secret. Évidemment, plus les machines sont puissantes, moins elles mettent de temps pour tester toutes ces combinaisons. Les super ordinateurs de la NSA sont d’ailleurs connus pour être très efficaces sur le sujet ;-).

Si votre mot de passe est un mot qu’on trouve dans le dictionnaire, cela représentera environ 600 000 possibilités à tester. Autant dire pas grand-chose.

Après pour un mot de passe à 8 caractères, il faudra tester au maximum 100 000 000 de combinaisons si le mot de passe est constitué uniquement de chiffres, 208 827 064 576 combinaisons si c’est uniquement des lettres en minuscules. Et si c’est toutes les lettres (majuscules et minuscules + les chiffres) ce sera 218 340 105 584 896 combinaisons qu’il faudra tester.

Mais si ces chiffres sont impressionnants, les ordinateurs d’aujourd’hui sont capables de traiter ça très rapidement.

Sur la totalité des caractères ASCII, il fallait en 2010 environ :

• 11 heures pour un mot de passe de 6 caractères
• 6 semaines pour un mot de passe de 7 caractères
• 5 mois pour un mot de passe de 8 caractères
• 10 ans pour un mot de passe de 9 caractères

Évidemment, depuis 2010, la puissance des machines et les logiciels ont énormément évolué, donc ce temps s’est considérablement réduit.

Comment avoir un mot de passe solide ?

Vous l’aurez compris, l’erreur à éviter est de choisir un mot de passe trop court, trop simple à deviner ou un mot du dictionnaire.

Si les gens utilisent des mots de passe faibles, c’est surtout par manque d’imagination et surtout par paresse mentale. Pourtant, il est possible d’avoir des mots de passe difficilement violables et mémorisables grâce à 2 techniques.

La première technique la plus en vogue en ce moment est d’utiliser un gestionnaire de mot de passe. Le concept est simple : Vous n’avez qu’un mot de passe principal à retenir. Celui-ci permet de verrouiller un outil qui générera et retiendra les mots de passe pour vous.

Il existe de nombreux gestionnaires de mot de passe, mais ils utilisent tous une base de données solidement chiffrée qui contiendra tous vos mots de passe. La plupart proposent aussi des plugins pour les navigateurs, ce qui permet de remplir automatiquement les champs d’authentifications sur les sites web. C’est vraiment très pratique.

Voici quelques-uns de ces gestionnaires de mot de passe.

• F-Secure Key
• 1Password
• LastPass
• Dashlane
• KeePass
• Pwsafe

Il convient donc de choisir un mot de passe principal qui soit solide et mémorisable pour que vous puissiez déverrouiller votre base de mots de passe. Je vous explique comment faire après.

Ensuite, en fonction du gestionnaire que vous utilisez (ici en photo, le gestionnaire de mot de passe de F-Secure), vous pouvez saisir ou enregistrer automatiquement vos identifiants, mots de passe et pour certains vos informations personnelles (nom, prénom, adresse…etc.), comptes bancaires, carte bleue…etc. afin de remplir automatiquement les formulaires.

Une fonctionnalité très intéressante présente dans tous les gestionnaires de mot de passe, c’est la possibilité de générer des mots de passe de manière totalement aléatoire. Vous n’aurez plus à les retenir puisqu’ils seront conservés dans ce coffre fort numérique. Ainsi, vous pouvez vous lâcher sur la longueur et la complexité du mot de passe, car vous n’aurez pas à les retenir.

Ce système ne présente que des avantages. Plus besoin de se souvenir de vos mots de passe et surtout, vous pouvez générer un mot de passe différent pour chaque site web que vous fréquentez. En cas de fuite de données, comme tout est chiffré de bout en bout, vos mots de passe ne seront jamais en clair dans la nature. Le seul risque avec ce genre d’outil c’est que vous donniez (volontairement ou non) à quelqu’un votre mot de passe principal.

Cela lui donnerait accès à l’ensemble de vos sites web et données personnelles. Mais il existe une technique baptisée la double authentification dont je vous parle juste après qui permet de limiter grandement le risque.

Comment retenir un mot de passe ?

La seconde technique, pour avoir des mots de passe costauds et surtout mémorisables, c’est de faire ce qu’on appelle des phrases de passe. Plutôt que de retenir quelque chose comme “A5g4&Po5@2” ce qui n’est pas évident, il vaut mieux constituer une phrase complète que vous ne trouverez pas dans un livre ou dans une chanson, mais uniquement dans votre tête. Par exemple :

Ma loutre ne devinera jamais que le téléphone a mangé des frites au caramel bleu

Non, je vous assure, je n’ai rien fumé. Mais cette phrase est très longue, facilement mémorisable et impossible à cracker au moment où j’écris cet article.

Vous pouvez bien sûr la rendre encore plus complexe en y élargissant les caractères ASCII, ce qui augmentera encore la difficulté :

M4 loutr# ne deviner4 jamais que le t&l&phne a m@ngé des fr/tes au caram3l bleu

Il convient évidemment de ne jamais écrire ce mot de passe (encore moins sur un post-it collé sur l’écran ou sous votre clavier) ni le donner à quelqu’un (un collègue, un ami…etc.). Un mot de passe, ça reste personnel et uniquement dans sa tête.

L’idéal, c’est donc d’utiliser une phrase de passe comme mot de passe principal de votre gestionnaire de mot de passe, puis de générer des mots de passe complexes différents pour chacun des services en ligne (ou non) que vous utilisez.

La question secrète

La question secrète, c’est ce que vous demande un site web pour vous renvoyer un mot de passe oublié. Par exemple, le nom de jeune fille de votre mère, votre couleur préférée, le nom de votre animal de compagnie ou votre lieu de naissance.

Comme c’est le genre de choses facile à trouver si on vous connait un peu ou si on vous pose simplement la question et que vous y répondez naïvement, je vous invite plutôt à répondre un truc débile, mais dont vous vous souviendrez à chaque question secrète.

• Quelle est votre couleur préférée : Andouillette
• Nom de jeune fille de votre mère : Terminator
• Nom de votre animal de compagnie : Grand-mère
• Lieu de naissance : Ford Fiesta

L’authentification en 2 étapes

Ce processus est primordial. Il repose sur un principe simple… Pour vous autoriser l’accès à un service, il faut quelque chose que vous connaissez et quelque chose que vous possédez.

Par exemple, en plus de votre mot de passe, un service en ligne pourra vous envoyer un email ou un SMS contenant un code à taper. Il existe aussi des solutions hardware avec une clé USB de type Yubikey à insérer dans votre ordinateur ou des choses plus biométrique comme votre empreinte de pouce.

L’idée c’est donc de coupler ces 2 informations. Ainsi, en cas de vol de mot de passe par un cyber criminel, celui-ci ne lui sera d’aucune utilité s’il n’a pas aussi volé votre smartphone ou arraché votre pouce. ;-)

La plupart des services en ligne et des gestionnaires de mot de passe proposent la double authentification et je vous invite vraiment à l’activer partout.

Conclusion

Finalement, gérer efficacement ses mots de passe et les retenir, ce n’est pas si compliqué que ça. Il suffit juste de s’y mettre en choisissant une phrase de passe qui restera gravée à jamais dans votre esprit, et vous reposer ensuite sur l’imagination débordante d’un générateur de mot de passe et la mémoire sans faille d’un gestionnaire de mots de passe.

C’est le moment d’aller changer votre mot passe, vous ne trouvez pas ?