Sécurité mot de passe

Il circule sur les mots de passe plus de savoirs périmés que sur presque tout autre sujet informatique. La règle du caractère spécial, de la majuscule et du chiffre date d'une époque où les attaquants devinaient encore à la main. Elle est aujourd'hui considérée comme dépassée, par l'organisme même qui l'avait posée : la longueur prime sur la complexité, car chaque caractère supplémentaire multiplie l'effort, alors qu'un point d'exclamation ajouté ne l'augmente presque pas.

La raison tient à la manière dont on devine. Les attaques automatisées ne procèdent pas caractère par caractère : elles s'appuient sur des listes de mots de langues réelles, de prénoms et de mots de passe fuités — avec les substitutions auxquelles tout le monde pense. « M0tdep@sse ! » est difficile à retenir pour un humain et trivial pour un programme ; quatre mots aléatoires sont l'inverse des deux.

Le sujet ne devient concret qu'avec la deuxième question : où les conserver ? Un seul bon mot de passe utilisé partout cesse d'être bon dès qu'un service est compromis. Un gestionnaire de mots de passe résout cela en supprimant la mémorisation — et déplace la question vers un unique mot de passe maître, qui doit alors réellement être long.

Reste la mesure la plus efficace à elle seule : un second facteur. Il agit précisément quand le mot de passe est déjà perdu — le cas où plus rien d'autre ne protège. Les articles de cette rubrique expliquent aussi ce qui se passe de l'autre côté : pourquoi un service ne devrait jamais stocker votre mot de passe en clair, et à quoi vous voyez qu'il ne le fait pas.