Gestion des mots de passe

Un mot de passe est un mot ou une chaîne de caractères utilisé pour l’authentification de l’utilisateur afin de prouver l’identité ou l’autorisation d’accès pour accéder à une ressource (exemple: un code d’accès est un type de mot de passe), qui doit être tenu secret de ceux qui n’ y ont pas accès.

L’utilisation des mots de passe est connue pour être ancienne. Sentries lançait un défi à ceux qui souhaitaient entrer dans une zone ou l’approcher pour fournir un mot de passe ou un mot d’ordre, et ne permettait à une personne ou un groupe de passer que s’ils connaissaient le mot de passe. De nos jours, les noms d’utilisateur et les mots de passe sont couramment utilisés par les gens au cours d’un processus de connexion qui contrôle l’accès à des systèmes d’exploitation informatiques protégés, des téléphones mobiles, des décodeurs de télévision par câble, des guichets automatiques bancaires (ATM), etc. Un utilisateur d’ordinateur typique a des mots de passe pour de nombreuses raisons: se connecter à des comptes, récupérer des courriels, accéder à des applications, des bases de données, des réseaux, des sites Web et même lire le journal du matin en ligne.

Malgré le nom, il n’est pas nécessaire que les mots de passe soient des mots réels; en effet, les mots de passe qui ne sont pas des mots réels peuvent être plus difficiles à deviner, une propriété désirable. Certains mots de passe sont formés à partir de plusieurs mots et peuvent s’appeler plus précisément une phrase de passe. Les termes code d’accès et clé d’accès sont parfois utilisés lorsque l’information secrète est purement numérique, comme le numéro d’identification personnel (NIP) couramment utilisé pour l’accès aux guichets automatiques. Les mots de passe sont généralement assez courts pour être facilement mémorisés et tapés.

La plupart des organisations précisent une politique sur les mots de passe qui établit des exigences relatives à la composition et à l’utilisation des mots de passe, qui dictent généralement la longueur minimale, les catégories requises (p. ex. majuscules et minuscules, chiffres et caractères spéciaux), les éléments interdits (p. ex. nom, date de naissance, adresse, numéro de téléphone). Certains gouvernements ont des cadres nationaux d’authentification qui définissent les exigences relatives à l’authentification des utilisateurs aux services gouvernementaux, y compris les exigences relatives aux mots de passe.

Téléchargement gratuit des meilleurs logiciels du gestion des mots de passe

4UOnly est un gestionnaire de mots de passe, qui, comme d'autres programmes du même style, est responsable de stocker avec diligence toutes ces clés, mots de ...

Square Privacy Cleaner est un nettoyant spécifique pour toutes sortes d'informations et de caches stockées sur votre ordinateur. L'application vérifie les ...

Bytessence PasswordManager est un gestionnaire de mots de passe avec lequel vous pouvez stocker vos données de compte utilisateur dans une seule base de ...

Choisir un mot de passe sûr et mémorisable

Plus un mot de passe est facile à mémoriser pour le propriétaire, plus il sera facile pour un attaquant de deviner. Cependant, les mots de passe difficiles à mémoriser peuvent également réduire la sécurité d'un système parce que (a) les utilisateurs peuvent devoir écrire ou stocker électroniquement le mot de passe, (b) les utilisateurs auront besoin de réinitialiser fréquemment le mot de passe et (c) les utilisateurs sont plus susceptibles de réutiliser le même mot de passe. De même, les exigences plus strictes concernant la force du mot de passe, par exemple "avoir un mélange de lettres majuscules et minuscules et de chiffres" ou "le changer tous les mois", augmentent la mesure dans laquelle les utilisateurs pervertiront le système. D'autres soutiennent que les mots de passe plus longs offrent plus de sécurité (p. ex., entropie) que les mots de passe plus courts comportant une grande variété de caractères.Dans The Memory and Security of Passwords, Jeff Yan et coll. examinent l'effet des conseils donnés aux utilisateurs au sujet d'un bon choix de mot de passe. Ils ont découvert que les mots de passe basés sur la pensée d'une phrase et la première lettre de chaque mot sont tout aussi mémorables que les mots de passe naïvement choisis, et tout aussi difficiles à déchiffrer que les mots de passe générés au hasard.Combiner deux ou plusieurs mots non apparentés et modifier certaines lettres en caractères spéciaux ou en chiffres est une autre bonne méthode, mais pas un seul mot du dictionnaire. Avoir un algorithme conçu personnellement pour générer des mots de passe obscurs est une autre bonne méthode.Cependant, demander aux utilisateurs de se souvenir d'un mot de passe composé d'un " mélange de majuscules et minuscules " revient à leur demander de se souvenir d'une séquence de bits : difficile à mémoriser, et un peu plus difficile à craquer (par exemple seulement 128 fois plus difficile à craquer pour les mots de passe de 7 lettres, moins si l'utilisateur met simplement une des lettres en majuscules). Demander aux utilisateurs d'utiliser "à la fois les lettres et les chiffres" conduit souvent à des substitutions faciles à deviner comme "E"? "3" et "je"? 1 ", substitutions bien connues des attaquants. De même, taper le mot de passe une rangée de clavier plus haut est une astuce courante connue des attaquants.En 2013, Google a publié une liste des types de mots de passe les plus courants, qui sont tous considérés comme peu sûrs parce qu'ils sont trop faciles à deviner (surtout après avoir fait des recherches sur les médias sociaux):
  • Le nom d'un animal de compagnie, d'un enfant, d'un membre de la famille ou d'une autre personne importante.
  • Dates d'anniversaire et anniversaires
  • Lieu de naissance
  • Nom d'un jour férié préféré
  • Quelque chose en rapport avec une équipe sportive préférée
  • Le mot "mot de passe"

Facteurs de sécurité d'un système de mots de passe

La sécurité d'un système protégé par mot de passe dépend de plusieurs facteurs. Bien entendu, l'ensemble du système doit être conçu de manière à assurer une sécurité sonore, avec une protection contre les virus informatiques, les attaques de type "homme dans le milieu", etc. Les problèmes de sécurité physique sont également préoccupants, qu'il s'agisse de décourager le surfeur à l'épaule ou de prévenir des menaces physiques plus sophistiquées comme les caméras vidéo et les renifleurs de clavier. Et, bien sûr, les mots de passe devraient être choisis de telle sorte qu'ils soient difficiles à deviner pour un attaquant et difficiles à découvrir pour un attaquant en utilisant n'importe lequel (et tous) des schémas d'attaque automatiques disponibles. Voir la force du mot de passe et la sécurité informatique.De nos jours, il est courant que les systèmes informatiques cachent les mots de passe au fur et à mesure qu'ils sont saisis. Le but de cette mesure est d'éviter que des passants ne lisent le mot de passe. Cependant, certains soutiennent que cette pratique peut conduire à des erreurs et à du stress, encourageant les utilisateurs à choisir des mots de passe faibles. Comme alternative, les utilisateurs devraient avoir la possibilité d'afficher ou de masquer les mots de passe au fur et à mesure qu'ils les tapent.Des dispositions efficaces en matière de contrôle d'accès peuvent imposer des mesures extrêmes aux criminels qui cherchent à obtenir un mot de passe ou un jeton biométrique. Les mesures moins extrêmes comprennent l'extorsion de fonds, la cryptanalyse des tuyaux en caoutchouc et l'attaque du canal latéral.Voici quelques questions spécifiques de gestion des mots de passe qui doivent être prises en compte dans la réflexion, le choix et le traitement d'un mot de passe.

Fréquence à laquelle un attaquant peut essayer de deviner les mots de passe

La vitesse à laquelle un attaquant peut soumettre des mots de passe devinés au système est un facteur clé pour déterminer la sécurité du système. Certains systèmes imposent un délai de temporisation de plusieurs secondes après un petit nombre (p. ex., trois) de tentatives infructueuses d'entrée du mot de passe. En l'absence d'autres vulnérabilités, ces systèmes peuvent être efficacement sécurisés avec des mots de passe relativement simples, s'ils ont été bien choisis et ne sont pas faciles à deviner.De nombreux systèmes stockent un hachage cryptographique du mot de passe. Si un attaquant a accès au fichier de mots de passe hachés, il peut deviner qu'il peut le faire hors ligne, en testant rapidement les mots de passe candidats par rapport à la valeur réelle du mot de passe haché. Dans l'exemple d'un serveur web, un attaquant en ligne ne peut deviner qu' à la vitesse à laquelle le serveur répondra, tandis qu'un attaquant hors ligne (qui a accès au fichier) peut deviner à une vitesse limitée uniquement par le matériel qui est mis en jeu.Les mots de passe qui sont utilisés pour générer des clés cryptographiques (p. ex., pour le chiffrement de disque ou la sécurité Wi-Fi) peuvent également être soumis à des taux de devinettes élevés. Les listes de mots de passe courants sont largement disponibles et peuvent rendre les attaques par mot de passe très efficaces. La sécurité dans de telles situations dépend de l'utilisation de mots de passe ou de phrases de passe d'une complexité suffisante, ce qui rend une telle attaque impossible pour l'attaquant. Certains systèmes, tels que PGP et Wi-Fi WPA, appliquent un hachage intensif au mot de passe pour ralentir ces attaques. Voir étirement des touches.

Limitation du nombre d'accès par mot de passe

Une alternative à la limitation de la vitesse à laquelle un attaquant peut faire des suppositions sur un mot de passe est de limiter le nombre total de suppositions qui peuvent être faites. Le mot de passe peut être désactivé, nécessitant une réinitialisation, après un petit nombre de mauvaises suppositions consécutives (disons 5); et l'utilisateur peut être tenu de changer le mot de passe après un plus grand nombre cumulé de mauvaises suppositions (disons 30), pour éviter qu'un attaquant ne fasse arbitrairement un grand nombre de mauvaises suppositions en les interceptant entre les bonnes suppositions faites par le propriétaire légitime du mot de passe.

Forme des mots de passe enregistrés

Certains systèmes informatiques stockent les mots de passe des utilisateurs sous forme de texte en clair, ce qui permet de comparer les tentatives de connexion des utilisateurs. Si un attaquant obtient l'accès à une telle mémoire de mot de passe interne, tous les mots de passe - et donc tous les comptes d'utilisateurs - seront compromis. Si certains utilisateurs utilisent le même mot de passe pour des comptes sur différents systèmes, ceux-ci seront également compromis.Les systèmes plus sécurisés stockent chaque mot de passe sous une forme cryptographiquement protégée, de https://nettoyagepc.org/controle-dacces/ au mot de passe réel sera toujours difficile pour un fouineur qui obtient un accès interne au système, alors que la validation des tentatives d'accès de l'utilisateur reste possible. Les plus sécurisés ne stockent pas du tout les mots de passe, mais une dérivation unidirectionnelle, telle qu'un polynôme, un module ou une fonction de hachage avancée. Roger Needham a inventé l'approche maintenant commune de stocker seulement une forme "hachée" du mot de passe plaintext. Lorsqu'un utilisateur saisit un mot de passe sur un tel système, le logiciel de gestion des mots de passe utilise un algorithme de hachage cryptographique, et si la valeur de hachage générée par l'entrée de l'utilisateur correspond au hachage stocké dans la base de données des mots de passe, l'utilisateur est autorisé à y accéder. La valeur de hachage est créée en appliquant une fonction de hachage cryptographique à une chaîne de caractères constituée du mot de passe soumis et, dans de nombreuses implémentations, d'une autre valeur connue sous le nom de sel. Un sel empêche les attaquants de créer facilement une liste de valeurs de hachage pour les mots de passe communs et empêche les tentatives de craquage des mots de passe de se répercuter sur tous les utilisateurs. MD5 et SHA1 sont des fonctions de hachage cryptographique fréquemment utilisées, mais elles ne sont pas recommandées pour le hachage des mots de passe, à moins qu'elles ne soient utilisées dans le cadre d'une construction plus large telle que PBKDF2.Les données stockées - parfois appelées " vérificateur de mot de passe " ou " Hash password hash "- sont souvent stockées au format Modular Crypt Format ou RFC 2307, parfois dans le fichier /etc/passwd ou dans le fichier /etc/shadow.Les principales méthodes de stockage des mots de passe sont le texte en clair, haché, haché et salé, et crypté de façon réversible. Si un attaquant obtient l'accès au fichier de mot de passe, alors s'il est stocké en texte brut, aucune fissure n'est nécessaire. S'il est haché mais pas salé, il est vulnérable aux attaques de table arc-en-ciel (qui sont plus efficaces que le craquage). S'il est crypté de manière réversible, si l'attaquant obtient la clé de décryptage avec le fichier, aucun craquement n'est nécessaire, alors que s'il ne parvient pas à obtenir la clé de craquage n'est pas possible. Ainsi, des formats de stockage communs pour les mots de passe que lorsque les mots de passe ont été salés et hachés est craquelé à la fois nécessaire et possible.Si une fonction de hachage cryptographique est bien conçue, il est impossible d'inverser la fonction pour récupérer un mot de passe plaintext. Un attaquant peut cependant utiliser des outils largement disponibles pour tenter de deviner les mots de passe. Ces outils fonctionnent en hachant les mots de passe possibles et en comparant le résultat de chaque devinette aux hachages de mots de passe réels. Si l'attaquant trouve une correspondance, il sait que sa supposition est le mot de passe réel de l'utilisateur associé. Les outils de craquage de mots de passe peuvent fonctionner par force brutale (c'est-à-dire en essayant toutes les combinaisons possibles de caractères) ou en hachant chaque mot d'une liste; de grandes listes de mots de passe possibles dans de nombreuses langues sont largement disponibles sur Internet. L'existence d'outils de cracking de mot de passe permet aux attaquants de récupérer facilement les mots de passe mal choisis. En particulier, les attaquants peuvent rapidement récupérer des mots de passe qui sont courts, des mots de dictionnaires, des variations simples sur les mots de dictionnaires ou qui utilisent des modèles facilement devinables. Une version modifiée de l'algorithme DES a été utilisée comme base pour l'algorithme de hachage des mots de passe dans les premiers systèmes Unix. L'algorithme de cryptage utilisait une valeur saline de 12 bits de sorte que le hachage de chaque utilisateur était unique et itérait 25 fois l'algorithme DES pour ralentir la fonction de hachage, les deux mesures visant à contrer les attaques de devinettes automatisées. Le mot de passe de l'utilisateur a été utilisé comme clé pour chiffrer une valeur fixe. Les systèmes plus récents de type Unix ou Unix (par exemple, Linux ou les différents systèmes BSD) utilisent des algorithmes de hachage de mot de passe plus sécurisés tels que PBKDF2, bcrypt et scrypt qui ont de gros sels et un coût ou un nombre d'itérations ajustables. Une fonction de hachage mal conçue peut rendre les attaques possibles même si un mot de passe fort est choisi. Voir LM hash pour un exemple largement déployé et peu sûr.

Méthodes de vérification d'un mot de passe sur un réseau

Transmission simple du mot de passe

Les mots de passe sont vulnérables à l'interception (c. -à-d."fouiner") lorsqu'ils sont transmis à la machine ou à la personne qui authentifie. Si le mot de passe est transmis sous forme de signaux électriques sur un câblage physique non sécurisé entre le point d'accès utilisateur et le système central contrôlant la base de données des mots de passe, il est soumis à une fouille par des méthodes d'écoute électronique. S'il est transporté sous forme de données par paquets sur Internet, toute personne capable d'observer les paquets contenant les informations de connexion peut fouiner avec une probabilité de détection très faible.Le courrier électronique est parfois utilisé pour distribuer des mots de passe, mais il s'agit généralement d'une méthode peu sûre. Comme la plupart des courriels sont envoyés en texte clair, un message contenant un mot de passe est lisible sans effort pendant le transport par n'importe quel espion. De plus, le message sera stocké en clair sur au moins deux ordinateurs: celui de l'expéditeur et celui du destinataire. S'il passe par des systèmes intermédiaires au cours de ses déplacements, il sera probablement stocké là aussi, au moins pendant un certain temps, et pourra être copié dans des fichiers de sauvegarde, de cache ou d'historique sur n'importe lequel de ces systèmes.L'utilisation d'un cryptage côté client ne protégera que la transmission du serveur du système de traitement du courrier vers la machine cliente. Les relais antérieurs ou ultérieurs du courriel ne seront pas protégés et le courriel sera probablement stocké sur plusieurs ordinateurs, certainement sur les ordinateurs d'origine et de réception, le plus souvent en texte clair.

Transmission par canaux cryptés

Le risque d'interception des mots de passe envoyés sur Internet peut être réduit, entre autres, par l'utilisation d'une protection cryptographique. Le plus largement utilisé est la fonction de sécurité de la couche transport (TLS, anciennement appelée SSL) intégrée dans la plupart des navigateurs Internet courants. La plupart des navigateurs avertissent l'utilisateur d'un échange protégé par TLS/SSL avec un serveur en affichant une icône de verrouillage fermé ou un autre signe lorsque TLS est utilisé. Il existe plusieurs autres techniques en usage; voir la cryptographie.

Méthodes de réponse aux défis et réponses basées sur le hachage

Malheureusement, il y a un conflit entre les mots de passe hashed stockés et l'authentification par challenge-response basée sur le hash; ce dernier exige qu'un client prouve à un serveur qu'il connaît le secret partagé (c'est-à-dire le mot de passe) et pour ce faire, le serveur doit être en mesure d'obtenir le secret partagé à partir de sa forme stockée. Sur de nombreux systèmes (y compris les systèmes de type Unix) qui font de l'authentification à distance, le secret partagé devient généralement la forme hachée et a la sérieuse limitation d'exposer les mots de passe aux attaques de devinettes hors ligne. De plus, lorsque le hachage est utilisé comme secret partagé, un attaquant n' a pas besoin du mot de passe original pour authentifier à distance; il n' a besoin que du hachage.

Épreuves de mot de passe à connaissance zéro

Plutôt que de transmettre un mot de passe, ou de transmettre le hachage du mot de passe, les systèmes d'accord à clé authentifiés par mot de passe peuvent effectuer une preuve de mot de passe sans connaissance, ce qui prouve la connaissance du mot de passe sans l'exposer.AMP, B-SPEKE, PAK-Z, SRP-6) évitent à la fois le conflit et la limitation des méthodes basées sur le hachage. Un système amélioré permet à un client de prouver sa connaissance du mot de passe à un serveur, où le serveur ne connaît qu'un mot de passe (pas exactement) haché, et où le mot de passe non haché est requis pour y accéder.

Procédures de modification des mots de passe

Habituellement, un système doit fournir un moyen de changer un mot de passe, soit parce qu'un utilisateur croit que le mot de passe actuel a été (ou aurait pu être) compromis, soit par mesure de précaution. Si un nouveau mot de passe est transmis au système sous une forme non cryptée, la sécurité peut être perdue (p. ex. par le biais d'écoutes téléphoniques) avant même que le nouveau mot de passe puisse être installé dans la base de données des mots de passe. Et, bien sûr, si le nouveau mot de passe est donné à un employé compromis, on gagne peu. Certains sites Web intègrent le mot de passe choisi par l'utilisateur dans un courriel de confirmation non chiffré, avec une vulnérabilité accrue évidente.Les systèmes de gestion des identités sont de plus en plus utilisés pour automatiser l'émission de remplacement des mots de passe perdus, une fonctionnalité appelée réinitialisation des mots de passe en libre-service. L'identité de l'utilisateur est vérifiée en posant des questions et en comparant les réponses à celles précédemment stockées (c. -à-d., lors de l'ouverture du compte).Certaines questions de réinitialisation du mot de passe demandent des renseignements personnels que l'on peut trouver sur les médias sociaux, comme le nom de jeune fille de la mère. Par conséquent, certains experts en sécurité recommandent de créer ses propres questions ou de donner de fausses réponses.

Mot de passe longévité

Le vieillissement des mots de passe est une caractéristique de certains systèmes d'exploitation qui oblige les utilisateurs à changer fréquemment les mots de passe (par exemple, trimestriellement, mensuellement ou même plus souvent). De telles politiques provoquent habituellement la protestation des utilisateurs et la traînée des pieds au mieux et l'hostilité au pire. Il y a souvent une augmentation du nombre de personnes qui notent le mot de passe et le laissent là où il se trouve facilement, ainsi que des appels au service d'assistance pour réinitialiser un mot de passe oublié. Les utilisateurs peuvent utiliser des mots de passe plus simples ou développer des motifs de variation sur un thème cohérent pour garder leurs mots de passe mémorables. En raison de ces questions, il y a un certain débat sur l'efficacité du vieillissement des mots de passe. La modification d'un mot de passe n'empêchera pas les abus dans la plupart des cas, car l'abus est souvent immédiatement perceptible. Toutefois, si quelqu'un peut avoir eu accès au mot de passe par certains moyens, comme le partage d'un ordinateur ou la violation d'un autre site, changer le mot de passe limite la fenêtre d'abus.

Nombre d'utilisateurs par mot de passe

Il est préférable d'attribuer des mots de passe distincts à chaque utilisateur d'un système plutôt que d'avoir un mot de passe unique partagé par les utilisateurs légitimes du système, certainement d'un point de vue sécuritaire. Cela s'explique en partie par le fait que les utilisateurs sont plus disposés à communiquer un mot de passe partagé à une autre personne (qui n'est peut-être pas autorisée) qu' à une autre personne exclusivement pour leur usage. Les mots de passe uniques sont également beaucoup moins commodes à changer parce que de nombreuses personnes ont besoin d'être informées en même temps, et ils rendent plus difficile la suppression de l'accès d'un utilisateur particulier, comme par exemple lors de l'obtention d'un diplôme ou de la démission. Des logins séparés sont également souvent utilisés pour la reddition de comptes, par exemple pour savoir qui a changé un élément de données.

Architecture de sécurité par mot de passe

Les techniques courantes utilisées pour améliorer la sécurité des systèmes informatiques protégés par un mot de passe comprennent notamment:
  • Ne pas afficher le mot de passe sur l'écran d'affichage au fur et à mesure de sa saisie ou l'occulter au moyen d'astérisques (*) ou de puces (-).
  • Permettre des mots de passe d'une longueur adéquate. (Certains systèmes d'exploitation patrimoniaux, y compris les versions antérieures d'Unix et de Windows, limitaient les mots de passe à un maximum de 8 caractères, ce qui réduisait la sécurité.
  • Obligation pour les utilisateurs d'entrer à nouveau leur mot de passe après une période d'inactivité (politique de semi déconnexion).
  • Application d'une politique de mot de passe pour augmenter la force et la sécurité du mot de passe.
    • Exigeant des changements périodiques de mot de passe.
    • Assigner des mots de passe choisis au hasard.
    • Longueurs minimales de mot de passe requises.
    • Certains systèmes exigent des caractères de différentes classes de caractères dans un mot de passe - par exemple,"doit avoir au moins une majuscule et au moins une minuscules". Cependant, les mots de passe en minuscules majuscules sont plus sûrs par frappe que les mots de passe à majuscules mixtes.
    • Utilisez une liste noire de mots de passe pour bloquer l'utilisation de mots de passe faibles et faciles à deviner.
    • Offrir une solution de rechange à la saisie au clavier (p. ex. mots de passe parlés ou biométriques).
    • Nécessitant plus d'un système d'authentification, tel que l'authentification à deux facteurs (quelque chose qu'un utilisateur possède et qu'il connaît).
  • Utilisation de tunnels cryptés ou d'un accord clé authentifié par mot de passe pour empêcher l'accès aux mots de passe transmis par le biais d'attaques réseau
  • Limiter le nombre d'échecs autorisés dans une période de temps donnée (pour éviter la répétition du mot de passe). Une fois la limite atteinte, d'autres tentatives échoueront (y compris les tentatives de mot de passe correctes) jusqu'au début de la période suivante. Cependant, il est vulnérable à une forme d'attaque par déni de service.
  • L'introduction d'un délai entre la soumission du mot de passe tente de ralentir les programmes automatisés de devinette de mot de passe.
Certaines des mesures d'application de la politique plus rigoureuses peuvent entraîner un risque d'aliénation des utilisateurs, ce qui peut entraîner une diminution de la sécurité.

Réutilisation du mot de passe

Il est courant chez les utilisateurs d'ordinateurs de réutiliser le même mot de passe sur plusieurs sites. Cela présente un risque important pour la sécurité, puisqu'un agresseur n' a besoin de compromettre qu'un seul site pour avoir accès à d'autres sites que la victime utilise. Ce problème est exacerbé par la réutilisation des noms d'utilisateur et par les sites Web nécessitant une connexion par courriel, car il est plus facile pour un attaquant de suivre un seul utilisateur sur plusieurs sites. La réutilisation des mots de passe peut être évitée ou minimisée en utilisant des techniques mnémotechniques, en écrivant des mots de passe sur papier ou en utilisant un gestionnaire de mots de passe.Les chercheurs de Redmond, Dinei Florencio et Cormac Herley, ainsi que Paul C. van Oorschot, de l'Université Carleton (Canada), ont soutenu que la réutilisation des mots de passe est inévitable et que les utilisateurs devraient réutiliser les mots de passe des sites Web à faible sécurité (qui contiennent peu de données personnelles et aucune information financière, par exemple) et concentrer leurs efforts sur la mémorisation de mots de passe longs et complexes pour quelques comptes importants, comme les comptes bancaires. Des arguments similaires ont été avancés par Forbes pour ne pas changer les mots de passe aussi souvent que le recommandent de nombreux "experts", en raison des mêmes limitations dans la mémoire humaine.

Notez les mots de passe sur papier

Historiquement, de nombreux experts en sécurité demandaient aux gens de mémoriser leurs mots de passe:"Ne jamais écrire un mot de passe". Plus récemment, de nombreux experts en sécurité comme Bruce Schneier recommandent aux gens d'utiliser des mots de passe trop compliqués à mémoriser, de les noter sur papier et de les garder dans un portefeuille.Le logiciel de gestion des mots de passe peut également stocker les mots de passe de manière relativement sûre, dans un fichier crypté et scellé par un seul mot de passe maître.

Après le décès

Selon un sondage de l'Université de Londres, une personne sur dix laisse maintenant ses mots de passe dans son testament pour transmettre cette information importante à sa mort. D'après le sondage, un tiers des personnes interrogées sont d'accord pour dire que les données protégées par mot de passe sont suffisamment importantes pour être transmises dans leur testament.

Authentification à deux facteurs

L'authentification à deux facteurs rend les mots de passe plus sûrs. Par exemple, l'authentification à deux facteurs vous enverra un message texte, un e-mail ou une alerte via une application tierce chaque fois qu'une tentative de connexion est effectuée.

Fissuration du mot de passe

Tenter de casser les mots de passe en essayant autant de possibilités que le temps et l'argent le permettent est une attaque de force brutale. Une méthode apparentée, plutôt plus efficace dans la plupart des cas, est une attaque de dictionnaire. Dans une attaque de dictionnaire, tous les mots d'un ou de plusieurs dictionnaires sont testés. Les listes de mots de passe courants sont aussi généralement testées.La force du mot de passe est la probabilité qu'un mot de passe ne puisse pas être deviné ou découvert, et varie avec l'algorithme d'attaque utilisé. Les cryptologues et les informaticiens font souvent référence à la force ou à la "dureté" en termes d'entropie.Les mots de passe facilement découverts sont dits faibles ou vulnérables; les mots de passe très difficiles ou impossibles à découvrir sont considérés comme forts. Il existe plusieurs programmes disponibles pour l'attaque par mot de passe (ou même l'audit et la récupération par le personnel du système) tels que L0phtCrack, John the Ripper et Cain; certains d'entre eux utilisent des vulnérabilités de conception de mot de passe (comme on en trouve dans le système Microsoft LANManager) pour augmenter l'efficacité. Ces programmes sont parfois utilisés par les administrateurs système pour détecter les mots de passe faibles proposés par les utilisateurs.Les études sur les systèmes informatiques de production ont toujours montré qu'une grande partie des mots de passe choisis par l'utilisateur sont facilement devinés automatiquement. Par exemple, l'Université Columbia a découvert que 22 % des mots de passe des utilisateurs pouvaient être récupérés sans trop d'efforts. Selon Bruce Schneier, en examinant les données d'une attaque d'hameçonnage de 2006,55% des mots de passe MySpace seraient craquables en 8 heures en utilisant une boîte à outils de récupération de mot de passe disponible dans le commerce capable de tester 200 000 mots de passe par seconde en 2006. Il a également indiqué que le mot de passe le plus courant était le mot de passe1, ce qui confirme encore une fois l'absence générale de soins éclairés dans le choix des mots de passe parmi les utilisateurs. (Il a néanmoins soutenu, en se basant sur ces données, que la qualité générale des mots de passe s'est améliorée au fil des ans - par exemple, la longueur moyenne était jusqu' à huit caractères contre moins de sept dans les enquêtes précédentes et moins de 4 % étaient des mots du dictionnaire.

Incidents

  • Le 16 juillet 1998, le CERT a signalé un incident au cours duquel un agresseur avait trouvé 186 126 mots de passe cryptés. Au moment où l'agresseur a été découvert, 47 642 mots de passe avaient déjà été piratés.
  • En septembre 2001, après la mort de 960 employés new-yorkais dans les attentats du 11 septembre 2001, la société de services financiers Cantor Fitzgerald, par l'intermédiaire de Microsoft, a brisé les mots de passe des employés décédés pour accéder aux fichiers nécessaires au service des comptes clients. Les techniciens ont eu recours à des attaques violentes et les intervieweurs ont communiqué avec les familles pour recueillir des renseignements personnalisés qui pourraient réduire le temps de recherche de mots de passe plus faibles.
  • En décembre 2009, une violation majeure du mot de passe du site Rockyou. com a conduit à la publication de 32 millions de mots de passe. Le pirate a ensuite divulgué la liste complète des 32 millions de mots de passe (sans autre information identifiable) sur Internet. Les mots de passe ont été stockés en texte clair dans la base de données et ont été extraits par une vulnérabilité d'injection SQL. L'Imperva Application Defense Center (ADC) a fait une analyse sur la force des mots de passe.
  • En juin 2011, l'OTAN (Organisation du Traité de l'Atlantique Nord) a été victime d'une atteinte à la sécurité qui a entraîné la divulgation publique des noms, prénoms, noms d'utilisateur et mots de passe de plus de 11 000 utilisateurs enregistrés de sa librairie électronique. Les données ont été divulguées dans le cadre de l'Opération AntiSec, un mouvement qui comprend Anonymous, LulzSec, ainsi que d'autres groupes et individus piratant. Le but d'AntiSec est d'exposer des informations personnelles, sensibles et confidentielles au monde entier, en utilisant tous les moyens nécessaires.
  • Le 11 juillet 2011, Booz Allen Hamilton, une firme d'experts-conseils qui travaille pour le Pentagone, a vu ses serveurs piratés par Anonymous et a fait l'objet d'une fuite le même jour. "La fuite, surnommée'Military Meltdown Monday', comprend 90.000 logins du personnel militaire - y compris le personnel de l'USCENTCOM, SOCOM, le corps des Marines, diverses installations de la Force aérienne, Homeland Security, le personnel du département d'État, et ce qui ressemble à des entrepreneurs du secteur privé." Ces mots de passe divulgués ont fini par être hachés dans SHA1, puis ont été décryptés et analysés par l'équipe ADC d'Imperva, révélant que même le personnel militaire cherchait des raccourcis et des moyens de contourner les exigences relatives aux mots de passe.

Alternatives aux mots de passe pour l'authentification

Les nombreuses façons dont les mots de passe permanents ou semi-permanents peuvent être compromis ont incité au développement d'autres techniques. Malheureusement, certains d'entre eux sont inadéquats dans la pratique et, en tout état de cause, rares sont ceux qui sont devenus universellement disponibles pour les utilisateurs à la recherche d'une alternative plus sûre. Un article de 2012 examine pourquoi les mots de passe se sont avérés si difficiles à remplacer (malgré de nombreuses prédictions qui seraient bientôt chose du passé); en examinant trente remplacements proposés par des représentants en matière de sécurité, d'utilisabilité et de déployabilité, ils concluent que " aucun ne conserve même pas l'ensemble des avantages que les mots de passe hérités offrent déjà ".
  • Mots de passe à usage unique. Avoir des mots de passe qui ne sont valides qu'une seule fois rend de nombreuses attaques potentielles inefficaces. La plupart des utilisateurs trouvent les mots de passe à usage unique extrêmement incommodes. Elles ont toutefois été largement mises en œuvre dans les services bancaires personnels en ligne, où elles sont connues sous le nom de numéros d'authentification de transaction (TAN). Étant donné que la plupart des utilisateurs à domicile effectuent seulement un petit nombre de transactions chaque semaine, le problème de l'usage unique n' a pas entraîné une insatisfaction intolérable de la clientèle dans ce cas-ci.
  • Les mots de passe uniques synchronisés dans le temps sont semblables à certains égards aux mots de passe à usage unique, mais la valeur à entrer est affichée sur un petit élément (généralement pocketable) et change toutes les minutes environ.
  • Les mots de passe uniques PassWindow sont utilisés comme mots de passe à usage unique, mais les caractères dynamiques à entrer ne sont visibles que lorsqu'un utilisateur superpose une clé visuelle imprimée unique sur une image de défi générée par le serveur et affichée à l'écran de l'utilisateur.
  • Contrôles d'accès basés sur la cryptographie à clé publique, par exemple ssh. Les clés nécessaires sont généralement trop grandes pour être mémorisées (mais voir la proposition Passmaze) et doivent être stockées sur un ordinateur local, un jeton de sécurité ou un périphérique de mémoire portable, comme une clé USB ou même une disquette.
  • Les méthodes biométriques promettent une authentification basée sur des caractéristiques personnelles inaltérables, mais actuellement (2008) ont des taux d'erreur élevés et nécessitent du matériel supplémentaire pour numériser, par exemple des empreintes digitales, des iris, etc. Ils se sont révélés faciles à usurper lors de certains incidents célèbres testant des systèmes disponibles dans le commerce, par exemple la démonstration de l'usurpation d'empreintes digitales par gomme, et parce que ces caractéristiques sont inaltérables, elles ne peuvent pas être modifiées si elles sont compromises; c'est une considération très importante dans le contrôle de l'accès car un jeton d'accès compromis n'est pas nécessairement sûr.
  • La technologie d'ouverture de session unique est censée éliminer la nécessité d'avoir plusieurs mots de passe. De tels systèmes ne dispensent pas l'utilisateur et les administrateurs de choisir des mots de passe uniques raisonnables, ni les concepteurs ou administrateurs de systèmes de s'assurer que les informations de contrôle d'accès privées transmises entre les systèmes autorisant l'authentification unique sont protégées contre les attaques. Aucune norme satisfaisante n' a encore été élaborée.
  • La technologie Envaulting est un moyen sans mot de passe pour sécuriser les données sur des périphériques de stockage amovibles tels que les clés USB. Au lieu des mots de passe utilisateur, le contrôle d'accès est basé sur l'accès de l'utilisateur à une ressource réseau.
  • Les mots de passe non textuels, tels que les mots de passe graphiques ou les mots de passe basés sur les mouvements de souris. Les mots de passe graphiques sont des moyens alternatifs d'authentification pour la connexion destinés à remplacer le mot de passe conventionnel; ils utilisent des images, des graphiques ou des couleurs à la place de lettres, de chiffres ou de caractères spéciaux. Un système exige que les utilisateurs choisissent une série de visages comme mot de passe, en utilisant la capacité du cerveau humain à se souvenir facilement des visages. Dans certaines implémentations, l'utilisateur doit choisir parmi une série d'images dans l'ordre correct afin d' y accéder. Une autre solution graphique crée un mot de passe unique en utilisant une grille d'images générées de manière aléatoire. Chaque fois que l'utilisateur doit s'authentifier, il recherche les images qui correspondent aux catégories qu'il a choisies et entre le caractère alphanumérique aléatoirement généré qui apparaît dans l'image pour former le mot de passe unique. Jusqu' à présent, les mots de passe graphiques sont prometteurs, mais peu utilisés. Des études sur ce sujet ont été faites pour déterminer son utilisabilité dans le monde réel. Bien que certains croient que les mots de passe graphiques seraient plus difficiles à déchiffrer, d'autres suggèrent que les gens seront tout aussi susceptibles de choisir des images ou des séquences courantes que des mots de passe communs.
  • Clé 2D (clé bidimensionnelle) est une méthode d'entrée de clé de type matrice 2D ayant les styles clés de mots de passe multilignes, mots croisés, ASCII/Unicode art, avec des bruits textuels optionnels sémantiques, pour créer un mot de passe/clé de taille supérieure à 128 bits pour réaliser la MePKC (Cryptographie de clé publique mémorisable) en utilisant une clé privée entièrement mémorisable sur les technologies de gestion des clés privées actuelles comme clé privée cryptée, clé privée divisée, clé privée partagée, clé privée
  • Les mots de passe cognitifs utilisent des paires questions/réponses pour vérifier l'identité.

Le mot de passe est mort

Que "le mot de passe est mort" est une idée récurrente en sécurité informatique. Elle accompagne souvent les arguments selon lesquels le remplacement des mots de passe par un moyen d'authentification plus sûr est à la fois nécessaire et imminent. Cette affirmation a été faite par de nombreuses personnes au moins depuis 2004. Notamment, Bill Gates, prenant la parole à la conférence 2004 de RSA, a prédit la disparition des mots de passe en disant "ils ne répondent pas au défi pour tout ce que vous voulez vraiment sécuriser." En 2011, IBM a prédit que d'ici cinq ans,"vous n'aurez plus jamais besoin d'un mot de passe." Matt Honan, journaliste à Wired, victime d'un incident de piratage informatique, écrivait en 2012:"L'âge du mot de passe est révolu". Heather Adkins, gestionnaire de la sécurité de l'information chez Google, en 2013 a déclaré que" les mots de passe sont faits chez Google. Eric Grosse, vice-président de l'ingénierie de la sécurité chez Google, déclare que " les mots de passe et les simples jetons de support, tels que les cookies, ne suffisent plus à assurer la sécurité des utilisateurs. Christopher Mims, écrivant dans le Wall Street Journal, a déclaré que le mot de passe "est en train de mourir" et a prédit leur remplacement par une authentification basée sur les périphériques. Avivah Litan de Gartner a déclaré en 2014:"Les mots de passe étaient morts il y a quelques années. Maintenant, ils sont plus que morts." Les raisons invoquées comprennent souvent la référence à la facilité d'utilisation ainsi que les problèmes de sécurité des mots de passe.L'affirmation selon laquelle "le mot de passe est mort" est souvent utilisée par les partisans d'alternatives aux mots de passe, telles que la biométrie, l'authentification à deux facteurs ou la signature unique. De nombreuses initiatives ont été lancées dans le but explicite d'éliminer les mots de passe. Il s'agit notamment de Microsoft Cardspace, du projet Higgins, de la Liberty Alliance, de NSTIC, de la FIDO Alliance et de diverses propositions Identity 2.0. Jeremy Grant, chef de l'initiative NSTIC (Département américain des affaires étrangères) de Commerce National Strategy for Trusted Identities in Cyberspace), a déclaré:"Les mots de passe sont un désastre du point de vue de la sécurité, nous voulons les tuer." L'Alliance FIDO promet une "expérience sans mot de passe" dans son cahier des charges 2015.En dépit de ces prédictions et des efforts pour les remplacer, les mots de passe apparaissent toujours comme la forme dominante d'authentification sur le web. Dans" The Persistence of Passwords", Cormac Herley et Paul van Oorschot suggèrent que tout devrait être mis en œuvre pour mettre fin à "l'hypothèse spectaculairement erronée" selon laquelle les mots de passe sont morts. Ils affirment qu'"aucune autre technologie ne correspond à leur combinaison de coûts, d'immédiateté et de commodité" et que "les mots de passe sont eux-mêmes les mieux adaptés à bon nombre des scénarios dans lesquels ils sont actuellement utilisés".

Systèmes de mot de passe du site Web

Les mots de passe sont utilisés sur les sites Web pour authentifier les utilisateurs et sont généralement maintenus sur le serveur Web, ce qui signifie que le navigateur d'un système distant envoie un mot de passe au serveur (par HTTP POST), le serveur vérifie le mot de passe et renvoie le contenu pertinent (ou un message de refus d'accès). Ce processus élimine la possibilité d'une rétro-ingénierie locale car le code utilisé pour authentifier le mot de passe ne réside pas sur la machine locale.La transmission du mot de passe, via le navigateur, en clair signifie qu'il peut être intercepté tout au long de son parcours vers le serveur. De nombreux systèmes d'authentification Web utilisent SSL pour établir une session cryptée entre le navigateur et le serveur, et c'est généralement la signification sous-jacente des revendications d'avoir un "site Web sécurisé". Ceci est fait automatiquement par le navigateur et augmente l'intégrité de la session, en supposant qu'aucune des deux fins n' a été compromise et que les implémentations SSL/TLS utilisées sont de haute qualité.
Nettoyage PC