Qu’est-ce qu’un mot de passe fort

La « force » du mot de passe est comprise par la plupart des gens comme étant déterminée par la variété des types de caractères dans un mot de passe. Mais alors que les formulaires d’inscription peuvent penser que la complexité est la sécurité, les attaquants ne sont pas d’accord. La complexité ne défend plus contre un modèle de menace moderne. Qu’est-ce qui fait des mots de passe forts ? Nous devons d’abord examiner le modèle de menace réel auquel la plupart des gens sont confrontés.

La complexité du mot de passe passe à côté

La « force » du mot de passe n’est souvent qu’une fonction de la complexité ou du degré d’aléatoire d’un mot de passe, mesuré par l’utilisation de symboles, de chiffres et de majuscules et minuscules. Mais ajouter quelques caractères différents à votre mot de passe n’augmente pas de manière significative sa « force », malgré ce que suggère cette barre verte trompeuse de « force » à côté de votre mot de passe. La complexité augmente la difficulté d’une attaque par force brute, mais ce genre d’attaque est rare.

Au lieu de cela, le vol d’informations d’identification se produit lors de vols de données massifs ou de fuites de grandes organisations. La force du mot de passe ne vous aidera pas si les attaquants ont votre mot de passe en clair.

Utiliser des mots de passe uniques

La plupart des gens sont extrêmement vulnérables à ce qu’on appelle le « truc d’informations d’identification » : des informations d’identification compromises sont essayées sur des plates-formes populaires pour exploiter la tendance humaine à la réutilisation des mots de passe. C’est un danger bien plus grand qu’un mot de passe « faible ». Après tout, un mot de passe « super fort », complètement aléatoire, réutilisé sur chaque plate-forme deviendrait désastreux après une fuite.

Plutôt que de considérer la force du mot de passe comme une propriété singulière, nous devons penser à la force de votre système d’authentification. Les mots de passe modernes créent ce système et doivent être considérés comme tels. L’utilisation de mots de passe uniques est beaucoup plus facile avec un gestionnaire de mots de passe, alors commencez dès aujourd’hui si vous ne l’avez pas déjà fait.

La longueur est plus importante que la complexité

Pendant des années, nous avons été entraînés à considérer la complexité comme le facteur le plus important d’un mot de passe. Et bien que nous sachions que les attaques par force brute sont rares, la complexité n’est même pas la meilleure défense contre le cracking par force brute : la longueur est en fait beaucoup plus importante.

La longueur du mot de passe a une relation exponentielle avec le temps de craquage, donc des augmentations modérées de la longueur peuvent entraîner des augmentations massives du temps de craquage. La complexité, en revanche, a une relation plus linéaire avec le temps de fissuration.

Prenons cet exemple : une machine de craquage haute performance peut casser un mot de passe d’apparence complexe comme *nRyU86) dans aussi peu que quatre-vingts minutes. L’augmentation de la longueur d’une seule lettre majuscule étend ce temps à près de trente-six heures, tandis que la modification d’une lettre en symbole ne fournit aucun changement significatif dans le temps de craquage.

Profitons pleinement des pouvoirs exponentiels de la longueur. Qu’en est-il d’une phrase secrète de quatre mots, utilisant des mots connus du dictionnaire et totalisant seize caractères ? Même en tenant compte des attaques par dictionnaire (attaques qui utilisent une base de données de mots connus pour deviner les mots de passe au lieu de générer des suppositions aléatoires), cela prendrait encore quatre-vingt-dix milliard ans pour déchiffrer le mot de passe.

Oubliez la complexité. Les meilleurs mots de passe sont en fait pass-phrases. Vous ne pourrez jamais vous souvenir d’un mot de passe complexe aussi fort. Mais les cerveaux aiment les histoires drôles et les images surprenantes. Si vous générez une histoire absurdement mémorable pour une phrase générée au hasard, vous aurez du mal à l’oublier.

La génération de phrases de passe vraiment aléatoires est essentielle. Le choix de mots liés à vous-même, comme votre mois de naissance, rendra la phrase secrète plus facile à deviner. Utilisation Les dés de mot de passe de l’EFF pour générer des phrases de passe aléatoires en toute sécurité.

Activer tous les systèmes d’authentification à deux facteurs

Tous les systèmes fuient. La force du mot de passe ne vous sauvera pas. Alors comment pouvez-vous vous défendre ? Les systèmes d’authentification à deux facteurs (2FA) offrent une couche de sécurité supplémentaire. 2FA demande deux types d’informations d’identification : quelque chose que vous connaître (c’est-à-dire votre mot de passe) et quelque chose que vous avoir (c’est-à-dire votre téléphone). Dans la plupart des systèmes 2FA, ces codes sont générés par un serveur distant. Le serveur envoie le code actif à l’utilisateur au moment de la connexion.

Malheureusement, les attaquants peuvent intercepter les codes SMS avec une relative facilité grâce au clonage de la carte SIM. Pour éviter cette écoute, générez des codes sur votre appareil mobile avec une application 2FA comme Authie, Authentificateur Google, ou un gestionnaire de mots de passe avec support 2FA comme 1Mot de passe.

Conclusion

La « force » d’un seul mot de passe est un faux-fuyant. Un système d’authentification fort est plus important. Les fuites et le vol de données se produisent inévitablement. Des mots de passe uniques permettent de contenir les dommages. L’authentification à deux facteurs peut réduire à zéro les dommages causés par les identifiants volés.