10 mythes sur les mots de passe démentis

En cette Journée du mot de passe 2020, nous allons dissiper certaines des idées reçues qui entourent encore cet aspect crucial de la sécurité en ligne. Qu’est-ce qui fait qu’un mot de passe est faible ou sécurisé ? Dans quelle mesure est-il risqué de noter sur papier ses identifiants de connexion ? Voici dix mythes à la vie dure sur les mots de passe.

1. Si vous n’avez rien à cacher, pas besoin de vous soucier des mots de passe

Lorsque les internautes pensent que l’enjeu est faible, ils baissent la garde. Le piège, c’est que vous n’avez pas besoin de partager des secrets d’État pour craindre un piratage. Un pirate informatique qui s’introduit dans votre compte de réseaux sociaux ou votre messagerie électronique peut tout de même faire beaucoup de dégâts à long terme.

D’une part, il se peut que ce ne soit pas vous qui subissiez les conséquences d’un mot de passe mal sécurisé. Les pirates peuvent utiliser votre compte pour lancer des attaques de phishing sur des personnes faisant partie de vos contacts afin de leur extorquer de l’argent.

Vous pouvez toujours être directement impacté, bien sûr. Un pirate qui déchiffre un mot de passe peut avoir accès à d’autres comptes liés sur différentes plateformes. Après tout, les identifiants de messagerie et de réseaux sociaux sont souvent utilisés comme mécanismes de connexion à des sites tiers. Un pirate peut aussi organiser une attaque de l’homme du milieu (MITM) après avoir espionné votre compte.

Vous ne voyez peut-être pas comment un mot de passe faible pourrait vous nuire, mais un pirate, lui, le sait parfaitement.

2. Il est acceptable d’utiliser le même mot de passe sur plusieurs comptes

Réutiliser un mot de passe n’est pas une bonne idée, même si vous pensez qu’il est fort. Pour la même raison, vous préférez éviter d’utiliser une seule et même clé pour votre voiture, votre bureau et votre appartement.

Il n’a jamais été aussi facile de contourner la sécurité des connexions : avec les logiciels de force brute les pirates peuvent prendre possession d’un compte en quelques secondes. Si vous utilisez les mêmes informations pour plusieurs sites, alors un piratage peut rapidement se propager.

Différencier vos identifiants de connexion constitue une partie essentielle de la sécurité en ligne, qui permet de limiter la menace que représente tout piratage réussi.

3. Les chiffres et les caractères spéciaux renforcent automatiquement votre mot de passe

L’ajout de chiffres et de symboles à votre mot de passe est bien sûr utile, mais pas autant que ce que beaucoup pensent. Les pirates informatiques utilisent des programmes capables de parcourir les symboles et les séquences numériques les plus courants en quelques millisecondes. Ajouter « 123 » ou remplacer la lettre « A » par « @ » ne ralentira guère le dernier logiciel de force brute.

S’il est important d’utiliser des lettres, des chiffres et des symboles totalement aléatoires, il est également essentiel d’éviter les schémas classiques.

4. Il n’est pas prudent de noter sur papier ses mots de passe

Ce point dépend de circonstances spécifiques. Dans un environnement professionnel ou de bureau, il est évidemment vital de ne pas laisser traîner les informations relatives au mot de passe. En revanche, pour les personnes possédant des comptes personnels, à savoir des comptes de réseaux sociaux, par exemple, et de messagerie électronique personnelle, cela n’est pas vraiment aussi important.

Si une personne veut détourner votre compte de réseaux sociaux ou s’introduire dans votre messagerie électronique, il est peu probable qu’elle vive dans votre quartier. Cette personne peut se trouver dans une chambre à l’autre bout du monde et lancer tout de même une attaque. Ces criminels s’appuient sur des logiciels algorithmiques complexes, et non sur la feuille sur laquelle vous avez écrit vos mots de passe et que vous avez laissée tomber.

Bien pire que d’écrire sur papier un mot de passe, c’est d’en utiliser un simple et facile à retenir. « Facile à retenir » signifie en réalité « facile à déchiffrer ».

5. Les vérificateurs de mots de passe sur les sites sont toujours fiables

Rendez-vous sur un site Web qui intègre une évaluation de la force du mot de passe dans le processus de création de celui-ci. Vous constaterez qu’en ajoutant une lettre majuscule et quelques chiffres et symboles, vous pouvez faire passer votre mot de passe de faible à fort.

C’est ainsi que la sécurité du mot de passe fonctionne. Le pirate qui veut s’introduire dans votre messagerie électronique utilisera des outils sophistiqués. Ceux-ci peuvent vérifier chaque mot du dictionnaire en quelques secondes. Il leur faudra peu de temps pour parcourir les noms communs et les associer à des dates et des modèles numériques communs.

Choisir « Motdep@sse123 » au lieu de « mot de passe » n’améliore guère la sécurité, quoi qu’en dise le vérificateur de force.

6. Changer régulièrement votre mot de passe améliore votre sécurité en ligne

Ce n’est pas tout à fait un mythe, mais changer régulièrement votre mot de passe n’est qu’une petite partie d’un processus beaucoup plus large.

Il s’agit d’une pratique courante au sein des grandes organisations, par exemple dans les entreprises ou universités, mais elle présente certains inconvénients. Forcer les gens à modifier leurs identifiants de connexion fréquemment peut les pousser à accorder moins d’attention à la qualité des mots de passe qu’ils utilisent.

Il vaut mieux se fier à un seul mot de passe complexe et difficile à déchiffrer pendant toute une année que d’en utiliser six simples dans le même intervalle de temps.

7. Oublier votre mot de passe peut vous priver définitivement d’un compte

Cela ne serait vrai que dans des circonstances très spécifiques. Pour la grande majorité des utilisateurs de la plupart des plateformes protégées par un mot de passe, la récupération d’un compte est assez simple.

Que ce soit pour des réseaux sociaux tels que Instagram ou pour des services de divertissement comme Spotify et le Playstation Network, vous pouvez réinitialiser un mot de passe oublié en quelques étapes.

8. Les utilisateurs sont toujours responsables des atteintes à la sécurité des mots de passe

Il est facile de rejeter la faute sur les utilisateurs lorsque leurs comptes sont piratés ou que leurs identifiants de connexion se retrouvent en ligne. Cependant, les mots de passe faibles ne sont pas toujours à l’origine de ces fuits de données.

Comme nous l’avons évoqué dans le mythe numéro 5, de nombreux sites Web donnent des conseils trompeurs sur ce qui constitue un mot de passe fort. La plupart ne prennent pas la peine d’inviter les utilisateurs à prendre des précautions supplémentaires.

Pire encore, les mots de passe sont parfois divulgués sur le Dark Web lorsque des fichiers d’entreprise ne sont pas sécurisés. Vous pouvez savoir si vos données de connexion sont disponibles en ligne en consultant le site have I been pwned . Les entreprises doivent être conscientes du rôle qu’elles jouent dans la protection des mots de passe des utilisateurs.

9. La complexité l’emporte toujours sur la longueur du mot de passe

La complexité est essentielle, mais la longueur l’est tout autant. Ce n’est pas pour rien que la plupart des sites imposent un nombre minimum de caractères pour les mots de passe : plus ils sont longs, mieux c’est.

Il est plus difficile de rendre complexes des mots de passe courts. Même un ensemble aléatoire de lettres et de symboles peut être déchiffré relativement rapidement s’il ne comporte que six caractères.

La longueur et la complexité sont les deux clés d’une bonne sécurité des mots de passe. Si vous pouvez vous concentrer sur ces deux aspects, votre compte sera beaucoup plus difficile à forcer.

10. Vous n’avez pas besoin d’un gestionnaire de mots de passe

En fait, c’est sûrement le cas. Un gestionnaire de mots de passe contribuerait grandement à limiter la plupart des risques que nous avons abordés jusqu’à présent.

Avec NordPass, vous pouvez générer des mots de passe longs et complexes et les stocker en toute sécurité dans des coffres-forts chiffrés. Ensuite, lorsque vous vous connectez à un compte ou à un profil, NordPass remplit automatiquement le formulaire à votre place. Vous n’avez pas besoin de vous souvenir de vos mots de passe, NordPass le fait pour vous.

Un bon gestionnaire de mots de passe est la pièce maîtresse d’une stratégie de sécurité en ligne forte.