Nous avons déjà abordé le fait que stocker des mots de passe au format texte brut est une erreur monumentale. Pour respecter les normes minimales de cybersécurité, les fournisseurs de services doivent conserver vos identifiants sous forme hachée. Certains vont même encore plus loin et ajoutent un peu d'assaisonnement — un sel — sur un mot de passe avant de le hacher. Mais il existe un autre moyen de renforcer la protection des mots de passe — en utilisant le poivre.
Qu'est-ce que la notion de « poivre » pour un mot de passe ?
Ajouter du poivre à un mot de passe, de l'anglais « pepper », c'est ajouter une chaîne secrète au mot de passe avant le hachage. On peut considérer qu'on ajoute en quelque sorte un second sel, c'est-à -dire une clé supplémentaire permettant de totalement modifier le résultat du hachage. Pourtant, contrairement au sel, le poivre n'est pas stocké dans la même base de données que les mots de passe cassés par hachage. Mais pourquoi avons-nous besoin de sels et de poivres en premier lieu ?
La pratique de sécurité courante en matière de mots de passe consiste à protéger les mots de passe par le biais d'une fonction unidirectionnelle appelée le « hachage », pour ne jamais les stocker au format texte brut. L'algorithme de hachage prend les données et les traduit en un ensemble de caractères complètement différent et méconnaissable, ce qu'on appelle le hachage de mot de passe. Lorsque vous essayez de vous connecter, le hachage de votre mot de passe est comparé à celui de la base de données. S'ils correspondent, vous vous connectez avec succès.
Le problème est que les cybercriminels peuvent soumettre des mots de passe courants à ces mêmes algorithmes. Une fois qu'ils repèrent une correspondance de hachage, ils connaissent immédiatement le mot de passe original. Ainsi, pour protéger vos mots de passe contre les attaques par dictionnaire (qui devinent les mots existants) et les tables arc-en-ciel (bases de données de hachage précalculées), les cryptographes ajoutent des sels.
Un sel est une chaîne de caractères aléatoire ajoutée à votre mot de passe pour que le résultat du hachage soit complètement différent. De cette façon, un pirate ne peut pas simplement rechercher la valeur de hachage du mot de passe « greentrees », par exemple, car le sel le transformerait en quelque chose comme « greentreesF&i$#u ». Le cybercriminel devrait alors utiliser la force brute, c'est-à -dire deviner toutes les combinaisons possibles pour chaque mot de passe, ralentissant considérablement le processus de piratage.
Un poivre est similaire à un sel : il s'agit d'un bit de données aléatoire ajouté au mot de passe avant qu'il ne soit haché par un algorithme. Mais contrairement à un sel, le poivre n'est pas conservé dans la même base de données que les résultats du hachage des mots de passe. Au lieu de cela, le poivre est généralement codé en dur dans le code source du site Web.
Avantages et inconvénients
Le plus grand avantage d'un poivre est qu'il n'est pas conservé dans la base de données. Ainsi, en cas de violation de données, même s'il a accès à tous les mots de passe hachés, l'attaquant devra toujours accéder à la base de données au moyen d'une attaque par force brute.
Cependant, comme le poivre est codé en dur, il s'agit généralement du même bit de données pour chaque mot de passe, et il ne peut pas être modifié. À la suite d'une violation de données, le poivre peut générer plus d'inconvénients que d'avantages. En outre, la majorité des algorithmes de hachage avancés sont destinés à être utilisés avec des sels. L'implémentation de poivres pourrait donc s'avérer un peu difficile.
En fin de compte, une chose est claire : il faut toujours utiliser des mots de passe forts et compliqués. Vous ne pouvez jamais être sûr de la sécurité de l'algorithme de hachage utilisé par votre fournisseur de services. Et les mots de passe tels que le nom de votre animal de compagnie ou votre film préféré sont toujours les premiers à être craqués.