CHOISIR un "bon" mot de passe

Mot de passe

Qui est concerné ?	Particuliers, entreprises
Combien de temps faut-il ?	15 minutes
Quel gain ?	Utiliser un "bon" mot de passe

Dans un système d’information, un mot de passe est souvent l’élément dont l’efficacité repose le plus sur l’utilisateur. Il est donc très important de savoir choisir plusieurs mots de passe dits forts, c’est-à-dire difficile à retrouver à l’aide d’outils automatisés, et difficile à deviner par une tierce personne.

mot de passe

Les mots de passe forts

La force d’un mot de passe dépend de sa longueur et du nombre de possibilités existantes pour chaque caractère le composant. Ainsi, un mot de passe composé de caractères minuscules, majuscules, chiffres et caractères spéciaux sera de meilleure qualité qu’un mot de passe composé uniquement de minuscules.

Choisir et retenir un mot de passe fort

Un mot de passe long et ne comportant pas de mots du dictionnaire peut être difficile à retenir, et sera souvent inscrit sur un bout de papier à côté du poste, ce qui pourrait compromettre la sécurité de celui-ci dans un environnement partagé. Il faut donc trouver des moyens mnémotechniques pour fabriquer et retenir facilement de tels mots de passe :

 phonétique : "J’ai acheté 3 CD pour cent euros cet après-midi" : ght3CD%E7am ;
 méthode des premières lettres : "Un tiens vaut mieux que deux tu l’auras" : 1tvmQ2tl’A.

L’utilisation de caractères spéciaux, de chiffres et de majuscules peut être réalisée avec ces deux méthodes. De plus, il est possible de décliner plusieurs mots de passe à partir d’un mot de passe fort, en changeant, par exemple, l’un des caractères de celui-ci. Il est ainsi plus facile de retenir des mots de passe différents utilisés pour des accès divers. Cette méthode est toutefois à utiliser avec précaution, car si l’un des mots de passe est découvert, les autres peuvent être facilement devinés.

L’inscription de son mot de passe sur un bout de papier n’est pas toujours à proscrire, et cela dépend de l’environnement dans lequel on se trouve. Par exemple, cela est envisageable voire recommandé chez soi, où l’on est seul à avoir accès à l’ordinateur, mais pas dans un environnement partagé tel que le travail.

Recommandations

 Avoir des mots de passe de 12 caractères minimum, si possible de 16 caractères.
 Utiliser des caractères de type différent (majuscules, minuscules, chiffres, caractères spéciaux).
 Ne pas utiliser de mot de passe ayant un lien avec soi (noms, dates de naissance…).
 Le même mot de passe ne doit pas être utilisé pour des accès différents.
 Changer de mot de passe régulièrement.
 En règle générale, ne pas configurer les logiciels pour qu’ils retiennent les mots de passe.
 Éviter de stocker ses mots de passe dans un fichier ou lieu proche de l’ordinateur si celui-ci est accessible par d’autres personnes.
 Si possible, limiter le nombre de tentatives d’accès.

Méthodes d’attaques sur les mots de passe

La plupart du temps, seule une empreinte du mot de passe est stockée sur l’ordinateur. Celle-ci résulte d’une fonction de hachage, qui est à sens unique (c’est-à-dire, qu’on ne peut pas retrouver le mot de passe à partir de son empreinte unique).

Une attaque sur un mot de passe peut soit se faire sur son empreinte, soit sur l’authentification elle-même. Dans le premier cas, l’attaquant va appliquer la fonction de hachage sur différents mots et les comparer avec l’empreinte dérobée, jusqu’à trouver une équivalence. Dans le deuxième cas, il va directement essayer les mots dans le programme jusqu’à obtenir une authentification réussie. Dans le cas où le nombre de tentatives est limité, cette deuxième attaque devient quasi-impossible.

Le choix des mots que le programme d’attaque essaye définit le type d’attaque : force brute, dictionnaire, compromis temps / mémoire…

Attaque par force brute

Une attaque par force brute tente d’utiliser tous les mots de passe possibles. Plus il y a de caractères et plus leur espace de départ (types de caractères) est grand, plus cette attaque mettra de temps à aboutir. Un mot de passe long (au moins 12 caractères) et utilisant des types de caractères différents ne peut ainsi être trouvé en un temps raisonnable par un attaquant ayant des moyens conventionnels.

Attaque par dictionnaire

L’attaque par dictionnaire consiste à utiliser des mots issus d’une liste, le but recherché étant de retrouver des mots de passe utilisant des mots communs (de différentes langues). Plusieurs techniques sont utilisées pour augmenter le nombre de combinaisons testées, notamment :

 ajout d’un ou plusieurs chiffres ("password01") ;
 changement des minuscules ou majuscules ("pAssword") ;
 remplacement des caractères par des chiffres ("pa55w0rd").

Le choix d’un mot de passe ne faisant aucune référence à un mot connu du dictionnaire rendra cette attaque inutile.

Ingénierie sociale

Cette méthode consiste simplement à deviner le mot de passe, en fonction d’éléments que l’attaquant aura pu obtenir sur le propriétaire du mot de passe et de ses proches (nom, prénom, date de naissance…). Ceux-ci peuvent être ajoutés manuellement dans un dictionnaire, pour que le programme utilise diverses techniques citées précédemment pour optimiser des combinaisons.

source : http://www.securite-informatique.gouv.fr/gp_article45.html