L’authentification par mot de
passe est morte. Ce n’est pas encore entré dans les mœurs de la plupart
des acteurs de l’Internet, et encore moins chez les utilisateurs, mais
c’est pourtant le cas. Au même titre que telnet est mort et enterré au
profit de ssh - à tel point que l'on a presque du mal aujourd'hui à se
souvenir que l'on a pu jadis utiliser telnet - l’authentification par
mot de passe est morte, et l’entrée dans l’ère de l’authentification à
deux facteurs généralisée est inévitable.
Il y a
plusieurs raisons à cela. D'abord, les utilisateurs, bien sûr. De plus
en plus nombreux, et de moins en moins sensibilisés aux principes de
sécurité informatique (corollaire de la démocratisation et de la
généralisation d'Internet dans les sociétés), ils offrent une surface
d'attaque toujours grandissante. L'augmentation du nombre de plateformes
web très populaires en nombre d'abonnés accroît également le risque, la
plupart des personnes utilisant inévitablement le même mot de passe sur
l'ensemble des sites web. Le login, quant à lui, est aujourd'hui
universellement accepté comme étant par défaut l'adresse e-mail de
l'abonné, et en cela la centralisation des plateformes e-mails aggrave
encore le problème : trouver un login valide sur une plateforme en ligne
par simple essai/erreur est de fait pratiquement une équation à zéro
inconnue.
|
Le
principe même de "mot de passe" est très souvent perçu comme une
contrainte insupportable et surfaite, et il est complexe de convaincre
un utilisateur non versé dans la sécurité informatique que cet élément
est critique pour la protection de ses données personnelles. Il est
facile donc de rejeter la faute sur l'utilisateur, incapable de
comprendre les enjeux du choix d'un mot de passe fort. Mais des
milliards de personnes peuvent-elles avoir tort ? Et si c'était la
communauté de la sécurité informatique qui se trompait depuis le début ?
Nos cartes bancaires - rien de moins que ça - sont protégées par un
simple code PIN à 4 chiffres, alors comment espérer convaincre les
utilisateurs de protéger leurs selfies sur Facebook avec un mot de passe
fort à 10 caractères et majuscules-minuscules-chiffres-ponctuation
obligatoires ? Les gens détestent les mots de passe, et ils ont raison.
|
S'il
fallait encore s'en convaincre, il est facile de constater que même un
mot de passe fort, comme souvent rendu obligatoire par les chartes
informatiques des entreprises, ne règle en réalité qu'assez peu de
problèmes de sécurité. Que dire du mot de passe, dont l'entropie est
plébiscitée par le RSSI local, simplement noté sur un post-it ? Que
penser du mot de passe fort tout juste généré par le SI, envoyé en clair
par e-mail et stocké à vie sur l'ordinateur du salarié ? Que faire du
mot de passe fort épelé consciencieusement par l'utilisateur au
téléphone, parce qu'une personne à l'autre bout du fil se faisant passer
pour le département informatique, le lui a simplement demandé ? Même en
quittant le monde de l'entreprise et en revenant à l'Internet en
général, comment faire confiance aux multiples sites web ou forums en
tout genre, à propos du stockage en base de données des mots de passe
qui leurs sont confiés ? Combien d'entre eux renvoient simplement le mot
de passe oublié par e-mail, indiquant qu'il était stocké en clair dans
leur base ? Combien utilisent encore un algorithme de hashage de type
MD5 non salé, tellement simple à inverser à l'aide d'algorithmes jouant
sur le compromis "temps de calcul/espace mémoire" (type tables
arc-en-ciel), aujourd'hui à la portée de n'importe qui grâce au coût
dérisoire du stockage ?
source: https://www.ovh.com/fr/news/articles/a1682.mot-de-passe-chronique-d-une-mort-annoncee
Commentaires
Enregistrer un commentaire