Mots de passe : les "bonnes pratiques" ne sont pas bonnes

Les récents piratages massifs de sites comme Yahoo ou Ashley Madison ont mis en avant les failles de sécurités des sites Internet, mais également le manque de sécurité de nombreux mots de passe utilisés par les internautes. On rappelle que 123456 est encore et toujours le mot de passe le plus utilisé du monde et probablement le moins sécurisé qui soit.

En 2003, le NIST (National Institute of Standards and Technology) avait publié des bonnes pratiques pour le choix d'un mot de passe. Des pratiques aujourd'hui largement utilisées, mais qui ont été reniées par leur auteur, Bill Burr.

Mot de passe : changer les caractères alphanumériques ne sert pas à grand-chose

Bill Burr, âgé de 72 ans, a récemment été interrogé par le Wall Street Journal , qui est revenu sur son texte publié en 2003 sur les bonnes pratiques concernant les mots de passe. C'est simple : il regrette ses conseils. En fait, ceux-ci seraient aujourd'hui totalement obsolètes, alors qu'ils sont largement adoptés par la communauté des internautes.

Car ses conseils sont les suivants : utiliser des majuscules, ajouter des chiffres, remplacer des lettres par des chiffres comme dans « M0td3p4sse », ajouter des caractères spéciaux. Ces étapes sont encore des standards au point d'être obligatoires dans la création de mots de passe sur de nombreux sites, en particulier ceux qui détiennent des informations personnelles ou bancaires sur vous.

L'Homme reproduit toujours les mêmes schémas

En théorie, il n'y a pas de raisons pour que ces pratiques ne soient plus bonnes : ça devrait compliquer la vie des pirates que de remplacer des lettres et ajouter des chiffres. Sauf que l'Homme manque d'imagination : au final, la grande majorité des personnes qui utilisent ces bons conseils finissent par faire toujours la même chose et remplacer les mêmes lettres par les mêmes chiffres. S'ils paraissent complexes, ces mots de passe sont en réalité très simples pour des algorithmes. De plus, ils sont compliqués à mémoriser : a-t-on remplacé le E par 3 et le A par 4 ou seulement une des deux lettres ?

Inversement, une phrase complètement absurde écrite en minuscules, comme « Les patates championnes de natation » est beaucoup plus difficile à craquer, ne repose sur rien et est plus facile à mémoriser. Si bien que la nouvelle version du document du NIST sur les standards pour les mots de passe sécurisés ont balayé une bonne partie des conseils de Bill Burr.

• Ce site vous dira si votre mot de passe a été volé
• Une application pour garder des mots de passe après la mort
• Gestionnaires de mots de passe : les meilleurs logiciels et extensions gratuits
• Ransomware : Windows passe à la vitesse supérieure