Le but n'est pas de culpabiliser l'utilisateur mais bien de le rendre acteur et responsable.
Donc non, je ne cherche nullement à culpabiliser les utilisateurs, bien au contraire. Je ne dis d'ailleurs jamais qu'ils sont responsables de l'attaque ou du vol de données, ou de l'usurpation de compte, ou de quoi que ce soit du genre. Je dis qu'ils sont "responsables de leurs actes", et surtout "responsables" (tout court: des êtres responsables). C'est pour moi quelque chose de très important et de fondamental de responsabiliser les gens. C'est le même mot, mais avec un sens bien différent (notamment positif plutôt que négatif).
sensibiliser aux pratiques de sécurité basiques serait sans doute bien plus efficace à court terme.
C'est ce qu'essaient de faire beaucoup de sites de nos jours, avec des règles sur les mots de passe de plus en plus restrictifs (longueur minimum, mot de passe avec au moins majuscule, minuscule, nombre, caractère spécial...). Et en général, ce que j'entends quand un site essaie de "sensibiliser" ainsi les utilisateurs, c'est "tain ils sont chiants, ça me force à créer un nouveau mot de passe plutôt que mon mot de passe habituel".
Quelqu'un citait même les impôts qui avaient tenté l'expérience de l'identification par clé et se sont retrouvé à être obligé de faire marche arrière car beaucoup de gens ne comprenaient pas.
Le problème est que dès qu'un site essaie de sensibiliser à de meilleures pratiques ou de leur proposer des systèmes d'identification plus sécurisés, beaucoup se plaignent. Un mot de passe par contre, ça oui tous comprennent. Et de préférence, simple, et qu'ils pourront dire à tout le monde (ça me tue toujours les gens qui me donnent leur mot de passe pour utiliser leur ordinateur ou leur boîte email).
D’autre part, la plupart de la chaine de sécurité est déjà côté serveur
Oui et les développeurs et admins essaient d'améliorer les choses (la sécurité est quand même vachement mieux de nos jours, globabelement, qu'il y a quelques années), mais la sécurité n'est pas encore parfaite (et ne le sera sans doute jamais). Alors on fait quoi? On critique les admins et développeurs en leur mettant tout sur le dos et en les traitant d'incapables car ils ont pas encore réussi à trouver le système idéal? Ou en attendant ce jour (totalement hypothétique), on prend un peu sur soi, on fait un effort et on est "responsable"?
Quand on achète une serrure moderne ultra-sophistiquée, on s'attend quand même à ce que vous preniez le temps de fermer la porte à clé en sortant (sinon la serrure sert à rien). Ou on achète une porte qui ferme en claquant, ce qui simplifie beaucoup, mais le jour où vous avez oublié la clé à l'intérieur, vous maudissez le fabricant d'avoir fait ce système. Et si vous avez une serrure biométrique, j'ose espérer que vous n'avez pas d'objet suffisamment de valeur pour donner envie à un voleur de vous arracher votre œil ou de vous couper le doigt (et même sans ça, les empreintes biométriques restent falsifiables). Y a pas de système parfait si on veut sécurité et confort d'utilisation.
Conclusion: personne ne culpabilise ou ne rend responsable les utilisateurs des méfaits perpétrés par des malfrats. Mais on veut rappeler qu'ils sont tous des êtres responsables (tout court) et qu'ils doivent agir en tant que tel. Et donc on les sensibilise aux pratiques de sécurité basiques, notamment en écrivant cet article sur linuxfr.org. C'est donc exactement ce que tu demandes!
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]
[^] # Re: Quelques règles de base pour vos mots de passe
Posté par Jehan (site web personnel, Mastodon) . En réponse à la dépêche Linux Mint a été compromise. Évalué à 4.
Heureusement que j'ai dit explicitement:
Donc non, je ne cherche nullement à culpabiliser les utilisateurs, bien au contraire. Je ne dis d'ailleurs jamais qu'ils sont responsables de l'attaque ou du vol de données, ou de l'usurpation de compte, ou de quoi que ce soit du genre. Je dis qu'ils sont "responsables de leurs actes", et surtout "responsables" (tout court: des êtres responsables). C'est pour moi quelque chose de très important et de fondamental de responsabiliser les gens. C'est le même mot, mais avec un sens bien différent (notamment positif plutôt que négatif).
C'est ce qu'essaient de faire beaucoup de sites de nos jours, avec des règles sur les mots de passe de plus en plus restrictifs (longueur minimum, mot de passe avec au moins majuscule, minuscule, nombre, caractère spécial...). Et en général, ce que j'entends quand un site essaie de "sensibiliser" ainsi les utilisateurs, c'est "tain ils sont chiants, ça me force à créer un nouveau mot de passe plutôt que mon mot de passe habituel".
Quelqu'un citait même les impôts qui avaient tenté l'expérience de l'identification par clé et se sont retrouvé à être obligé de faire marche arrière car beaucoup de gens ne comprenaient pas.
Le problème est que dès qu'un site essaie de sensibiliser à de meilleures pratiques ou de leur proposer des systèmes d'identification plus sécurisés, beaucoup se plaignent. Un mot de passe par contre, ça oui tous comprennent. Et de préférence, simple, et qu'ils pourront dire à tout le monde (ça me tue toujours les gens qui me donnent leur mot de passe pour utiliser leur ordinateur ou leur boîte email).
Oui et les développeurs et admins essaient d'améliorer les choses (la sécurité est quand même vachement mieux de nos jours, globabelement, qu'il y a quelques années), mais la sécurité n'est pas encore parfaite (et ne le sera sans doute jamais). Alors on fait quoi? On critique les admins et développeurs en leur mettant tout sur le dos et en les traitant d'incapables car ils ont pas encore réussi à trouver le système idéal? Ou en attendant ce jour (totalement hypothétique), on prend un peu sur soi, on fait un effort et on est "responsable"?
Quand on achète une serrure moderne ultra-sophistiquée, on s'attend quand même à ce que vous preniez le temps de fermer la porte à clé en sortant (sinon la serrure sert à rien). Ou on achète une porte qui ferme en claquant, ce qui simplifie beaucoup, mais le jour où vous avez oublié la clé à l'intérieur, vous maudissez le fabricant d'avoir fait ce système. Et si vous avez une serrure biométrique, j'ose espérer que vous n'avez pas d'objet suffisamment de valeur pour donner envie à un voleur de vous arracher votre œil ou de vous couper le doigt (et même sans ça, les empreintes biométriques restent falsifiables). Y a pas de système parfait si on veut sécurité et confort d'utilisation.
Conclusion: personne ne culpabilise ou ne rend responsable les utilisateurs des méfaits perpétrés par des malfrats. Mais on veut rappeler qu'ils sont tous des êtres responsables (tout court) et qu'ils doivent agir en tant que tel. Et donc on les sensibilise aux pratiques de sécurité basiques, notamment en écrivant cet article sur linuxfr.org. C'est donc exactement ce que tu demandes!
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]