La passphrase longue, ça n'est pas vraiment un problème de mémorisation : du personnel rompu aux questions de sécurité en a généralement déjà l'habitude.
Là où ça pose souci, c'est sur le long terme. Quand la passphrase de tel document est connue d'un seul utilisateur et qu'il part - à plus forte raison de manière brutale et imprévisible - c'est un document inaccessible à jamais. D'où l'intérêt de :
- passphrase relativement génériques qu'on aura une chance de retrouver en cherchant un peu,
- ou de noter les passphrases ici et là, pour plus tard.
Et c'est là qu'on voit que, même dans les structures qui ont des besoins en matière de confidentialité (et qui se donnent les moyens de les satisfaire, parce qu'il y en a beaucoup qui "veulent" mais qui n'acceptent pas de mémoriser 8 caractères pris au hasard pour autant), il n'y a pas toujours de politique définie concernant les passphrases. Autant pour les mots de passe de session, on trouve assez souvent des règles raisonnables (genre ce qu'il y a par défaut sur un Active Directory, déjà), autant pour tout ce qui est "indépendant" c'est à la discrétion du chiffreur.
[^] # Re: C'est déjà un peu le cas
Posté par Larry Cow . En réponse au journal Les plans de la prison de Nancy étaient sur les 4 ordinateurs volés.. Évalué à 2.
Là où ça pose souci, c'est sur le long terme. Quand la passphrase de tel document est connue d'un seul utilisateur et qu'il part - à plus forte raison de manière brutale et imprévisible - c'est un document inaccessible à jamais. D'où l'intérêt de :
- passphrase relativement génériques qu'on aura une chance de retrouver en cherchant un peu,
- ou de noter les passphrases ici et là, pour plus tard.
Et c'est là qu'on voit que, même dans les structures qui ont des besoins en matière de confidentialité (et qui se donnent les moyens de les satisfaire, parce qu'il y en a beaucoup qui "veulent" mais qui n'acceptent pas de mémoriser 8 caractères pris au hasard pour autant), il n'y a pas toujours de politique définie concernant les passphrases. Autant pour les mots de passe de session, on trouve assez souvent des règles raisonnables (genre ce qu'il y a par défaut sur un Active Directory, déjà), autant pour tout ce qui est "indépendant" c'est à la discrétion du chiffreur.