URL: https://linuxfr.org/users/gremous/journaux/la-solidit%C3%A9-des-mots-de-passe Title: La solidité des mots de passe Authors: gremous Date: 2011年07月20日T11:08:47+02:00 Tags: sécurité Score: 31 Je viens de lire une analyse à propos de mots de passe réels. On y trouve confirmation à grande échelle de ce que chaque utilisation de Jack The Ripper montre: la plupart des mots de passe, c'est du basique. http://www.troyhunt.com/2011/07/science-of-password-selection.html Beaucoup dissertent au sujet des mots de passe super solides. Alors que je trouve, c'est un point de vue personnel, qu'un mot de passe relativement simple suffit. A partir du moment où il n'est pas possible de faire des millions de tentatives. L'exemple courant est la carte bancaire. Il n'y a que 10.000 combinaisons, ce qui est très peu. Mais elle se verrouille à la 3ème erreur de suite. Soit une chance sur 3333 de passer au pif, ce qui est bien pour une combinaison aussi simple. Avec un mot de passe libre, l'expérience montre que très peu de combinaisons sont utilisées par la plupart des gens. Peut-être 100.000 combinaisons à tout casser. Dont 10.000 courantes. Avec un système de verrouillage au bout de 3 tentatives, cela semble bien assez la plupart du temps. En entreprise, qui va tenter de casser le code du patron pour le logiciel de comptabilité ? Sur le grand ternet, qui va tenter de trouver votre code de webmail ? Malheureusement le problème n'est pas de protéger UN compte, mais des millions. Le code de compta du patron est protégé de manière suffisante. Ok. Enfin admettons, car je ne connais pas de logiciel de compta qui limite les tentatives. Le code webmail de Monsieur Machin est également protégé de manière suffisante. Toujours en admettant que le webmail en question limite les tentatives. Pas gagné. Mais dans ces deux cas, c'est protégé uniquement contre une attaque ciblée. L'attaquant veux le code d'une personne bien définie. Lorsque l'attaquant veut simplement un code d'accès, n'importe lequel, alors il a une surface d'attaque bien plus importante. Ca ne fonctionne que pour les services de grande envergure. Si c'est le webmail du magasin de déco du coin, ça devrait aller. Si c'est celui du conseil général d'un gros département, c'est peut-être autre chose. Et si c'est eBay ou Gmail, il y a vraiment une surface bien plus grande. Mon constat personnel: "éduquer" l'utilisateur ne fonctionne qu'avec de rares personnes Tout comme les sauvegardes ne sont jamais faites, les mots de passe sont pourris, point. C'est un fait qu'il faut accepter et dont il faut tenir compte. Quelles sont les méthodes pour améliorer la situation ? Tout d'abord, il est impératif de limiter les tentatives. L'inconvénient est que ça permet de bloquer le compte. Dans un environnement d'entreprise ça passe car il n'y a presque jamais de tentatives. Mais pour un service ouverts à tous c'est une autre histoire. Je ne connais pas de solution miracle pour ce dernier point. Il y a des astuces comme par exemple envoyer un email indiquant que le compte a été "verrouillé". Pour le déverrouiller il faut entrer le mot de passe habituel, suivi du mot de passe indiqué dans l'email. Si l'attaquant peu lire l'email, c'est que les carottes sont cuites depuis longtemps. Ensuite je pense qu'envoyer automatiquement un email d'avertissement en cas de tentative est une bonne chose. Monsieur Machin, il y a eu une tentative de connexion à votre compte truc. Suivi d'un éventuel message informatif (complexité, phising, etc) qui ne sera lu que par 1% des destinataires. Je crois que c'est une très bonne solution. Ca permet d'adapter le mot de passe à la situation. Si le mec reçoit un avertissement par an, c'est que le danger est faible. S'il en a 10 par jour, bon, il va peut-être réfléchir à sa protection. Et enfin ma méthode "pédagogique" perso: une fois par mois je fais un tour dans la base de données de notre ERP. Les mots de passe sont stockés en clair. Ne riez pas, ce n'est pas du tout amusant. D'autant plus que la base de données est accessible à toute personne un peu au courant. Bon bref. Une fois par mois donc, je regarde les mots de passe faibles. Et je fais un email comme s'il venait d'un robot pour prévenir la personne que son mot de passe a été trouvé automatiquement. Je lui donne le premier et le dernier caractère du mot de passe. La plupart du temps ça les dessoule. Il faudrait peut-être faire la même chose avec John The Ripper sur les comptes Windows et Unix. Quelles sont les méthodes pour trouver les mots de passe ? - extorsion (ciblé) - lire le post-it (ciblé) - tout le monde connaît déjà le code (ciblé, très courant) - phishing (de masse) Pour ces méthodes, et dans le cadre de mots de passe pour des choses "ordinaires", il n'y a pas vraiment de parade. La sécurité vraiment basse des mots de passe n'est peut-être pas la racine du problème.

AltStyle によって変換されたページ (->オリジナル) /