Qui mieux qu’Edward Snowden pour vous fournir un mot de passe sur et inviolable ?
Vous pensez certainement que votre mot de passe est sur, du moins compliqué ou assez long pour empêcher toute tentative de crackage… Révisez votre jugement, même avec 8 caractères votre mot de passe peut être vulnérable. Entre 4 et 5 caractères, priez pour votre salut.
Lors de l’interview donnée à John Oliver, aux manettes de l’émission “Last Week Tonight” diffusée sur HBO, au cours de laquelle l’humoriste lui a démontré qu’un « programme photos de bites de la NSA » était plus concernant pour les internautes que tous les articles publiés depuis 2013 sur la NSA, l’ex-agent analyste de l’agence de sécurité nationale a délivré ses conseils pour créer un mot de passe quasiment inviolable.
« Les mauvais mots de passe sont l’une des manières les plus simples de compromettre la sécurité d’un système », explique ainsi le lanceur d’alerte. Ajoutant, « Pour une personne qui a mot de passe très commun à 8 caractères, cela prend littéralement moins d’une seconde à un ordinateur pour tenter les possibilités et obtenir le mot de passe ».
Répondant aux questions de John Oliver qui lui propose différentes formes de déclinaison de mot de passe du type « passwerd », « onetwothreefour » ou « limpbiscuit4eva », Snowden se gausse littéralement – et nous avec – de la naïveté (feinte ?) de son interviewer : « C’est une blague ? » lui demande-t-il dans un rire.
Quel type de mot de passe faut-il alors adopter ? Les « phrases de passe ». Oui. Et comme son nom l’indique, il s’agit de choisir une phrase, facile à retenir pour vous, mais suffisamment longue et méconnue (pas d’expression célèbre par exemple) pour être difficile à attaquer. Cependant, évitez « lemotdepasseyoutube », désormais passé à la postérité…
Mais choisissez plutôt « admiralalonzoghostpenis420YOLO », ou « margaretthatcheris110%SEXY » comme le propose Snowden à un John Oliver particulièrement impressionné par la trouvaille.
Par exemple, Bibi a choisi une phrase de passe, avec caractères spéciaux en sus, pour le code de sauvegarde chiffrée de son smartphone. Si bien que même Bibi ne s’en souvient plus et qu’il est désormais impossible pour elle de remettre la main sur ses données, alors des pirates vous pensez…. Encore une victoire de canard !
🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.
“Par exemple, Bibi a choisi une phrase de passe, avec caractères spéciaux en sus, pour le code de sauvegarde chiffrée de son smartphone. Si bien que même Bibi ne s’en souvient plus et qu’il est désormais impossible pour elle de remettre la main sur ses données, alors des pirates vous pensez….”
Bah refait une sauvegarde non chiffrée ? 🙂
Sinon, gros +1 pour les pass-phrase, mais tous les sites Web n’acceptent pas les mdp de plus de 12 caractères, alors que celles que j’utilise au taf par exemple font 21 caractères…
Un p’tit mot de passe en l33t c’est pas trop mal non plus :p
perso j’ai mis un mot de passe super long et aleatoir pour mon compt google …
sur pc j’ai juste a faire un copié coller depuis keepass
par contre quand j’installe une nouvelle rom sur android … je me fait plaisire quand je doit me taper tout le mot de passe a rentrer à la main …
@calvinpg Ca fait longtemps que les mots et expressions en l33t sont intégrés aux dictionnaires. Idem pour les variantes de mot dont certaines lettres sont tronquées par $ @ µ, etc. Ces mots de passe ne tiennent pas la minute. La passe-phrase est bien un très bon moyen d’apprendre un mot de passe à peu près robuste.
Inutile, parce que même en ayant un mot de passe fort (et un gestionnaire hein) sur les sites, vous ne chiffrez pas votre disque dur. Sans ça, je démonte l’ordinateur, je branche le disque dur sur mon ordinateur et j’observe les fichiers (surtout le cache du navigateur d’ailleurs).
La sécurité, c’est sur tous les points ou aucun.
Je n’arrive jamais à retenir mes mots de passe, donc à la place je retiens un procédé pour obtenir un mot de passe à partir du nom du site ; exemple: pour chaque lettre du nom, taper ensuite la lettre juste à gauche sur le clavier. Après quoi j’ajoute un grain de sel pour éviter que l’on devine trop facilement le procédé ; exemple, rajouter mes initiales au début
journaldugeek –> jhoiuyrenbaalkdsuygfezezkj –> spvjhoiuyrenbaalkdsuygfezezkj
Il suffit de retenir votre propre procédé, puis vous n’aurez plus à retenir un seul mot de passe. Bien sûr, ce n’est pas infaillible : si quelqu’un réussit à récupérer un ou deux de vos mots de passe et qu’il est assez malin, il pourra deviner tous les autres. Mais ça reste toujours mieux que d’utiliser le même mot de passe partout.
https://xkcd.com/936/
Un simple calcul permet de mesurer la force d’un mot de passe long.
Si on utilise majuscules, minuscules, chiffres et caractères spéciaux soit environ 64 caractères possibles, mais sur 4 positions, on obtient 64^4 = 17 millions possibilités.
Si on utilise que des minuscules (soit seulement 26 caractères possibles) mais sur 2 positions de plus, soit 6 au lieu de 4, on obtient 26^6 = 309 millions de combinaisons.
Je ne dis pas qu’on peut se limiter aux minuscules (et encore moins à 6 digits), mais ça permet de facilement mesurer la force qu’apporte la longueur sur la complexité.
Donc oui aux phrases de passe.
Maintenant , un système bien fait ne devrait pas accepter une attaque par force brut sans broncher (le cryptage est un autre problème).
Nos cartes de crédit n’utilisent qu’un mot de passe à 4 caractères (et que des chiffres), ça ne l’empêche pas d’être solide.
Perso j’utilise des mots de passe générés aléatoirement, comme par exemple r9ZuT4Wj, s5YhC5s etc.
“Eddy Snow” dira ce qu’il voudra, je pense que le crackage tous azimuthes du mot de passe n’a rien d’inéluctable !… En réalité, le mouchard passera par des voies beaucoup plus anciennes telle que la fouille des papiers autour du PC ( pour un poste fixe ) et faire les poches au rebelle pour le portable !… Personnellement, je me fie davantage à ma mémoire ROM ( cérébrale ) qu’à tout un tas d’exercices qui peuvent servir au hacker hostile pour remonter ma piste !… Ainsi, j’utilise un certain nombre de mots de passe quotidiennement et la mémorisation se fait sans effort !… Les blogs et sites ( susceptibles d’être …) “dangereux” ( maintenant ou plus tard …) se trouvent à l’intérieur de ces enceintes , couverts à leur tour par d’autres mots de passe ( et d’autres astuces à la clé ) !…
Dans mon taf c’est 16 caractères minimum avec obligation de changer de mot de passe tous les 2 mois et impossible de même un mot de passe qui ressemble à un de 24 mots de passe précédents . C’est chiant à force lol
J’utilise perso Dashlane qui est un excellent gestionnaire de mot de passe. Il permet d’avoir un mot de passe UNIQUE pour chaque site, complexe comme on lui configure d’être.
Exemple :
-8q5hd#_FVNt
stfXS|Hx}56:
ikUX.bx&3BY’
Et c’est le gestionnaire qui s’occupe de m’identifier sur mes sites.
Des mots de passe que l’être humain ne peut retenir. Synchronisable entre ses différents devices !
Après “La NSA, l’agence américaine de renseignement opérant exclusivement sur le territoire, espionne les américains”, Edward Snowden revient pour un nouvel épisode de sa célèbre série “J’énnonce des évidences” avec le déjà précédemment célèbre “Un mot de place long est plus complexe qu’un mot de passe compliqué”.
La canonisation de Snowden fait vraiment penser à Idiocracy.
Heureusement que ce traitre est là pour nous dire ce genre de truc connu depuis 20 ans.
Moi, j’utilise KeePass pour générer et gérer mes mots de passe: il y a des portages pour à peu près toutes les plateformes donc j’ai tout le temps mes mots de passe sous la main. J’ai juste à me souvenir d’un seul mot de passe bien tordu pour accéder à ma base de password.
Et aussi, la double authentification pour les sites qui le gère.
Le logiciel dont je ne peux me passer depuis des années, c’est 1Password (pour Mac). Mais comment je faisais avant ??? heu… 1234 ? 🙂
Il a raison !
Il faut sécuriser les mots de passe : http://10conseilspour.fr/sujets/creer-un-mot-de-passe-inviolable-31
Plus les mots de passe doivent êtres complexe, plus il est simple (dans un milieu professionnel j’entends) de les trouver.
Les utilisateurs lambda (plus de 80% de toute organisation) seront toujours attirés par la facilité genre le post-it dans le casier lui même fermé à clé…un tournevis et c’est réglé.
Y’a pire (véridique trois fois dans ma carrière d’admin), un post-it sur l’écran, là c’est sûr l’utilisateur ne va pas l’oublier. Le voisin non plus d’ailleurs grâce à la fenêtre !
Il faut quand même relativiser, le but c’est d’être pas trop facile à pirater, pas d’être inviolable, cela est impossible.