Les mots de passe sont un nid à problèmes. Le premier est humain : la sécurité, c’est chiant. C’est la vieille thématique du curseur : plus on veut sécuriser, moins l’utilisation devient simple. Pensez donc : un mot de passe fort, sans information évidente, sans mot du dictionnaire, et unique pour chaque application, chaque service ! Oui, c’est pénible.

D’abord, c’est quoi un mot de passe fort ? Idéalement, il devrait être d’au moins 12 caractères. À l’ANSSI, on préconise encore 8 caractères, mais les bonnes pratiques évoluent rapidement. La preuve, même LastPass s’y met (nous y reviendrons). Surtout, le mot de passe doit être composé des quatre grands groupes de caractères : majuscules, minuscules, chiffres et spéciaux. « toto1980 » est par exemple un très mauvais mot de passe. « 6 $2GaQDuk@ss » en est un très bon, tout comme une phrase de plusieurs mots du genre « death anne haut imization » (plus la phrase est longue, plus elle est forte).

Vous pouvez tester votre mot de passe par ici… enfin une variante reprenant le même principe, n’entrez jamais votre mot de passe sur ce genre de site ! « death anne haut imization » est ainsi plus fort que « 6 $2GaQDuk@ss »

Vous avez peut-être entendu dire qu’il ne fallait pas réutiliser ses mots ou phrases de passe. Pourquoi ? Parce que si un pirate peut deviner cette information ou la récupérer lors d’une fuite de données, il va s’empresser de la tester sur d’autres services (l’identifiant est souvent le même : votre adresse email). Avec à la clé une cascade de vols d’informations et l’inaccessibilité à vos informations, parfois personnelles, voire hautement sensibles. Créer des variations comme « toto1981 » et « toto1982 » ne sert à rien. Croyez-nous : si vous y avez pensé, les pirates y penseront aussi.

Un bon gestionnaire de mots de passe

C’est là qu’entrent en piste les gestionnaires de mots de passe. Il s’agit d’applications ou de services ayant pour objectif de stocker tous vos mots de passe. Ils peuvent ainsi les régurgiter dès que vous en avez besoin. Plus besoin de les retenir, sauf un : le mot de passe maitre de l’application, qu’il faudra choisir avec soin.

Mais leur intérêt principal est qu’ils peuvent créer pour vous des mots de passe forts, en tenant compte des bonnes pratiques citées plus haut. Ils peuvent générer des chaines aléatoires contenant un nombre défini de caractères, comprenant les quatre grands groupes. Le constat est le même pour les phrases de passe.

Quand on se penche sur un gestionnaire pour la première fois, tout est relativement simple. Depuis un navigateur, il va analyser les mots de passe saisis et que le butineur retient. Il en propose une liste résumée, que l’on peut modifier quand on le souhaite pour étoffer les informations. Tous proposent de classer les identifiants par catégorie.

Beaucoup proposent également plusieurs fonctions d’analyse. L’offre varie d’un gestionnaire à un autre. La plus courante est l’examen des mots de passe pour pointer ceux qui sont indignes de vous. Souvent, ils sont accompagnés d’une pastille rouge ou d’un panneau danger. Le gestionnaire vous invite alors à le changer. Certains sont même capables d’automatiser cette étape : connexion au site, génération d’un mot de passe fort, remplacement de l’ancien, sauvegarde. Le plus souvent, cette étape sera cependant manuelle.

En y consacrant un peu de temps (selon le nombre de services et applications que vous utilisez), on peut parvenir assez rapidement à la situation idéale : un mot de passe fort et aléatoire, unique pour chaque service.

Mais attention : si un gestionnaire de mots de passe est un grand pas en avant en matière de sécurité, le travail n’est pas terminé. Nous allons faire en sorte de vous rendre la situation un peu plus pénible avec la double authentification !

Ça suffit toutes ces notifications !

Un gestionnaire de mots de passe permet d’avoir des identifiants uniques et d’éviter les cascades de compromission. Cependant, si une entreprise est victime d’une fuite de données et qu’un mot de passe vient à être révélé, la compromission d’un seul compte peut être une énorme source d’ennuis.

C’est là qu’intervient la double authentification ou authentification à deux facteurs. Le principe n’est pas compliqué : en plus de la classique authentification avec votre mot de passe, le service va chercher une confirmation supplémentaire qu’il s’agit de vous, au moyen d’un autre appareil.

La solution la plus évidente est le smartphone. Il y a deux grands cas de figure. Dans le premier, de nombreux services permettent d’activer un deuxième facteur d’authentification via l’utilisation d’une application de type Authenticator (ces applications sont nombreuses, que ce soit sur Android ou iOS). Le plus souvent, le service va afficher un code QR que l’on scannera avec l’application. Ce dernier intègre alors le service dans sa hotte et se met à générer un code à six chiffres, renouvelé toutes les 30 secondes. C’est ce code qu’il faudra entrer lors de la connexion depuis un nouvel appareil ou un navigateur jamais utilisé jusque-là.

Dans de rares cas, ce code à six chiffres est envoyé par SMS ou par email. C’est « mieux que rien », mais il ne s’agit pas vraiment d’une méthode considérée comme sûre. Si vous en avez la possibilité, privilégiez toujours le passage par un Authenticator, car vous aurez la maîtrise de l’information, qui n’apparait que sur votre téléphone.

Dans le second cas de figure, plus rare, le service ne vous laisse pas le choix et vous impose l’utilisation conjointe de sa propre application mobile pour confirmer. C’est ce qui se passe avec la plupart des banques : tout nouvel accès doit être validé par une notification sur le smartphone.

On comprend bien sûr le gros avantage en matière de sécurité : si votre identifiant et votre mot de passe sont connus d’un pirate, celui-ci ne pourra pas se connecter à votre compte. À moins d’avoir aussi votre téléphone sous la main. Et même dans ce cas, il faudrait passer la barrière de la biométrie, désormais très courante.

Alors oui, c’est pénible toutes ces étapes supplémentaires. Mais ce sont vos données, personne d’autre que vous n’a théoriquement à les voir. Certaines sont très personnelles, voire très sensibles. Elles ne doivent pas se balader n’importe où. Et nous irons même un tantinet plus loin : l'authentification à deux facteurs devrait être une fonction classique, mise en avant, voire obligatoire dans de nombreux cas, et non une option (encore moins payante) planquée dans un recoin sombre des réglages.

Voilà, je suis proté… ah ben non

La conjonction d’un gestionnaire de mots de passe et de la double authentification représente une très bonne protection. Si vous n’avez pas encore fait la grande bascule vers ces deux éléments, nous ne saurions que trop vous les conseiller. Et au passage de faire un peu de prosélytisme. C’est pour la bonne cause, vous avez le droit.

Soyons honnêtes toutefois : ces protections ne représentent pas l’alpha et l’oméga de la sécurité. D’ailleurs, il n’existe rien de tel en matière de sécurité. Simplement un lot de bonnes pratiques qu’il vaut mieux cumuler pour réduire les risques autant que possible.

Si nous précisons ce point, c’est parce que le niveau maximal de sécurité que l’on peut atteindre dépend essentiellement du maillon le plus faible de la chaine. Et si vous, en tant que personne formidablement informée, êtes le maillon fort, ce n’est pas forcément le cas des éditeurs, auteurs des applications et services que vous utilisez pour vous protéger.

Le cas le plus emblématique dans ce domaine est celui de LastPass. La société, très connue pour son gestionnaire de mots de passe, a été piratée en 2022. Dans les mois qui ont suivi, les informations révélées sur la sécurité interne de l’entreprise n’ont pas plaidé en sa faveur. Citons également certains gestionnaires de mots de passe sur Android qui n'étaient pas aussi sécurisés qu'ils l'auraient dû, comme nous le rapportions le mois dernier.

Nous en venons ainsi à un point capital : au moment de choisir un prestataire de service, quel qu’il soit, renseignez-vous sur son sérieux et ses pratiques.

Pffff ça n’arrive qu’aux autres

Pourquoi s’embêter avec tout ça ? Après tout, vous n’avez jamais eu de problème. Déjà, parce que vous ne seriez pas forcément au courant si vous en aviez. De nombreuses attaques se font silencieusement, pour capter un maximum d’informations.

Ensuite, parce que non, ça n’arrive pas qu’aux autres. Le cas de LastPass l’a prouvé en affectant des millions de personnes dans le monde. Et toute cette sécurité ne tient souvent qu’à un fil, comme l’a rappelé la semaine dernière le cas d’Orange Espagne : un énorme problème d’accès Internet pour les usagers à cause d’un accès inapproprié. La raison ? Un mot de passe trop faible et l’absence de double authentification. Même chose pour la SEC américaine il y a quelques jours : un mot de passe trop faible pour son compte Twitter (nouvellement X), et ce sont plusieurs fausses informations sur le bitcoin qui ont été publiées. La preuve que ça n’arrive pas qu’aux autres et que les conséquences peuvent être très fâcheuses !

Le cas de 23andme est encore plus intéressant. Les informations ADN de 6,9 millions de personnes et des données personnelles de 14 millions de personnes ont été récupérées par des pirates. Comment ont-ils fait ? Ils ont réutilisé sur le site de l’ensemble des paires identifiant et mot de passe récoltées ailleurs. Les usagers n’auraient certes pas dû réutiliser leurs identifiants sur plusieurs sites. 23andme a d’ailleurs blâmé les victimes de la fuite pour ce manque de discernement. Cependant, la société n’imposait pas d’authentification à deux facteurs. Un tort maintenant réparé.

La présence de cette fonction peut d’ailleurs constituer un point de contrôle avant de confier des informations aussi personnelles à une entité.