Le mot de passe, le pilier de notre vie moderne

Bien choisir et bien utiliser son mot de passe est un problème plus important qu’il n’y parait. C’est un sujet qui a beaucoup été traité mais où l’on a rarement proposé des solutions simples. Si vous souhaitez seulement savoir choisir un bon mot de passe, je vous propose de vous rendre directement à la section « Construire son mot de passe » car les chapitres avant parlent de la théorie.

Avec nos nouveaux usages de l’informatique, au quotidien, de manière continu par des personnes aux niveaux techniques inégaux et sur tellement de sites, se faire dérober ou découvrir un mot de passe peut avoir des répercussions catastrophiques.

Ceci est particulièrement vrai dans le cadre d’un vol d’identité par exemple. Le simple mot de passe qui protégeait votre compte sur un forum était aussi celui de votre compte Linkedin et celui de votre compte PayPal… Ce simple forum mal sécurisé, comme il y a en légion, vous a coûté beaucoup plus que prévu.

De plus, le réel problème, au delà du mot de passe en lui même, est son usage, sa durée de vie, son stockage, sa complexité. Enfin, il est beaucoup plus sûr d’utiliser plusieurs mots de passe plutôt qu’un, afin de séparer les risques, tout en restant raisonnable.

Voici un article présentant les bonnes pratiques, simples et efficaces, un guide orienté vers l’utilisabilité plutôt que vers la parfaite sécurité car beaucoup trop de compromissions sont encore réalisées par l’entremise de mots de passes trop faibles, ou mal utilisés (au mauvais endroits). Il ne révolutionne pas le genre et paraîtra superflu aux pros mais pourrait être utile aux personnes qui ne sont pas des pentesters. Par ailleurs, il propose une nouvelle approche de mémorisation et de création des mots de passes, j’espère que celle-ci vous sera utile.

Que vos mots de passe vous servent pour Linkedin, Facebook, Twitter, votre machine personnel, celle du bureau ou encore votre banque, les mots de passe sont les nouvelles clefs de nos vies, beaucoup plus encore que celle de nos appartements, maison ou voiture. Ce guide s’adresse donc à tout le monde, du débutant au professionnel, il est simple et concret, les experts en sécurité n’y apprendront rien de nouveau, les autres, je l’espère, sécuriseront mieux leurs accès.

Des systèmes au niveau de sécurité très inégaux

Les mots de passes sont, presque toujours, interceptés sur un réseau ou « dumpés » (récupérés) depuis la base de données d’un site. Que ce soit votre mot de passe Windows qui transite sur votre réseau local ou celui de votre forum automobile favoris, le problème de fond est la disparité du niveau de sécurité.

Les dernières versions de Windows 7 ou un Linux vont utiliser un chiffrage fort pour protéger vos mots de passes, alors que la plupart des forums et CMS en ligne sur Internet utilisent des algorithmes des stockage peu recommandables en termes de sécurité. Le même mot de passe protégé correctement sur votre ordinateur domestique peut donc être très simplement mis en danger par votre forum favori.

Un même mot de passe qui protège peut être d’ailleurs plus que votre machine du salon. Auriez-vous confié vos clefs à la gendarmerie et en même temps une copie à un inconnu dans la rue ?

Théorie (simplifiée) des mots de passes

En sécurité, il n’y a pas de miracles, ou peu. Pour défendre un mot de passe, il faut :

  • En avoir un solide
  • Que le système qui le stocke ne soit pas une passoire et qu’il le chiffre correctement

Le premier point vous revient en terme de responsabilité, le second en partie aussi (ne faites pas confiance aux sites/logiciels peu sérieux) mais dans une moindre mesure.

Si vous avez une machine, un logiciel ou un site qui est compromis et qui contient votre mot de passe, le pirate va faire face à un nouveau challenge : le déchiffrer.

En effet, les systèmes qui ne travaillent pas n’importe comment ne stockent jamais un mot de passe « en clair ». Le mot de passe peut transiter en clair mais il n’est généralement pas stocké « en clair ». Les systèmes le stockent de manière chiffrée et, lorsque vous voulez vous identifier, il chiffre le mot de passe que vous saisissez et compare votre version chiffrée à celle qu’il a en stock. Plus précisément, le système va réaliser un condensat (hash) du mot de passe et stocker son résultat. Le condensat étant censé être une fonction à sens unique, il n’est théoriquement pas possible de retrouver un mot de passe à partir de son condensat sauf à tenter une recherche exhaustive.

D’abord, l’utilisateur rentre son mot de passe (ici j’ai pris l’exemple d’un site web). Le formulaire est posté puis traité, le logiciel (peut importe son type) chiffre le mot de passe rentré et le l’envoie à la base de données pour comparaison :

 

Si les deux correspondent, vous avez le droit de vous connecter. Ce grand principe de fond est utilisé par quasiment tout le monde de nos jours.

Si un pirate a mis la main sur un mot de passe chiffré (par écoute réseau ou en récupérant une base de données), pour déchiffrer votre mot de passe, il dispose de plusieurs approches. Ceci dit, le principe de fond reste le même : de la puissance de calcul. Or si vous avez un mot de passe « fort » (bien construit) le temps de calcul nécessaire pour le trouver va être énorme. C’est simplifié, mais pour rester dans un niveau technique raisonnable, disons qu’il va essayer toutes les possibilités jusqu’à trouver la bonne. 

Il va prendre « a », le chiffrer, le comparer à votre mot de passe chiffré. Si les deux versions chiffrées correspondent, c’est que votre mot de passe est « a », sinon, il va chiffrer « aa » et le comparer, puis « aaa », etc. En fait l’organisation n’est pas réellement celle-ci mais le principe de fond est celui-ci :

Je chiffre toutes les versions en claire les unes à la suite des autres et je les compare à la version chiffrée que je possède du mot de passe à craquer. C’est l’attaque par « force brute » ou « brute force attack« .

Afin de raccourcir ce processus souvent long, il existe des optimisations :

Le dictionnaire de mot de passe

L’attaque par dictionnaire consiste à chiffrer les mots d’un dictionnaire prédéfinit les uns à la suite des autres et de comparer la version au mot de passe chiffré que l’on a.

Si votre mot de passe est quelque chose de simple comme un prénom, une date de naissance, un numéro de carte bleu, un mot du dictionnaire courant ou des noms propres, votre mot de passe va être trouvé en quelques secondes. En effet chiffrer quelques dizaines de millier de mot de passe d’un dictionnaire est *nettement* plus rapide que d’essayer toutes les combinaisons aléatoires possibles.

Un dictionnaire efficace n’est ni trop petit (un millier d’entrées ou moins), ni trop gros et il contient les mots du langage courant, organisé par « tendance », il est  optimisé. Par exemple les prénoms d’enfants les plus données ces dernières années vont être au début du dictionnaire car il est fort probable qu’un mot de passe soit composé avec ces mots en premier plutôt qu’avec le nom d’une molécule chimique quelconque.

Avec un bon dictionnaire et une machine récente, un mot de passe simple (présent dans le dictionnaire) se trouve en souvent quelques secondes, au maximum en quelques heures.

L’attaque « hybride »

Un mot de passe peut être composé de plusieurs parties simples, par exemple : « AlexandreLaura« . Ce mot de passe fait 14 lettres, avec des majuscules. Il reste « simple » mais ne se trouvera pas dans un dictionnaire.

L’attaque hybride propose justement d’utiliser ces mots du dictionnaire et de les accoler, les substituer, les renverser, ajouter des chiffres ou des éléments simples (, . ? / # …). C’est à ce moment qu’un dictionnaire ne doit pas être trop gros car « hybrider » plusieurs centaines de milliers de lignes augmente considérablement le temps de traitement. Donc, à plus forte raison, avec plusieurs millions de lignes, cela devient pire.

Une attaque par hybridation peut multiplier le temps d’une attaque par dictionnaire « de base » par un facteur 5 à, disons 50, selon le nombre de variations que l’on demande (substitutions, retournements, ajouts, etc.)

Les « Casseurs » de mots de passe

Si l’on a du temps de calcul ou que l’on veut être exhaustif, il existe toujours la bonne vieille méthode de l’attaque par « force brute« . On prend un « alphabet » de base et on teste toutes ses possibilités. Bien sûr, plus l’alphabet est complet / complexe, plus l’attaque prendra du temps.

Voici quelques exemples d’alphabet :

  1. abcdefghiklmnopqrstuvwxyz est un alphabet minimaliste et très simple
  2. abcdefghiklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890 est un alphabet un peu plus étendu (la fameuse majuscule)
  3. abcdefghiklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890&@,;:?/%*#.!- est un autre classique, plus élargit encore
  4. Si l’on ajoute au précédent èéùçôà`|\()[]° »‘~§µ£¤ on devient quasi exhaustif (vous pouvez aussi intégrer des caractères locaux à votre pays)

Appelons ces alphabets 1, 2, 3 et 4 (le 4 étant le plus complet). 

  • Si votre mot de passe fait 7 caractères ou moins, il est cassable dans un temps raisonnable  (quelques jours) dans tous les alphabets.
  • Si votre mot de passe fait 8 caractères ou moins, il est cassable dans un temps raisonnable dans les alphabets 1,2 et 3. 
  • Si votre mot de passe fait 9 caractères ou moins, il est cassable dans un temps raisonnable dans les alphabets 1,2. 
  • Si votre mot de passe fait plus de 12 caractères, hors attaque hybride, il est correctement sécurisé contre ce type d’attaque avec un alphabet de type 2.
  • Si votre mot de passe fait plus de 15 caractères  hors attaque hybride, il est correctement sécurisé contre ce type d’attaque avec un alphabet de type 1. 
L’idée c’est que la complexité (le nombre de possibilité) est une puissance de l’alphabet. Dans les cas cités, pour un mot de passe de 8 caractères, nous avons :
  1. 26^8 (26 puissance 8) = 208 827 064 576 de possibilités (soit 2 * 10^11)
  2. 62^8 = 2.18 *10^14 possibilités
  3. 75^8 = 1,00 * 10^15 possibilités
  4. 95^8 = 6.63 * 10^15 possibilités

Soit entre l’alphabet 1 et l’alphabet 4, pas loin de 32 000 fois plus de possibilités… On voit d’ailleurs qu’entre l’alphabet 3 et l’alphabet 4, il n’y a pas un gain fondamental (même si l’intérêt demeure car les pirates excluent très souvent les caractères les moins utilisés). 

Si un PC moderne peut (dans certaines conditions) traiter plusieurs centaines de milliers de mot de passe par seconde et casser un mot de passe simple en quelques heures, multiplier son temps de travail par 32000 entre un alphabet 1 et un alphabet 4, c’est tout sauf anodin.

La conclusion qui s’impose naturellement, c’est qu’ajouter des éléments comme &@,;:?/%*#.!-èéùôà`|\()[]° »‘~§µ£¤ dans un mot de passe renforce considérablement sa « résistance ». Les logiciels de cassage de mot de passe comme « John the ripper » ou « L0ftcrack » auront un mal fou à le retrouver dans un temps raisonnable. Cependant, il est à noter que le temps de calcul a été considérablement amélioré, notamment par les processeurs vectoriels de type « Cell » de la Playstation 3 ou les GPU des cartes graphiques qui sont, par nature, extrêmement adaptés à ce type de calculs. 

Rainbow tables

En raison du temps extrêmement long que prend une attaque par force brute, une méthode alternative a été développé par un chercheur du nom de Philippe Oechslin dans un article appelé « Making a Faster Cryptanalytic Time-Memory Trade-Off« . Cette méthode, pour faire simple, consiste à calculer toutes les possibilités de chiffrement de toutes les combinaisons d’un alphabet et de les stocker sous la forme d’une base de données. Ensuite, trouver un mot de passe devient simple, il suffit de donner la version chiffrée et de chercher dans la base sa version en claire.

Evidemment, comme exposé en début d’article, les miracles sont rares en sécurité et cette méthode demande : 

  • du temps
  • de l’espace disque, (*beaucoup*) beaucoup d’espace en fait
Pour calculer tous les mots de passe possible avec un alphabet de type 2, avec 8 caractères maximum, il vous faut déjà compter en dizaines de jours de calculs et plusieurs centaines de Go d’espace sur un disque dur. A partir de l’alphabet 3, on compte en To. Mais l’avantage pour le pirate, c’est la découverte quasi instantanée du mot de passe s’il est dans la base, peut importe sa forme.
 
Un mot de passe complexe comme : « Yi@00#42 » sera découvert quasi instantanément si le pirate a généré la « rainbow tables » de l’alphabet 3 avec toutes les possibilités des mots de passe en 8 caractères. Sauf que le pirate en question a plusieurs Terabyte de stockage et à passé des mois à générer ses bases de données.

L’interception

Il reste une méthode efficace pour acquérir un mot de passe, le « capter », l’intercepter. Cela peut se faire de différente manière, mais l’une d’entre elle consiste à brancher un petit dongle USB entre le clavier et la machine afin de récupérer tout ce que le clavier à tapé. Simple, imparable, il faut donc rester attentif.

 

 

Construire ses mots de passes

Maintenant que les rouages derrière le cassage de mot de passe sont plus clairs, il devient plus simple de construire un mot de passe correct, robuste et peu attaquable.

Voici une recette générique :

  • Prendre toujours au moins 9 caractères (plus quand cela est possible)
  • Inclure au moins deux caractère spéciaux
  • Inclure au moins une majuscule
Avec cette recette simple, vous devriez pouvoir :
  1. Contenter tous les systèmes vous demandant un mot de passe complexes
  2. Vous mettre à l’abris de toutes les attaques (qui sont en général calculées sur 8 caractères)

Méthodes de construction des mots de passes

Il existe plusieurs approches pour construire un « bon » mot de passe, solide et difficile à casser.
Nous allons en passer quelques unes en revue. 

La passphrase

Finalement, une phrase comme « un kilomètre à pied ça n’use pas tant que ça« , c’est incassable. Tout simplement incassable tout en étant quasi impossible à oublier.

« Ma femme a toujours une robe d’été » est aussi un mot de passe simplissime à retenir et horriblement complexe à casser.

Le mot de passe composé

Un mot de passe comme « _Jule # Julie_ » est également très simple et atrocement complexe à casser. Prenez tout simplement deux mots, mettez un caractère spécial ou deux et vous voila équipé d’un bon mot de passe.

La substitution

Il suffit simplement de remplacer un caractère par un autre. Par exemple « a » par « @ » ou « E » par « 3″.

Attention cependant, cette méthode commence à être très connue et intégrée dans certaines attaques hybrides ou dans certains dictionnaires.
Inclure de la substitution est une bonne idée, ne se reposer que sur elle en est une mauvaise. 

Le mot de passe « dessiné » ou ASCII Art

« /||_P|-|/| » se lit ALPHA.

  • /| = A 
  • |_ = L
  • |-| = H
  • etc.
C’est simple, vous ne l’oublierez pas et « alpha », écrit de cette manière, fait 10 caractères, dont 9 spéciaux et est quasi incassable. (évidemment, ne prenez jamais les exemples donné dans cet article comme mot de passe car ils seront intégré dans les dictionnaires des pirates).

Le mot de passe aléatoire, mais « mémorisable » 

De très bons mots de passe, par principe, sont aussi ceux qui sont aléatoires. 
Mais comment retenir un mot de passe aléatoire ? Avec un consonance, une musique, un rythme. 
Par exemple je me souviens de mon premier mot de passe à Epita (l’Ecole où j’ai fais mes études), qui date de 1994 et que je n’ai pas retapé depuis 16 ans !
 
C’était « JacNbyNMY« . Je le prononçais « Jac N bi NMY » comme « Jack N’be NMY » Il avait une « musique », il est impossible à oublier pour moi.
 
Des générateurs de mots de passe « agréables » existent comme APG sous Unix, voici ce qu’il peut sortir : 

$ apg -a 0 -t
ceekKaff (ceek-Kaff)
hejDythiel (hej-Dy-thiel)
rimlurwad3 (rim-lur-wad-THREE)
NobBivin1 (Nob-Biv-in-ONE)
CawvOrv0 (Cawv-Orv-ZERO)
WuDruvkaf (Wu-Druv-kaf)

En ajoutant un caractère spécial, c’est bon !

Séparer ses mots de passes

Séparer les usages permet de ne pas utiliser le même mot de passe partout et d’avoir une règle simple pour se souvenir quel mot de passe peut correspondre à quel site.

Il vous faut : 

  1. Qualité 1 : Un mot de passe « peu important »
    Pour les forums, les blogs les sites informels, les newsletters, etc. Sur un site qui n’est pas forcément un « grand site connu », un logiciel peu exploré en terme de sécurité, les endroits qui ne sont pas critiques et dont on en connait pas le niveau de fiabilité. Votre clef Wifi aussi devrait être dans la qualité 3, quitte a répété 3 fois un mot de passe de qualité 1 trop court pour atteindre le minimum requis. (qualité 1 car si votre passe de qualité 1 est compromis par l’entremise de votre borne Wifi, ce n’est pas trop grave)
     
  2. Qualité 2 : Un mot de passe pour les choses « moyennement importante »
    Pour les commandes en lignes vos comptes twitter, facebook, etc. Attention, ces mots de passe ne sont pas pour autant « anodin ». Ils peuvent déjà permettre de publier en votre nom ou contribuer à leurrer vos amis, ou encore mener à un vol d’identité.
     
  3. Qualité 3 : Un mot de passe pour les accès « important »
    Pour vos accès à votre ordinateur, vos comptes clefs, vos accès professionnels, les sites transactionnels (comme Amazon, Ebay, etc.) Attention, ces mots de passes permettent le transactionnel, de faire, d’une manière ou d’une autre, usage de votre argent & identité ou de votre compte professionnel au bureau, de votre machine personnelle ou professionnelle. 
     
  4. Qualité 4 : Un mot de passe pour les accès « vitaux »
    Celui qui ouvre tout, une passphrase, le mot clef de tous vos secrets, votre vie. Jamais ailleurs que sur votre machine personnelle après avoir vérifié qu’elle n’a pas de système d’écoute sur le port clavier. Cette machine à un antivirus à jour et n’est pas exposée sur un réseau publique, vous lui faite confiance. Evidemment, jamais sur Internet, personne d’autre que vous ne le connait. En général, ce mot est une passphrase (une phrase qui sert de mot de passe) et pas un simple mot de passe et vous ne l’utiliser que sur un logiciel connu, sécurisé et reconnu sans risque (comme GnuPG). 

Pourquoi avoir plusieurs mots de passe ?

Déjà parce que quand vous vous inscrivez sur un site web, un forum par exemple, rien ne vous dit que l’administrateur ne va pas lire et réutiliser votre mot de passe. Rien ne vous dit non plus que ce n’est pas un logiciel troué qui le fait tourner. Il est donc pertinent de mettre un mot de passe que vous pouvez vous permettre de voir « dévoilé », qui ne donne accès qu’à des choses très basiques et sans portée.
 
Par cette méthode, si un mot de passe est compromis, vous savez où changer des accès, ce qui est potentiellement en jeu et comment agir vite, tout en n’ayant pas à passer sur 100 sites différents.
 
Nous vous conseillons donc d’avoir 4 mots de passe. Si vous en avez plus, vous aurez probablement du mal à les retenir, à moins d’être administrateur système. Quatre mots de passe, ce n’est ni trop peu (ce qui vous mettrait en danger), ni trop (ce qui vous ferait les oublier et deviendrait ingérable au quotidien). D’une manière général, il est intéressant d’avoir un mot de passe différent au travail de son mot de passe personnel. Si ces deux mots de passes jouent dans la catégorie « qualité 3″, vous pouvez les séparer en ajoutant une petite différence entre celui pro et celui personnel, un chiffre, une lettre, un P par exemple pour « Pro ».
 
Une fois les catégories bien en place dans votre tête, soyez systématiques. Vous ne perdrez jamais vos mots de passes, vous serez mieux protégé et cela ne sera pas compliqué dans le temps. Vous pouvez même avoir un même mot de passe, refait dans les 4 catégories :
  • Qualité 1 : Pierre_Loup
  • Qualité 2 : Pierre_&_Loup
  • Qualité 3 « version Perso » : P|erre_&_le_Loup
  • Qualité 3 « version Bureau » : P|erre_&_le_LoupP
  • Qualité 4 : un kilomètre à pied ça n’use pas tant que ça
En fait, votre cerveau ne va devoir retenir que 2 mots de passe et 4 variantes, ce qui est beaucoup plus facile à faire.
 
Vous êtes sur un forum ? C’est Pierre et le loup, version Pierre_Loup. Vous êtes sur Facebook ou twitter ou un réseau social ? Pierre_&_Loup
Vous êtes sur un système important, votre accès Amazon, votre machine personnelle, etc ? P|erre_&_le_Loup etc.
 
Dans le doute, si ce n’est pas l’un qui passe, ce sera l’autre, mais si vous vous astreignez juste à une petite discipline, vous aurez toujours le bon mot de passe au bon moment, au bon endroit.

Les thèmes 

Personnellement j’utilise une thématique et je dérive un mot de passe par qualité.
 
Si on prend le thème « voiture » par exemple, je vais prendre un véhicule que je n’aime pas trop pour la qualité 1, que j’aime bien pour la qualité 2, une voiture que j’adore pour la qualité 3, etc.
 
Ca pourrait donner :
  • Q1 : Fiat_multipla
  • Q2 : Abarth_5oo&
  • Q3 : P@rsch3_GT3&&
  • Q3 pro : P@rsch3_GT3&&P
  • Q4 : $$ J’aime la mélodie du V6 ££
Le jour où je dois changer un ou des mots de passe, je change de thème et c’est très simple. Si je dois retrouver un ancien mot de passe sur un forum, par exemple, je repasse sur mes mots de passe de qualité 1 avec les thèmes 1, 2, 3 et je finis par le retrouver.
 
Personnellement, j’ai eu les leaders politiques, les missions spatiales, les instruments de musiques, etc.
Si je cherche un mot de passe mis sur un site en 2005, de qualité 1, je sais que c’est les missions spatiales ou les leaders politiques. En qualité 1, en deux tentatives maximum, je le retrouve.

Un mot de passe pour les systèmes limités

Parfois, un système va (stupidement) vous limiter à certains caractères et à une certaines taille, tout en vous demandant des majuscules et des minuscules ainsi que des caractères spéciaux, typiquement les systèmes 3dsecure de paiement en ligne de votre banque. C’est, en général, un mot de passe de qualité 2 ou 3, que vous n’avez pas envie de perdre, mais vous n’avez pas forcément non plus envie d’en faire un autre.

Dans ce cas, mettez un mot de passe de niveau 2, mais correctement sécurisé ou faite une exception avec un dérivé d’un mot de passe plus fort.

Par exemple, admettons que votre mot de passe soit : « Jules&!César« , un très bon mot de passe.
Maintenant, admettons qu’un système idiot vous limite à 8 caractères et que des Alpha numérique. Pour éviter d’avoir à en retenir un de plus, vous pouvez faire une variante de celui-ci, comme JulesC3S.

Renouvellement de mots de passe

Parfois, on vous demande de renouveler un mot de passe automatiquement tous les « n » mois. Par exemple dans le cadre de votre travail, votre machine est reliée à un contrôleur de domaine Windows qui force ce principe.

Dans ce cas, ne diminuez pas la « force » de vos mots de passe par lassitude. Ajouter simplement une variante avant ou après une racine commune.

Si votre mot de passe est : L|_|ke Skywalk3r faites un L|_|ke Skywalk3r#1 puis un 2#L|_|ke Skywalk3r puis un L|_|ke Skywalk3r#3 etc. En alternant le numéro avant et après, cela devient facile.

Renouvelez votre mot de passe quand vous pensez que celui-ci a pu être compromis. Récemment Linkedin s’est fait voler une partie de sa base de mot de passe. Certes ils étaient chiffrés et je souhaite bien du courage à celui qui voudra déchiffrer le miens mais, par principe, j’ai changé mon passe de qualité 2.

Dans le doute : changez.

Les gestionnaires de mots de passes

Attention. Très peu sont fiables comme de récentes études l’ont montré et quasiment aucun ne l’est sur les smartphone Iphone & Android. 
Andrey Belenko et Dmitry Sklyarov ont notamment démontré cela dans un papier (voir ici) présenté lors de Hackito-Ergo-Sum 2012.

En confiant tout vos mots de passes à un même logiciel, vous faites confiance à un tiers dont vous ne maîtrisez pas le niveau de sécurité. Ce n’est pas recommandé, sous aucune forme. Les méthodes proposées pour stocker vos mots de passes ci-dessus sont faites pour que vous puissiez les retenir sans l’aide d’un logiciel à la fiabilité douteuse.

Toutefois, si vous voulez stocker des informations sensibles, numéro de CB, clef wifi, codes d’accès, etc. vous pouvez le faire de manière correctement sécurisé avec GPG (Gnupg). Le logiciel s’installe rapidement, est simple d’usage (même si c’est de la ligne de commande) et vous permettra de stocker un fichier texte de manière chiffré, avec des risques très très limités (en dehors de l’écoute de clavier physique (dongle) ou logiciel (sniffer)).

Les questions secrètes

Si vous concevez des systèmes et avez besoin d’implémenter des questions secrètes pour récupérer les mots de passes « oubliés », ou si en tant qu’utilisateur vous avez l’opportunité de choisir la question secrète, il est pertinent de ne pas tomber dans le classicisme extrême, qui va desservir la sécurité. En effet, trouver les informations des questions secrêtes est un classique, le fameux « nom de jeune fille de la mère » par exemple se trouve assez bien sur Google ou avec Facebook.

Si un attaquant à compromis également le mot de passe de votre email et arrive à lire vos mails, il va alors, avec une question secrète « faible », pouvoir changer (ou retrouver) tous les autres mots de passes de vos comptes. C’est une méthode classique pour compromettre totalement l’identité d’une personne et effectuer un vol d’identité complet.

Utiliser des protocoles sécurisés

Evidemment, si vous avez un mot de passe de combat mais que vous l’écrivez sur un post-it, c’est perdu.

Certain protocoles sur Internet sont un peu l’équivalent du post-it 2.0 car ils envoient votre beau mot de passe « solide » en clair, sans chiffrage, sur le réseau. 
Si quelqu’un intercepte cette communication, votre super mot de passe est offert en cadeau à la personne écoutant la transaction (eavesdropping).

Vérifiez donc que vous utilisez sFTP et non pas FTP, SMTPS et non pas SMTP, POP3S et non pas POP3, bien évidemment HTTPS et non pas HTTP, etc.
Ce sont les mêmes protocoles globalement mais ils sont chiffrés et ne dévoilent pas votre mot de passe lors de son transfert/utilisation. Privilégiez toujours les protocoles chiffrés et spécifiquement pour le mail en envoie et en réception, car il est fréquent que nos smartphones soient reliés à des bornes wifi publiques ou non sécurisées.

Quelques autres conseils de sécurité

  • Ne vous loggez pas sur une application sécurisé avec le même navigateur que celui avec lequel vous surfez 
En effet, un Javascript ou un flash pourrait trahir votre saisie. Si un navigateur a chargé un script malicieux, vous courrez donc le risque (entre autre) que vos frappes clavier soient espionnées.
  • Privilégiez les protocoles de cryptographie asymétriques (lorsque cela est possible)
Faire transiter un secret sans avoir à échanger la clef avant est une des grande révolution de la cryptographie moderne. Cela s’appelle le chiffrement asymétrique et il n’est nul besoin de convenir d’un mot de passe commun et de se l’échanger avant de démarrer une conversation. Cela s’applique merveilleusement à la sécurité moderne. Par exemple, ne vous loggez en SSH qu’avec des clefs, pas de mot de passe.