Malgr\u00e9 l’apparition de nouvelles m\u00e9thodes d’authentification, le mot de passe reste le moyen le plus r\u00e9pandu pour prot\u00e9ger un compte. Il constitue souvent la seule barri\u00e8re entre un attaquant et vos donn\u00e9es. Pourtant, la fa\u00e7on dont on choisit et g\u00e8re ses mots de passe est encore largement fa\u00e7onn\u00e9e par des conseils anciens, parfois contre-productifs. Comprendre ce qui rend r\u00e9ellement un mot de passe r\u00e9sistant permet de se prot\u00e9ger bien plus efficacement, sans s’imposer de contraintes inutiles.<\/p>\n
Pendant des ann\u00e9es, on a recommand\u00e9 d’ajouter des majuscules, des chiffres et des caract\u00e8res sp\u00e9ciaux pour renforcer un mot de passe. Cette approche part d’une bonne intention, mais elle n\u00e9glige un facteur bien plus d\u00e9terminant : la longueur. La raison tient \u00e0 la mani\u00e8re dont les attaquants proc\u00e8dent.<\/p>\n
Lorsqu’un attaquant tente de deviner un mot de passe par force brute, il essaie un grand nombre de combinaisons. Chaque caract\u00e8re suppl\u00e9mentaire multiplie le nombre de possibilit\u00e9s \u00e0 explorer, et cette croissance est exponentielle. Un mot de passe long, m\u00eame compos\u00e9 uniquement de mots simples, offre un nombre de combinaisons astronomique, hors de port\u00e9e d’une attaque par force brute. \u00c0 l’inverse, un mot de passe court bourr\u00e9 de symboles reste vuln\u00e9rable, car le faible nombre de caract\u00e8res limite l’espace \u00e0 parcourir.<\/p>\n
Le probl\u00e8me des r\u00e8gles de complexit\u00e9 est qu’elles poussent \u00e0 cr\u00e9er des mots de passe difficiles \u00e0 m\u00e9moriser pour un humain, mais pas particuli\u00e8rement difficiles \u00e0 deviner pour une machine. Une astuce courante comme remplacer un “a” par “@” ou un “e” par “3” est parfaitement connue des outils d’attaque, qui l’int\u00e8grent dans leurs essais. Le gain r\u00e9el est donc faible.<\/p>\n
Une approche plus solide consiste \u00e0 utiliser une phrase de passe : une suite de plusieurs mots, formant un ensemble long et facile \u00e0 retenir, mais impr\u00e9visible. Quatre ou cinq mots choisis sans logique apparente cr\u00e9ent un mot de passe \u00e0 la fois m\u00e9morisable et extr\u00eamement r\u00e9sistant. Il faut toutefois \u00e9viter les citations c\u00e9l\u00e8bres ou les expressions toutes faites, que les attaquants int\u00e8grent dans leurs dictionnaires.<\/p>\n
Le choix d’un mot de passe robuste perd tout son int\u00e9r\u00eat s’il est utilis\u00e9 sur plusieurs sites. La raison est directement li\u00e9e aux fuites de donn\u00e9es. Lorsqu’un service est compromis, les couples e-mail et mot de passe qui en sortent sont essay\u00e9s automatiquement sur de nombreux autres services. Cette technique, appel\u00e9e bourrage d’identifiants, ne fonctionne que parce que tant de personnes r\u00e9utilisent le m\u00eame mot de passe partout.<\/p>\n
Un seul mot de passe unique par compte suffit \u00e0 neutraliser enti\u00e8rement cette menace. M\u00eame si un service est touch\u00e9, l’exposition se limite \u00e0 ce service pr\u00e9cis. C’est sans doute la r\u00e8gle la plus importante en mati\u00e8re de mots de passe, plus encore que le choix d’une combinaison complexe.<\/p>\n
Un service s\u00e9rieux ne conserve jamais votre mot de passe tel quel. S’il le faisait, une fuite de sa base de donn\u00e9es livrerait directement tous les mots de passe en clair. \u00c0 la place, il applique une fonction de hachage, qui transforme le mot de passe en une empreinte de longueur fixe, impossible \u00e0 inverser. Lorsque vous vous connectez, le service hache le mot de passe que vous saisissez et compare l’empreinte obtenue \u00e0 celle qu’il a stock\u00e9e. Si elles co\u00efncident, l’acc\u00e8s est accord\u00e9, sans que le mot de passe d’origine n’ait jamais \u00e9t\u00e9 conserv\u00e9.<\/p>\n
Le hachage seul ne suffit cependant pas. Deux personnes qui choisissent le m\u00eame mot de passe obtiendraient la m\u00eame empreinte, ce qui permettrait \u00e0 un attaquant d’identifier les mots de passe communs et d’utiliser des tables pr\u00e9calcul\u00e9es pour les retrouver. Pour \u00e9viter cela, on ajoute un sel : une valeur al\u00e9atoire unique, propre \u00e0 chaque utilisateur, m\u00e9lang\u00e9e au mot de passe avant le hachage. Gr\u00e2ce au sel, deux mots de passe identiques produisent des empreintes diff\u00e9rentes, et les tables pr\u00e9calcul\u00e9es deviennent inutilisables.<\/p>\n