Pratiques de mots de passe sécurisés
Définition
Un mot de passe sécurisé est long, unique et stocké dans un gestionnaire. La longueur protège contre les attaques par force brute, l'unicité limite les dégâts en cas de fuite. L'authentification multifacteur (MFA) ajoute une couche qui ne dépend plus du secret seul.
La longueur avant la complexité
Une phrase de passe de 16 caractères résiste mieux qu'un mot de 8 caractères avec symboles. Chaque caractère ajouté multiplie le nombre de combinaisons à tester. "soleil-jaune-velo-2024" est plus long et plus facile à mémoriser que "P@ssw0rd!".
Les attaques par dictionnaire testent les mots courants et leurs variantes. Un mot unique du dictionnaire tombe en quelques secondes. Une phrase de plusieurs mots choisis au hasard demande des années de calcul.
Le gestionnaire de mots de passe
Un gestionnaire génère un mot de passe aléatoire par site et le chiffre dans un coffre. L'utilisateur ne retient qu'une phrase de passe principale. Bitwarden, KeePass et 1Password fonctionnent sur ce modèle.
Un employé utilise le même mot de passe sur son compte personnel et son compte professionnel. Une fuite sur un forum de jeux compromet son accès au réseau de l'entreprise. Le gestionnaire aurait créé deux mots de passe distincts.
La non-réutilisation
Réutiliser un mot de passe transforme une fuite mineure en incident majeur. Les attaquants testent les identifiants volés sur Gmail, Microsoft 365 et les sites bancaires. Cette technique s'appelle le credential stuffing.
Le MFA en complément
Le MFA ne remplace pas le mot de passe, il le complète. Un code TOTP, une notification push ou une clé FIDO2 bloque l'accès même si le mot de passe fuit. Les comptes sensibles, messagerie et administration, doivent toujours en avoir.
Les politiques de changement
Changer un mot de passe tous les 90 jours sans raison perd de son intérêt, les utilisateurs choisissent alors des variantes prévisibles. La priorité est de changer immédiatement un mot de passe compromis ou réutilisé. Les recommandations NIST privilégient la longueur et la vérification des fuites.