Mots de passe et sécurité : un guide pratique pour le quotidien
Les mots de passe sont une partie importante de notre quotidien, mais trop souvent, soit on se complique trop la vie et on les oublie, soit nous utilisons le même pour tout. Cela peut entraîner des violations de données et de nombreux maux de tête. Aujourd’hui nous allons vous parler de l’importance des mots de passe et comment assurer la sécurité de vos données, des gestionnaires de mots de passe et casser quelques idées reçues. Nous vous donnerons également quelques conseils avec exemples qui vous faciliteront la vie !
Vous n’avez pas idée du nombre de clients que nous voyons dans nos centres de services agréés Apple de Évreux et Rouen parce qu’ils ont perdu leurs mots de passe. Assurons-nous ensemble que ça n’arrive plus !
Pourquoi les mots de passe sont importants
La question semble simpliste, mais il faut passer par la base. Il faut voir vos mots de passe comme les clés de votre maison, de votre voiture, de votre coffre-fort. Ce ne sont pas des codes à prendre à la légère ou à confier au premier venu, c’est votre trousseau de clés numériques. Trop de gens n’accordent pas assez d’importance aux mots de passe ou trouvent qu’il est trop compliqué de tout retenir. Nous allons voir des méthodes, des outils et des astuces pour vous aider.
Comment les pirates informatiques trouvent ou "cassent" les mots de passe
Pour mieux vous expliquer pourquoi gérer ses mots de passe de la bonne manière est important, voici les principales méthodes utilisées par les pirates informatiques (ou leurs « bots », des robots qui automatisent le processus) pour trouver ou « casser » des mots de passe :
Utilisation d’un dictionnaire : l’attaquant dispose d’une liste de mots courants, mots de passe souvent utilisés ou de mots de passe qui ont fuité lors d’une brèche de données et les essaie un par un. C’est généralement automatisé à grande échelle. Il existe des outils qui vont vous permettre de savoir si votre adresse mail, numéro de téléphone ou mot de passe sont concernés par une fuite de données comme HaveIbeenPwnd.
Attaque par force brute : l’attaquant essaie toutes les combinaisons possibles de caractères jusqu’à ce qu’il trouve la bonne combinaison. C’est pour cela que l’on conseille des mots de passe relativement long et avec des caractères variés, c’est efficace pour bloquer cette méthode.
Phishing : l’attaquant vous incite à lui donner votre mot de passe en se faisant passer pour quelqu’un d’autre, par exemple une entreprise dans laquelle vous travaillez ou à qui vous faites régulièrement appel. Cela peut également passer par un faux mail, un faux site… nous verrons cela plus en détail dans un article sur la cybersécurité. Attention, les pirates les plus dangereux sont très rusés et peuvent vous appeler en se faisant passer pour les impôts, le commisariat, votre banque, votre assureur… Normalement, on ne doit jamais vous demander un mot de passe au téléphone.
Deviner : l’attaquant utilise la connaissance qu’il a de vous pour essayer de deviner votre mot de passe. Par exemple, il peut connaître votre date de naissance ou le nom de votre animal de compagnie, le nom de vos enfants ou vos habitudes. Rappelez vous que beaucoup de ces informations sont librement accessibles sur beaucoup de réseaux sociaux.
Une astuce générale même si nous reviendrons bientôt sur la cybersécurité :
Ne donnez jamais votre mot de passe au téléphone même si on vous le demande, ne rentrez jamais votre mot de passe sur un site qui vous semble louche ou qui n’est pas sécurisé par SSL (c’est à dire que l’adresse commence par https:// et pas http://, la plupart des navigateurs ajoutent une icône de cadenas fermé ou vert quand le site est sécurisé.)
Maintenant que nous avons vu comment les mots de passe peuvent être compromis, voyons comment nous pouvons nous protéger !
Ce qu'il faut faire et ne pas faire lors de la création d'un mot de passe
Les grands principes de base à suivre pour créer un mot de passe sécurisé sont relativement simples :
- Utilisez des mots de passe longs : au moins 8 caractères, certains disent que plus ils sont longs, mieux c’est, mais restons pragmatiques : 8 ou 10 caractères suffisent généralement.
- Utilisez des mots de passe différents pour chaque compte ou service majeur (votre adresse mail, votre banque, votre compte Apple…).
- Utilisez un mélange de lettres (majuscules et minuscules), de chiffres et de symboles.
- N’utilisez pas de mots faciles à deviner comme votre nom, le nom de votre partenaire, le nom de votre enfant ou votre date de naissance.
- N’écrivez pas vos mots de passe sur un bout de papier, un post-it ou dans un carnet (surtout si vous passez à la télé…). Le premier endroit où quelqu’un va chercher un mot de passe, c’est sur vos post-it autour de l’ordinateur, sous le clavier ou dans le tiroir.
- Pensez à changer vos mots de passe après un événement majeur tel qu’une violation de données ou un vol de votre téléphone, ordinateur, etc.
Ce sont les préconisations de base que nous devrions tous respecter. Si vous faites déjà tout cela, vous être déjà relativement tranquille. Nous allons voir plus bas quelques astuces complémentaires pour vous faciliter la vie.
Et surtout, surtout, n’utilisez pas de mots de passe “commun” comme 123456 ou tiffany. Voici une liste des 200 mots de passe les plus utilisés et le temps moyen qu’il faut à un système de piratage pour les craquer.
Voici quelques recommandations complémentaires si le sujet vous intéresse :
- https://www.ylneo.com/2020/01/27/recommandations-de-strategie-de-mot-de-passe-par-microsoft/
- https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe
- https://support.apple.com/fr-fr/guide/mac-help/mchlp1088/mac
Vous vous dites sans doute « mais ça fait tout de même beaucoup de choses à retenir ! » En fait, vous pouvez avoir de l’aide et avoir des mots de passe tous différents mais n’avoir besoin de se souvenir que d’un ou deux : les gestionnaires de mots de passe.
Gestionnaires de mots de passe
Il existe de nombreux logiciels ou « apps » appelés « gestionnaires de mots de passe ». Ils vous permettent de stocker tous vos mots de passe dans un endroit sûr et de n’avoir à retenir qu’un seul mot de passe (ou parfois aucun, nous le verrons plus tard).
En général, ces gestionnaires de mots de passe sont très bien conçus et faciles à utiliser. Si vous êtes sur Mac (et il y a de grandes chances si vous êtes sur notre blog !) il y en a un très bien, directement natif et déjà installé sur votre ordinateur, smartphone et tablette : Trousseau d’ Apple.
Le concept est simple : Trousseau compile et crypte tous les mots de passe et codes que vous lui confiez pour que vous ne puissiez y accéder que grâce à votre mot de passe « maître ». Il fonctionne en cloud si bien que vous pouvez y accéder depuis n’importe où.
Avec ce genre d’outils, vous n’avez plus à vous soucier de vos mots de passe. Par contre, attention : il faut faire très attention à votre mot de passe Trousseau. Oui, vous n’avez plus qu’un mot de passe. Par contre c’est devenu une « skeleton key », un passe-partout. Quitte à n’en avoir qu’un seul à retenir, soignez-le bien, protégez-le.
Il existe d’autres gestionnaires de mots de passe comme LastPass, Dashlane ou Bitwarden. Certains sont payants, d’autres sont gratuits. Ils ont tous leurs avantages et leurs inconvénients, mais le principe est toujours le même : stocker vos mots de passe dans un endroit sûr pour ne pas avoir à les retenir.
Cela dit, vous en avez déjà un fiable directement sur votre système Apple, pourquoi se priver ? Vous pouvez aussi vous servir des gestionnaires de mots de passe de votre navigateur comme Firefox ou Chrome.
Conseils pour la création de mots de passe forts facile à retenir
Maintenant que nous avons vu ce qu’est un mot de passe, comment le créer et comment le stocker, voyons quelques méthodes pour créer un mot de passe fort facile à retenir.
Créez des mots de passe à partir d'une phrase
-
Si vous avez du mal à vous souvenir de mots de passe complexes, essayez cette méthode : prenez une phrase, n’importe quelle phrase, et transformez-la en un mot de passe.
Par exemple, la phrase « Ce petit cochon nommé Albert est allé au marché des Capucins » peut devenir le mot de passe suivant : « CpcnAeaamdC », tout simplement les premières lettres de chaque mot.
Vous allez me dire qu’il n’y a pas de symboles ou de chiffre, il suffit d’en ajouter, vous avez alors à retenir la phrase et par exemple 482, vous ajoutez à la fin _ – ou encore & et votre mot de passe fort devient CpcnAeaamdC&482.
Ou bien notre cher Albert a acheté 13 pommes au marché. Bref, vous voyez l’idée.
Une phrase, un chiffre. Bon courage à quiconque tenter de briser ce mot de passe, ça va être long. Par contre, vous n’aurez aucun mal à vous en souvenir si vous ancrez bien cette phrase dans votre mémoire. Inutile de faire compliqué : la première phrase qui vous passe par la tête et qui sonne bien. Tant mieux si cela sonne enfantin : c’est encore plus facile à retenir.
Créer des mots de passe phonétiques
-
Une autre méthode qui ressemble un peu à la première : la phonétique.
Et OUI, on peut s’inspirer du « langage sms » pour créer un mot de passe fort.
éUIonpe5spirédulengajsmspourcré1mo2pasfor
L’exemple est très long, mais vous avez l’idée. Pensez à la phonétique en oubliant toute grammaire. Avec un exemple plus court, « j’adore la choucroute garnie » mettons, le mdp pourrait être j4dorlach0ucr0utg4rni.
Attention tout de même de ne pas prendre votre nom ou nom de famille et de l’écrire avec ce système phonétique (appelé l33t), utilisez une phrase simple ou bien trois à quatre mots qui n’ont rien à voir. Les robots et systèmes de forçage de mots de passe connaissent le l33t et savent que l’on peut remplacer les e par un 3 les o par des 0 ou des a par des 4.
A mesure que vous allez le taper de toute manière, vous n’aurez même plus besoin de la phrase pour vous en souvenir.
Mot de passe cadavre exquis
Si vous avez peur que rien de tout ça ne fonctionne pour vous rappeler de vos mots de passe, vous pouvez choisir trois mots parfaitement au hasard, qui n’ont aucun lien entre eux mais dont vous allez vous souvenir rapidement et en faire votre mot de passe. Et pourquoi pas rajouter derrière une série de chiffres qui a un sens pour vous, mais rien d’évident comme la date de naissance ou votre département.
RideauBouteilleGalette516
Alors attention : ça reste moins sécurisé que les astuces précédentes puisque ces mots existent. C’est le fait de les allier entre eux alors qu’ils n’ont aucun sens qui va considérablement compliquer le travail. Préférez tout de même une des méthodes précédentes pour vos mots de passe les plus importants.
Est-ce qu'il faut changer son mot de passe régulièrement ?
Tout dépend de la sensibilité des données que vous traitez de la susceptibilité de vous faire attaquer. Si vous êtes une entreprise et que vos mots de passe réseaux sont les mêmes depuis un bon moment, oui il est temps de les changer. Qui vous dit que quelqu’un ne l’a pas noté sur un bout de papier quelque part ? Qu’un employé l’aurait fait fuiter par mégarde suite à un phising ou un autre type d’attaque ? Que quelqu’un l’a dit un jour à un prestataire, un employé de passage ou un stagiaire ?
Dans un cadre plus personnel, c’est moins « crucial ». Dans l’idéal, oui il faudrait changer de mot de passe tous les deux ou trois mois, mais dans les faits ce n’est pas non plus une nécessité absolue. Le risque est de faire des mots de passe trop « récursif » passer de XXXXXX322 à XXXX323 puis 324 etc. C’est en soi inutile.
Si vous changez de mot de passe, faites le réellement. Quitte à avoir 5 ou 6 mots de passe avec l’une des techniques que nous avons vu plus haut et alterner.
Par contre, si vous avez été victime d’une cyberattaque, que vous vous rendez-compte que vous avez été victime d’une arnaque sur internet, que vous avez entré votre mot de passe sur un site frauduleux, que vous avez perdu votre téléphone, votre ordinateur ou qu’on vous les a volés… Changez tous vos mots de passe importants. La plupart des services en ligne disposent d’une option “me déconnecter de tous les appareils” pour encore plus assurer votre sécurité après une perte ou une attaque.
Mots de passe jetable : une bonne méthode !
Vous n’avez pas besoin de retenir tous les mots de passe. Sur la plupart des sites que vous utilisez, de e-commerce ou autre, dont vous ne vous servez pas trop souvent, c’est inutile.
Tapez n’importe quoi pour créer le mot de passe lors de la création de compte, réalisez votre achat ou utilisez le site (avec l’option « se souvenir de moi »). Vous pouvez vous servir des suggestions de votre navigateur s’il propose cette option, utiliser un générateur en ligne ou simplement taper des dizaines de touches au hasard sur votre clavier. Pensez à copier-coller si vous avez besoin de confirmer le mot de passe.
Si un jour vous êtes déconnecté et devez vous reconnecter à ce site ou service, et bien cliquez sur « mot de passe oublié » pour en générer un nouveau via votre adresse mail, quelques minutes plus tard, vous serez de nouveau connecté.
Pourquoi s’encombrer avec des mots de passe inutiles ?
Données sensibles : la double authentification est un must !
Enfin, pour vos données les plus sensibles sur les sites ou services en ligne qui sont les plus importants pour vous, choisissez l’option de double authentification. Beaucoup de sites en proposent par défaut : votre banque en ligne doit normalement le faire.
Ça peut être via un mail à confirmer, un sms que vous allez recevoir sur votre téléphone ou encore une application mobile. Attention par contre : choisissez bien votre méthode de confirmation. Si vous avez tendance à beaucoup perdre votre téléphone, préférez une méthode par mail.
Bien entendu, ne mettez pas votre adresse mail pour la double authentification de… vos mails. Là vous serez bloqué définitivement sans intervention technique auprès d’un hébergeur, ce qui peut être trèèèèès long (voire impossible).
C’est une sécurité en plus qu’il faut vraiment penser à mettre en place pour vos données sensibles ou précieuses.
La biométrie : Face ID ou Touch ID comme mot de passe
La technologie évolue, la sécurité aussi. Vous pouvez vous servir des technologies de biométrie pour remplacer ou renforcer vos mots de passe. Apple propose le Face ID qui va reconnaître votre visage pour déverrouiller votre téléphone, mais vous pouvez aussi vous en servir d’authentification sur différentes applications ou sites.
C’est la même chose pour la reconnaissance par empreinte digitale.
Avec ça, difficile d’oublier son “mot de passe”, il faut admettre. Mais rappelez-vous que la technologie peut parfois avoir des caprices. Ou encore que vous pouvez changer : si vous vous blessez le doigt, votre empreinte ne sera plus lisible, est-ce que le face ID va vous reconnaître dans absolument toutes les situations ? Pas sûr, pensez toujours à avoir aussi un mot de passe au cas où.
Sérénité et sécurité !
Nous espérons que ce guide vous a été utile. Ce n’est pas si compliqué de gérer ses mots de passe ! Il existe de nombreuses façons de créer un mot de passe, et cela ne doit pas forcément être difficile ou prendre du temps. Si vous souhaitez obtenir de l’aide pour déterminer quel type de mot de passe est le mieux adapté à vos besoins, nous sommes toujours prêts à vous conseiller chez Alt-S, votre centre de service agréé Apple à Évreux et Rouen !
