Comment vérifier si vos mots de passe ont fuité sans les exposer
Les mots de passe réutilisés et compromis sont, de loin, la principale cause de piratage des comptes ordinaires. La bonne nouvelle : vous pouvez savoir lesquels des vôtres sont exposés sans jamais envoyer un seul mot de passe où que ce soit.
Quelque part, l'un des sites où vous vous êtes inscrit il y a des années a probablement subi une fuite. Quand cela arrive, la liste des e-mails et mots de passe divulgués circule, et des attaquants essaient ces mêmes combinaisons sur votre banque, votre messagerie et vos comptes d'achats. Si vous avez réutilisé un mot de passe, une vieille fuite peut ouvrir beaucoup de portes.
Il est donc logique de vérifier si vos mots de passe sont apparus dans une fuite connue. Mais cela soulève une inquiétude évidente : pour vérifier un mot de passe, faut-il le transmettre ? Fait naïvement, oui, et ce serait un risque en soi. Fait correctement, non. Voici comment fonctionne une vérification de fuite sûre, et comment en effectuer une sans rien exposer.
À retenir
- Les mots de passe réutilisés et compromis sont la première cause de piratage de comptes au quotidien.
- Une vérification de fuite sûre n'envoie jamais votre mot de passe complet, ni même votre empreinte complète.
- Le k-anonymat n'envoie qu'un court préfixe partiel de l'empreinte, qui correspond à des milliers de valeurs.
- Un bon Bilan de sécurité regroupe les identifiants faibles, réutilisés, anciens et compromis pour que vous sachiez par où commencer.
Pourquoi les mots de passe compromis et réutilisés sont le vrai danger
La plupart des gens imaginent un pirate devinant leur mot de passe caractère par caractère. L'attaque la plus courante est bien plus discrète : un attaquant récupère une liste de paires e-mail/mot de passe issues d'une ancienne fuite et les essaie, automatiquement, sur des centaines d'autres sites. On appelle cela le credential stuffing, et cela fonctionne parce que tant de gens utilisent le même mot de passe à plusieurs endroits.
C'est pourquoi un mot de passe solide mais réutilisé reste un mot de passe faible. Dès qu'un seul site qui le détient subit une fuite, tous les comptes qui partagent ce mot de passe sont exposés. Repérer vos identifiants réutilisés et compromis est le nettoyage de sécurité le plus rentable que la plupart des gens puissent faire.
La vérification naïve, et pourquoi elle fuite
La méthode évidente pour vérifier un mot de passe par rapport à une liste de fuites consiste à envoyer le mot de passe (ou son empreinte) à un service et à demander « est-ce dans votre base de données ? ». Le problème, c'est que vous venez de révéler à un tiers votre mot de passe exact, ou une empreinte qu'il peut consulter directement. Si ce service enregistre les requêtes, ou se fait compromettre, vous avez divulgué la chose même que vous cherchiez à protéger.
Une vérification de fuite ne devrait jamais vous obliger à révéler le mot de passe que vous vérifiez.
Comment le k-anonymat rend la vérification sûre
Il existe une technique bien établie qui résout ce problème : le k-anonymat. Voici l'idée en termes simples :
- Votre appareil transforme le mot de passe en une empreinte, une longue signature de longueur fixe.
- Il envoie seulement un court préfixe de cette empreinte, les quelques premiers caractères, à la base de données des fuites.
- La base de données répond avec toutes les empreintes divulguées commençant par ce même préfixe, souvent plusieurs milliers d'entre elles.
- Votre appareil compare cette liste à votre empreinte complète localement, et vérifie si la vôtre s'y trouve.
Comme le préfixe correspond à des milliers de mots de passe possibles, le service ne sait jamais lequel vous demandiez réellement. Votre mot de passe complet ne quitte jamais votre appareil, pas plus que votre empreinte complète. Vous obtenez une réponse par oui ou par non, et le serveur n'apprend rien d'utile.
Transformer la vérification en liste d'actions
Savoir qu'un mot de passe est compromis n'est utile que si l'on peut agir facilement. Un bon Bilan de sécurité fait le regroupement à votre place. Dans Kinship Vault, le bilan note vos identifiants sur 100 et signale quatre catégories :
- Faible des mots de passe trop courts ou trop prévisibles.
- Réutilisé des mots de passe qui apparaissent sur plus d'un identifiant.
- Ancien des mots de passe qui n'ont pas changé depuis longtemps.
- Compromis des mots de passe, si vous autorisez la vérification en ligne, détectés via le k-anonymat comme décrit ci-dessus.
À partir de là, la correction est mécanique : ouvrez l'identifiant signalé, générez un nouveau mot de passe unique avec le générateur intégré, puis mettez-le à jour sur le site. Chaque saisie et chaque code restent verrouillés derrière Face ID ou Touch ID, si bien que le nettoyage ne laisse jamais vos mots de passe à découvert.
La place de cette fonction dans un coffre privé
La raison pour laquelle Kinship Vault peut proposer cela en toute sécurité est la même qui lui permet de stocker vos documents : tout est chiffré sur votre appareil, et aucun serveur Kinship Vault ne détient votre coffre. La vérification de fuite est le seul moment optionnel où quelque chose touche le réseau, et même là, il ne s'agit que d'un court préfixe partiel d'empreinte, jamais d'un mot de passe. C'est la différence entre une fonctionnalité pratique et une fonctionnalité négligente.
Découvrez lesquels de vos mots de passe sont réellement à risque.
Le Bilan de sécurité note vos identifiants et signale ceux qui sont faibles, réutilisés, anciens ou compromis, le tout avec vos mots de passe scellés sur votre appareil.
Découvrir le gestionnaire de mots de passe