Votre mot de passe est-il vraiment solide ?

La plupart des gens jugent un mot de passe à sa difficulté à taper. S'il contient une majuscule, quelques chiffres et un symbole casé quelque part, il paraît sûr. Le problème, c'est que les pirates ne vivent pas votre mot de passe comme vous : les astuces qui rendent un mot de passe pénible à saisir pour un humain ne ralentissent presque pas un ordinateur.

La solidité d'un mot de passe n'est pas une impression. Tout se résume à une question : combien de tentatives faudrait-il pour tomber sur le vôtre ? Répondez honnêtement, et la plupart des vieilles règles s'effondrent, tandis qu'une approche bien plus simple se révèle bien plus solide.

Comment les mots de passe sont réellement cassés

L'image hollywoodienne d'un pirate essayant chaque combinaison possible une par une relève surtout du mythe. Face à une chaîne véritablement aléatoire, la force brute est sans espoir, et les pirates le savent. Ils ne commencent donc pas par là. Ils commencent par ce que les humains font de façon prévisible.

• Les listes de mots de passe divulgués. Des milliards de vrais mots de passe ont fuité lors de fuites de données passées. Les pirates les essaient en premier, car un nombre effarant de personnes les réutilisent.
• Les dictionnaires et listes de mots. De vrais mots, des prénoms, des équipes sportives, des références de la culture populaire, ainsi que les façons habituelles de les enjoliver.
• La transformation par règles. Les outils de cassage mettent automatiquement une majuscule à la première lettre, ajoutent une année, remplacent « a » par « @ » et « o » par « 0 », et collent un « ! » à la fin, car c'est ce que font les gens.

Autrement dit, le logiciel du pirate connaît déjà votre astucieuse substitution avant même que vous y pensiez. C'est tout le problème de « P@ssw0rd! » : chacune de ses transformations est une règle par défaut dans les outils conçus pour le deviner.

Pourquoi la longueur et l'imprévisibilité l'emportent

La solidité, c'est en réalité une question de taille de la meule de foin. Chaque caractère supplémentaire multiplie le nombre de possibilités qu'un pirate devrait explorer, et la longueur ajoute ces multiplications bien plus vite que le remplacement d'une lettre par un symbole. Un mot de passe court habillé de symboles n'est qu'une petite meule de foin qui a simplement l'air en désordre. Un mot de passe long et imprévisible en est une véritablement immense.

Le hic, c'est que la longueur n'aide que si le contenu est imprévisible. « Password123456789 » est long et pourtant sans valeur, car c'est un mot connu suivi d'une suite évidente. Ce qu'il vous faut, c'est de la longueur et du hasard : des caractères, ou des mots, qui ne suivent aucun schéma qu'une liste de mots ou une règle puisse anticiper.

Un mot de passe n'est jamais plus solide que son degré d'imprévisibilité. Si un outil de devinette peut l'atteindre avec des règles courantes, sa longueur sur le papier ne compte pas.

Deux façons de construire un mot de passe vraiment solide

Deux approches tiennent la route, et vous n'avez pas à choisir entre elles compte par compte.

1. Une longue chaîne aléatoire

Un mélange de lettres, de chiffres et de symboles d'au moins 16 caractères, sans aucun mot dedans. C'est impossible à deviner et impossible à mémoriser, ce qui n'est pas grave, car vous ne devriez de toute façon pas mémoriser vos mots de passe par site.

2. Une phrase de passe aléatoire

Plusieurs mots sans rapport choisis au hasard, comme « loutre-canyon-registre-chardon ». Sa solidité vient de la longueur et du fait que les mots sont tirés au hasard, pas de leur sens. C'est plus facile à taper les rares fois où vous devez le faire, et pourtant tout aussi énorme à deviner. Le mot clé, c'est « aléatoire » : une phrase que vous avez inventée à partir des paroles d'une chanson ne l'est pas, car elle figure déjà dans une liste de mots.

Laissez un générateur s'en charger, et un coffre s'en souvenir

Voici la vérité toute simple : aucun humain ne peut inventer et retenir des dizaines de mots de passe longs, aléatoires et uniques. C'est exactement le rôle d'un gestionnaire de mots de passe. Un générateur intégré produit un mot de passe inédit et très solide pour chaque compte, et le coffre le stocke pour que vous n'ayez jamais à le taper ni à le retenir. Votre seule tâche est de garder le coffre en sécurité.

Kinship Vault intègre un générateur de mots de passe longs et uniques, et son Bilan de sécurité note chacun de vos identifiants sur 100 et signale les faibles, ainsi que les mots de passe réutilisés et anciens, afin que vous voyiez en un coup d'œil quels comptes reposent encore sur quelque chose de devinable. Les vérifications qui comptent s'exécutent sur votre appareil, et vous pouvez générer un mot de passe au fil de l'eau depuis le générateur.

En bref

Arrêtez de juger un mot de passe au nombre de symboles qu'il contient. Jugez-le à son imprévisibilité, à sa longueur, et au fait que vous l'ayez déjà utilisé ailleurs ou non. Laissez un générateur les créer, laissez un coffre les retenir, et laissez un bilan de santé vous dire lesquels remplacer. C'est tout le jeu.