Qu'est-ce qui rend un mot de passe faible ?
Les attaquants ne devinent pas les mots de passe un par un à la main. Ils utilisent des listes de milliards de mots de passe divulgués et des règles qui imitent la façon dont les gens les construisent. Un mot de passe est faible s'il apparaît tôt dans ce processus, même s'il a l'air compliqué. Les problèmes les plus courants :
- Il est trop court. Chaque caractère supplémentaire multiplie le travail. Moins de 12 caractères, c'est risqué pour tout ce qui compte.
- C'est un mot, un nom ou une date, ou une petite variante, comme
Soleil2024!ouMax1987. - Il suit un schéma : rangées de clavier (
azerty,1qaz2wsx), répétitions (aaaa) ou suites (abcd,4321). - Il a déjà fuité. Dès qu'un mot de passe apparaît dans une fuite, il entre dans toutes les listes de cassage, aussi fort qu'il paraisse.
- Il est réutilisé. Un mot de passe fort utilisé sur plusieurs sites n'est pas plus sûr que le plus faible d'entre eux.
Comment le renforcer
- Allongez-le. La longueur bat la complexité. 16 caractères aléatoires, ou 5 à 6 mots aléatoires, sont hors de portée de toute attaque réaliste.
- Laissez un ordinateur le choisir. Les humains sont prévisibles, un générateur de mots de passe non. Pour les mots de passe à retenir, utilisez une phrase de passe.
- Utilisez un mot de passe différent partout et gardez-les dans un gestionnaire de mots de passe.
- Activez la double authentification pour qu'un mot de passe divulgué ne suffise pas à entrer dans votre compte.
Envie d'en savoir plus ?
Lisez (en anglais) comment on casse un mot de passe pour voir ce que les attaquants essaient en premier, ou mot de passe ou phrase de passe pour choisir le bon type pour chaque compte.
Autres outils gratuits
Est-ce sûr de taper mon mot de passe ici ?
Oui. La vérification se fait entièrement dans votre navigateur ; votre mot de passe n'est jamais envoyé ni enregistré. La vérification de fuite facultative n'envoie que les 5 premiers caractères d'une empreinte SHA-1, impossible à reconvertir en mot de passe. Le plus prudent reste de tester un mot de passe similaire au vôtre plutôt que le vrai.
Comment la force est-elle calculée ?
Nous utilisons zxcvbn, l'estimateur open source créé par Dropbox. Au lieu de simplement compter les types de caractères, il cherche les schémas que les attaquants essaient en premier : mots de passe courants, mots, noms, dates, rangées de clavier comme azerty, répétitions et suites. Il estime ensuite le nombre d'essais nécessaires.
Que signifient les deux temps de cassage ?
Le temps en ligne suppose quelqu'un qui devine via la page de connexion d'un site, généralement limité à une centaine d'essais par heure. Le temps hors ligne suppose que le site a été piraté et sa base de mots de passe divulguée : les attaquants peuvent alors tester 100 milliards d'essais par seconde sur leur propre matériel. Votre mot de passe doit survivre à ce cas.
Comment fonctionne la vérification de fuite ?
Elle utilise le service gratuit Pwned Passwords de Have I Been Pwned, qui contient des centaines de millions de mots de passe issus de vraies fuites. Votre navigateur envoie les 5 premiers caractères de l'empreinte SHA-1, reçoit toutes les empreintes divulguées qui commencent pareil et les compare localement. Le service ne sait jamais quel mot de passe vous avez vérifié.
Mon mot de passe est « Fort ». Est-ce suffisant ?
Pour la plupart des comptes, oui, tant que vous ne le réutilisez nulle part. Pour l'e-mail, la banque et votre gestionnaire de mots de passe, visez « Très fort » : un mot de passe aléatoire de 16 caractères ou plus, ou une phrase de passe de 6 mots aléatoires.
Pourquoi M0tD3P@sse! obtient-il un si mauvais score ?
Parce que les attaquants connaissent l'astuce. Remplacer des lettres par des symboles ressemblants, mettre une majuscule au début et un chiffre ou un « ! » à la fin, c'est la première chose qu'essaient les outils de cassage. La vraie force vient de la longueur et du hasard, exactement ce que fournit notre générateur de mots de passe.