Parler d’authentification par mot de passe est un peu ennuyeux, mais extr\u00eamement important, surtout avec la fr\u00e9quence des violations de donn\u00e9es. Vous avez probablement vu des alertes concernant des sites pirat\u00e9s, exposant des informations utilisateur, notamment des noms d’utilisateur et des mots de passe. C’est un probl\u00e8me majeur, car si ces informations sont stock\u00e9es en clair, toute personne ayant acc\u00e8s \u00e0 cette base de donn\u00e9es peut facilement les r\u00e9cup\u00e9rer et les utiliser. Ce n’est pas vraiment id\u00e9al. Comprendre ce qui se passe r\u00e9ellement en coulisses peut donc contribuer \u00e0 s\u00e9curiser consid\u00e9rablement vos syst\u00e8mes de connexion, ou du moins \u00e0 mieux prot\u00e9ger vos comptes.<\/p>\n
L’essentiel est que les bonnes pratiques de s\u00e9curit\u00e9 recommandent de stocker une version hach\u00e9e des mots de passe, et non les mots de passe eux-m\u00eames. Le hachage revient \u00e0 faire passer le mot de passe dans une voie \u00e0 sens unique : on obtient un hachage, mais on ne peut pas facilement r\u00e9cup\u00e9rer le mot de passe original. Lorsqu’une personne se connecte, le syst\u00e8me hache la saisie et la compare au hachage stock\u00e9. Si les deux concordent, le mot de passe est correct. Cependant, si des pirates parviennent \u00e0 p\u00e9n\u00e9trer dans la base de donn\u00e9es, ils ne disposent que de hachages, qui sont pratiquement inutiles s’ils ne sont pas craqu\u00e9s. Mais voici le probl\u00e8me : les hachages ne sont pas totalement inviolables, surtout s’ils ne sont pas correctement hach\u00e9s ou si des algorithmes faibles sont utilis\u00e9s. C’est pourquoi une grande partie du travail repose sur la fa\u00e7on dont vous hachez ces mots de passe, et sur le c\u00f4t\u00e9 de l’attaquant, qu’il tente ou non de les casser.<\/p>\n
Craquer un hachage est assez \u00e9trange, car techniquement, il est impossible de le reconstituer directement avec le mot de passe d’origine. Les attaquants tentent de deviner les mots de passe jusqu’\u00e0 ce que leur hachage corresponde \u00e0 celui enregistr\u00e9. Il s’agit en fait d’essayer toutes les cl\u00e9s jusqu’\u00e0 ce qu’une d’entre elles ouvre la serrure. Il peut s’agir d’une attaque par force brute : essayez toutes sortes de mots de passe, de \u00ab a \u00bb \u00e0 \u00ab zzz \u00bb, en passant par des chiffres et des symboles. Comme les combinaisons possibles explosent de mani\u00e8re exponentielle avec la longueur du mot de passe, il est tr\u00e8s lent de d\u00e9chiffrer des mots de passe longs et complexes par force brute. Les GPU acc\u00e9l\u00e8rent le processus, mais m\u00eame dans ce cas, les mots de passe tr\u00e8s longs restent relativement s\u00fbrs.<\/p>\n
Pour r\u00e9duire le temps de recherche, les attaquants consultent souvent les r\u00e8gles de mots de passe du site. Si un site impose une longueur minimale ou exige un chiffre et une majuscule, ils ignoreront \u00ab mot de passe \u00bb et choisiront directement les mots de passe courants qui respectent ces r\u00e8gles. Cependant, la force brute est lente, surtout pour les mots de passe plus forts. Ils utilisent \u00e9galement des attaques par dictionnaire. Au lieu de tout essayer, ils utilisent des listes de mots de passe courants \u2013 une m\u00e9thode plus intelligente. Ces listes, appel\u00e9es dictionnaires, sont construites \u00e0 partir de mots de passe divulgu\u00e9s ; elles incluent donc souvent \u00ab motdepasse123 \u00bb, \u00ab qwerty \u00bb ou \u00ab letmein \u00bb.Si votre mot de passe figure dans l’une de ces listes, il est probablement corrompu.<\/p>\n
Une astuce qui rend les attaques par dictionnaire plus efficaces est la manipulation des mots : remplacer des lettres par des symboles (comme \u00ab e \u00bb par \u00ab 3 \u00bb), ajouter des chiffres \u00e0 la fin ou m\u00e9langer les lettres. Ces petites modifications peuvent faire grimper les taux de r\u00e9ussite \u00e0 plus de 70 %, voire 90 %, surtout si l’attaquant utilise un bon dictionnaire int\u00e9grant des algorithmes de manipulation. Donc, si votre mot de passe est un mot ou une expression simple, il peut \u00eatre vuln\u00e9rable ; ces tactiques sont comparables \u00e0 des codes de triche pour d\u00e9chiffrer les mots de passe.<\/p>\n
C’est l\u00e0 que les habitudes des utilisateurs entrent en jeu. Ils ont tendance \u00e0 r\u00e9utiliser leurs mots de passe sur plusieurs sites, et ils choisissent souvent des \u00e9l\u00e9ments li\u00e9s \u00e0 leur vie personnelle : animaux de compagnie, anniversaires, sports pr\u00e9f\u00e9r\u00e9s ou mots courants comme \u00ab mot de passe \u00bb.Les attaquants exploitent ce ph\u00e9nom\u00e8ne en utilisant de longues listes de mots de passe courants ou des failles de s\u00e9curit\u00e9 pour constituer leurs dictionnaires. C’est assez d\u00e9concertant, mais la plupart des mots de passe sont devinables s’ils suivent des sch\u00e9mas typiques ou s’ils figurent dans la liste. C’est pourquoi il est essentiel de cr\u00e9er des mots de passe impr\u00e9visibles et ind\u00e9pendants de vos informations personnelles.<\/p>\n
Ajouter des variantes, comme remplacer des lettres par des chiffres ou des symboles, est monnaie courante. Par exemple, \u00ab mot de passe \u00bb devient \u00ab p@ssw0rd ! \u00bb, etc. Ces l\u00e9g\u00e8res modifications rendent le d\u00e9chiffrement des mots de passe traditionnels plus difficile, mais pas impossible. Combiner longueur et impr\u00e9visibilit\u00e9 est la meilleure solution ; un mot de passe de plus de 10 caract\u00e8res avec des mots al\u00e9atoires (pas de v\u00e9ritables phrases, mais plut\u00f4t des mots sans rapport entre eux) est une bonne r\u00e8gle de base. En r\u00e9sum\u00e9, privil\u00e9giez des \u00e9l\u00e9ments qui ne figureraient pas sur une liste, id\u00e9alement plus longs et v\u00e9ritablement al\u00e9atoires. Car, au final, plus un mot de passe est long et complexe, moins il a de chances d’\u00eatre d\u00e9chiffr\u00e9 rapidement.<\/p>\n
En r\u00e9sum\u00e9 ? Les attaques par dictionnaire sont plus intelligentes que les attaques par force brute, car elles sont cibl\u00e9es. Elles s’appuient sur des suppositions issues de fuites pass\u00e9es ou de listes de mots de passe courants, ce qui les rend plus rapides et plus efficaces, si votre mot de passe figure dans la liste ou suit des sch\u00e9mas pr\u00e9visibles. Se prot\u00e9ger implique de cr\u00e9er des mots de passe longs et sans rapport entre eux, qui ne figurent dans aucune base de donn\u00e9es de mots de passe courants. L’utilisation de gestionnaires de mots de passe est un atout, car ils peuvent g\u00e9n\u00e9rer et stocker des mots de passe complexes et uniques pour chaque site, vous \u00e9vitant ainsi d’avoir \u00e0 m\u00e9moriser tout cela.<\/p>\n
De plus, v\u00e9rifiez toujours les param\u00e8tres de s\u00e9curit\u00e9 de votre site. Utilisez l’authentification \u00e0 deux facteurs lorsqu’elle est disponible et privil\u00e9giez les algorithmes de hachage con\u00e7us pour les mots de passe, comme bcrypt ou Argon2, plut\u00f4t que les obsol\u00e8tes MD5 ou SHA-1. Bien s\u00fbr, Windows doit parfois compliquer les choses, mais de votre c\u00f4t\u00e9, des mots de passe intelligents et de bonnes pratiques peuvent faire toute la diff\u00e9rence.<\/p>\n
J’esp\u00e8re que cela vous \u00e9clairera sur les raisons pour lesquelles d\u00e9chiffrer des mots de passe n’est pas aussi simple qu’il y para\u00eet et sur l’importance des bonnes habitudes. Au final, il s’agit de rendre les choses suffisamment difficiles pour que les attaquants se lassent ou passent \u00e0 autre chose. Voici quelques astuces qui ont fonctionn\u00e9 sur quelques configurations : croisons les doigts pour que cela aide et puisse peut-\u00eatre \u00e9viter des soucis \u00e0 quelqu’un plus tard.<\/p>\n","protected":false},"excerpt":{"rendered":"
Parler d’authentification par mot de passe est un peu ennuyeux, mais extr\u00eamement important, surtout avec la fr\u00e9quence des violations de donn\u00e9es. Vous avez probablement vu<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1389","post","type-post","status-publish","format-standard","hentry","category-aide"],"_links":{"self":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/posts\/1389","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/comments?post=1389"}],"version-history":[{"count":0,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/posts\/1389\/revisions"}],"wp:attachment":[{"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/media?parent=1389"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/categories?post=1389"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/ca\/wp-json\/wp\/v2\/tags?post=1389"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}