Robustesse et règles des mots de passe

Malgré l’essor de la MFA et de l’authentification sans mot de passe, les mots de passe restent le facteur d’authentification le plus courant. Un mot de passe faible constitue le point d’accès initial le plus fréquent lors des compromissions.

Les mots de passe robustes possèdent les caractéristiques suivantes :

• Longueur — 16 caractères ou plus augmentent considérablement l’entropie
• Complexité — mélange de majuscules, de minuscules, de chiffres et de symboles
• Imprévisibilité — aucun mot du dictionnaire, schéma de clavier ou information personnelle
• Unicité — un mot de passe différent pour chaque compte

L’entropie mesure l’imprévisibilité en bits. Pour un mot de passe utilisant 94 caractères ASCII imprimables, chaque caractère ajoute environ 6,5 bits. Un mot de passe de 16 caractères possède environ 104 bits d’entropie — il est pratiquement impossible à casser par force brute.

La longueur prime sur la complexité : « correcthorsebatterystaple » > « P@ss1 ».

Les attaquants savent que les utilisateurs choisissent :

• Des mots du dictionnaire avec des substitutions simples (p@ssw0rd)
• Des informations personnelles (date de naissance, nom de l’animal de compagnie)
• Des schémas de clavier (qwerty, 123456)
• Le nom de l’entreprise suivi de l’année
• Le même mot de passe partout

Politiques de mots de passe efficaces (conformément à NIST SP 800-63B) :

• Au moins 8 caractères (12 ou plus de préférence)
• Vérifier les mots de passe dans des listes de mots de passe connus comme compromis
• Ne PAS imposer de changement obligatoire fréquent (cela encourage les mots de passe faibles)
• Ne PAS imposer de règles de complexité arbitraires que les utilisateurs contournent
• Autoriser le collage pour permettre l’utilisation de gestionnaires de mots de passe

Un gestionnaire de mots de passe génère et stocke des mots de passe robustes et uniques pour chaque compte, derrière un seul mot de passe principal. Cela élimine la réutilisation des mots de passe — cause fondamentale du bourrage d’identifiants.

Options populaires : Bitwarden (à code source ouvert), 1Password, KeePass, Dashlane.

Une phrase secrète — composée de quatre mots aléatoires ou plus — associe facilité de mémorisation et entropie élevée. « TrafficLampFrogBridge » est plus sûre que « T!@#k7 » et bien plus facile à retenir et à taper.

Dans les environnements d’entreprise :

• Imposer une longueur minimale via la stratégie de groupe ou le fournisseur d’identité
• Bloquer les mots de passe couramment utilisés (liste des 100 000 plus courants)
• Activer la MFA pour tous les comptes
• Surveiller les schémas de pulvérisation de mots de passe et de force brute dans les journaux
• Utiliser LAPS pour la rotation des mots de passe des administrateurs locaux

HaveIBeenPwned (HIBP), créé par Troy Hunt, contient des milliards d’identifiants volés. Les organisations peuvent utiliser l’interface de programmation de HIBP pour bloquer les mots de passe trouvés dans des compromissions connues.

Les utilisateurs peuvent vérifier leur adresse e-mail sur haveibeenpwned.com.

La biométrie (empreinte digitale, visage) est pratique, mais présente des limites : elle ne peut pas être modifiée en cas de compromission. Il est préférable de l’utiliser comme second facteur avec un mot de passe robuste, et non comme remplacement.

Les clés d’accès (FIDO2/WebAuthn) remplacent les mots de passe par des paires de clés cryptographiques. La clé privée ne quitte jamais l’appareil. Elles résistent à l’hameçonnage de par leur conception : aucun mot de passe ne peut être volé. Elles sont adoptées par Apple, Google et Microsoft.

Selon NIST SP 800-63B, quelle pratique est recommandée pour améliorer la sécurité des mots de passe ?

Les mots de passe robustes reposent davantage sur la longueur et l’unicité que sur des règles complexes concernant les caractères. Les gestionnaires de mots de passe résolvent le problème de la réutilisation. Les recommandations de NIST préconisent de vérifier les mots de passe dans des bases de données de compromissions plutôt que d’imposer des changements fréquents. Les clés d’accès (FIDO2) représentent l’avenir de l’authentification résistante à l’hameçonnage.