Sécurité des mots de passe
[!toc] Table of Contents
De bons mots de passe sont l’une des contre-mesures les plus importantes contre les fuites de données. Nous verrons ci-dessous ce qui fait un bon mot de passe.
- les mots de passe protègent des données chiffrées, comme des disques durs et des bases de données de mots de passe
- les mots de passe des comptes en ligne en protègent l’accès : contre les personnes non authorisées !
- des autorités comme la police peuvent être en mesure d’obtenir l’accès par une décision judiciaire, en effet tes données y sont stockées sans chiffrement, donc elles n’ont pas besoin de ton mot de passe.
[!success] General rules {static}
- Ne pas réutiliser les mots de passe
- Utiliser des mots de passe forts
- Utiliser l’authentification à deux facteurs
C’est pourquoi il est de notre devoir, en tant qu’activistes modernes, d’utiliser un gestionnaire de mots de passe. Il nous aide à respecter toutes ces exigences sans grande difficulté. De cette manière, nous protégeons non seulement nos propres accès, mais aussi les informations derrière ceux-ci qui sont liées à nos camarades !
Dans cet article, tu trouveras des explications sur :
- ce dont un gestionnaire de mots de passe est capable
- ce qu’est un bon mot de passe
- ce que signifie l’authentification par second facteur et pourquoi elle est recommandée
Gestionnaires de mots de passe
Un gestionnaire de mots de passe stocke tous tes mots de passe dans une seule base de données chiffrée (qui n’est qu’un fichier) protégée par un mot de passe maître. Cela signifie que tes mots de passe ne sont pas stockés en clair sur ton système ou sur papier chez toi, et que tu n’as pas à tous les retenir toi-même.
Comme tu n’as plus besoin de retenir toi-même les mots de passe, ce n’est plus un problème de générer un mot de passe fort et différent pour chaque compte - c’est même recommandé. C’est très facile à faire avec le gestionnaire de mots de passe lui-même.
Le gestionnaire de mots de passe stocke aussi l’association avec les sites web et applications pour lesquels tu as généré le mot de passe correspondant. Cela rend aussi le phishing plus difficile, car le mot de passe ne sera pas proposé comme suggestion sur une fausse URL.
Comme mentionné plus haut, le gestionnaire de mots de passe lui-même est protégé par un mot de passe maître fort et/ou d’autres facteurs (voir ci-dessous authentification à deux facteurs). C’est donc (en dehors du chiffrement de disque dur) le seul mot de passe que tu as vraiment besoin de retenir, et il peut donc être un peu plus complexe. La règle est : mieux vaut retenir un mot de passe fort que beaucoup de mots de passe peu sûrs.
[!tip] Which password manager? {static}
Lis-en plus à ce sujet dans les recommandations pour les gestionnaires de mots de passe.
Mots de passe forts
D’accord, mais tu as quand même besoin d’au moins un mot de passe fort pour le gestionnaire de mots de passe. Mais quand un mot de passe est-il fort ?
Une importante condition de base est la génération aléatoire du mot de passe. Tout ce que tu inventes, aussi astucieux que ton système puisse être, doit être considéré comme peu sûr.
Des algorithmes optimisés permettent aux autorités de chercher spécifiquement des mots de passe probables pour des activistes, en essayant du vocabulaire, des citations d’écrits et de chansons révolutionnaires, etc., tout en économisant du temps et de l’énergie en évitant par exemple le vocabulaire fasciste.
« L’histoire est l’histoire de la lutte des classes » contient peut-être dix mots, mais pour les raisons mentionnées ci-dessus, c’est un très mauvais mot de passe !
Ici, tu peux déjà voir que le terme mots de passe inclut aussi les phrases de passe. Les phrases de passe sont des chaînes de mots générées aléatoirement. Elles ont l’avantage de permettre aux personnes de retenir des chaînes de caractères beaucoup plus longues.
[!tip] A good password is {static}
- Un bon mot de passe devrait avoir une entropie de plus de 120 bits. C’est un peu plus que la recommandation habituelle de 80-100 bits, mais cela devrait donc être sûr face aux futurs progrès matériels.
- En pratique, lorsqu’on parle de phrases de passe, cela devrait donner au moins 5 mots, de préférence 8.
- Créé avec un gestionnaire de mots de passe ou Diceware (dés et liste de mots).
Nous expliquons ci-dessous d’où viennent les nombres 5 et 8, choisi à partir du temps qu’il faudrait théoriquement pour casser un mot de passe ou une phrase de passe générés aléatoirement. Cependant, ces tableaux sont toujours soumis à de nombreux si et mais.
Authentification à deux facteurs
La 2FA garantit que la simple saisie d’un mot de passe ne suffit pas pour une autorisation complète, puisqu’on part du principe que les mots de passe peuvent être compromis. Une deuxième instance est donc demandée pour l’autorisation complète.
Les recommandations pour les gestionnaires de mots de passe incluent un exemple de scénario montrant comment une base de données KeePassXC peut être sécurisée avec un second facteur.
Le second facteur peut reposer sur différentes caractéristiques :
2e facteur : possession
Tu as besoin d’un appareil spécial qui affiche un nombre ou doit être branché à l’ordinateur via USB. Si l’attaquant·e n’a pas cet « appareil », l’autorisation ne sera pas accordée. (Tokens matériels, applications 2FA, SMS)
Logiciel TOTP
TOTP signifie time-based one-time password et peut être configuré avec tous les gestionnaires de mots de passe courants comme KeePassXC. Le processus de connexion consiste alors à saisir ton nom d’utilisateur et ton mot de passe, après quoi le TOTP te sera demandé (par ex. un PIN à 6 chiffres), qui change toutes les ~30 secondes.
Tokens matériels USB
Ils ressemblent à des clés USB normales. Si un service/disque dur ou autre élément configuré avec ce token doit être déverrouillé, la clé doit aussi être insérée dans l’appareil utilisé. Ces tokens sont souvent protégés par un PIN, donc les voler ne suffit pas. Le nombre de tentatives de PIN est limité.
Comme tout cela est implémenté et protégé au niveau matériel, c’est une méthode d’authentification très sûre. (Le standard pertinent pour les tokens de sécurité de ce type s’appelle FIDO2, l’ancien standard est U2F.)
Tokens matériels TOTP
Similaire au TOTP software, mais pas dans une application comme un gestionnaire de mots de passe : c’est un appareil de la taille d’un pouce. Il a un petit écran qui affiche le TOTP à 4-6 chiffres, qui change toutes les ~30 secondes.
Lors de la connexion, le code affiché à ce moment doit toujours être saisi comme 2FA. Cependant, les standards pour les tokens de ce type ne sont généralement pas open source, c’est pourquoi nous ne recommandons pas de les utiliser.
SMS
Probablement la méthode la plus connue. Pour vérifier l’identité de l’utilisateur·ice, le service concerné envoie un SMS au numéro de téléphone enregistré avec le compte. Comme le réseau mobile ne peut pas être considéré comme sûr, nous ne recommandons pas cette méthode.
Biométrie comme deuxième facteur
Des caractéristiques biométriques uniques doivent être vérifiées lors de l’inscription (empreinte digitale, reconnaissance faciale, scan de l’iris). L’authentification biométrique est particulièrement répandue pour les smartphones.
Cependant, l’authentification biométrique nous pose un problème : les autorités peuvent simplement utiliser nos caractéristiques biométriques sous contrainte et par la force. Nous déconseillons donc par principe les méthodes de déverrouillage biométrique comme l’empreinte digitale et Face ID.
[!technical] Technical
Il a été prouvé que les biométries comme les empreintes digitales ou la reconnaissance faciale peuvent être falsifiées. Starbug du CCC a déjà montré à quel point c’est facile pour les empreintes digitales, les visages, les iris et la reconnaissance des veines. Le point le plus important ici, cependant, est que tu ne peux jamais changer tes caractéristiques biométriques. Un mot de passe compromis peut être réinitialisé. Une empreinte digitale ou un visage, en revanche, ne le peuvent pas.
La seule exception à cela est GrapheneOS, qui propose un PIN comme second facteur limité à vingt tentatives pour la reconnaissance d’empreinte digitale et répond par ailleurs aux standards de sécurité les plus élevés.
2e facteur : connaissance
Par exemple, les questions de sécurité qui étaient courantes dans le passé, comme « Quel est ton lieu de naissance ? ». Cependant, ces « questions de sécurité » impliquent généralement des réponses que quelqu’un qui te connaît bien pourrait facilement trouver. Nous ne les recommandons donc pas.
Temps nécessaire pour casser
En réalité, le temps nécessaire pour casser un mot de passe dépend beaucoup des circonstances exactes. Les calculs ici supposent un scénario très précis. Le scénario montré ici suppose des conditions très favorables pour les attaquant·es. Cela signifie qu’en pratique, cela prendra encore plus de temps.
Temps nécessaire pour casser un mot de passe
Il faut aussi noter que ces durées concernent un mot de passe d’une personne. Tout le matériel est occupé par cette tâche, donc aucun autre mot de passe ne peut être cassé pendant ce temps.
[!technical] Technical
Nous supposons qu’un mot de passe utilise MD5 comme fonction de hachage et que les attaquant·es ont accès au matériel utilisé pour entraîner ChatGPT : 10 000 GPU NVIDIA A100. Prix d’achat : env. 9 000 $ par unité (2024) pour la version moins chère avec 40 Go de mémoire. Cela fait un total de 90 millions de dollars. Même louer cette quantité de matériel n’est pas moins cher à long terme. Des détails supplémentaires sur le scénario se trouvent chez hive-systems, qui a effectué les calculs.
Prérequis important : le mot de passe doit avoir été généré aléatoirement ! Cela signifie qu’il s’agit uniquement de brute force sur les caractères. Par exemple, on commence par 0000 et on essaie :
0001,0002,...,AAAA,AAAB,...,A-A-A-B-B,R€70lut10n,- …
etc. sans listes de mots optimisées pour la personne ciblée.
Temps nécessaire pour casser une phrase de passe
Cependant, un mot de passe aléatoire suffisamment long et contenant lettres, chiffres et caractères spéciaux est difficile à retenir pour les humains. C’est pourquoi nous recommandons d’utiliser des phrases de passe pour les mots de passe que tu dois mémoriser, comme ceux de ton gestionnaire de mots de passe et du disque dur de ton ordinateur et de ton téléphone. Elles se composent de mots plutôt que de lettres individuelles. Elles sont beaucoup plus faciles à retenir pour les humains, mais ne sont pas moins sûres que les mots de passe. Voir aussi : xkcd 936
[!technical] Technical
En théorie de l’information, il faut toujours supposer que l’attaquant·e sait comment nous avons créé le mot de passe afin d’en évaluer la sécurité. L’attaquant·e utilise donc ici une attaque par liste de mots. Sinon, tout reste identique.
Par exemple, le cas des mots est supposé ci-dessous : les attaquant·es savent exactement combien de mots, de quelle langue et sous quel format (c.-à-d. majuscules/minuscules, quels caractères entre les mots) ont été utilisés pour le mot de passe, et utilisent (dans la colonne de gauche) le matériel ayant servi à entraîner ChatGPT pour le casser. Ces graphiques ne doivent donc pas être pris au pied de la lettre.
Comme déjà mentionné, des phrases de passe aléatoires peuvent être créées à l’aide de gestionnaires de mots de passe ou, de manière similaire, avec des dés et une liste de mots aussi grande que possible.