Jenny KnafoBienvenue, fans de combat, au combat vedette de la soirée — le championnat des lourds de la protection des comptes! Dans le coin rouge, le favori du public : le MOT DE PASSE. Et dans le coin bleu, le prétendant audacieux et puissant : la PHRASE DE PASSE. Pour les nombreux fans présents et les millions qui regardent partout dans le monde : let’s get ready to ruummmmmmmmble!
Les mots de passe
Un mot de passe devrait être (mais ce n’est souvent pas le cas!) composé de 12 caractères ou plus, majuscules et minuscules, combinés à divers symboles et chiffres. Selon une étude de 2010 du Georgia Tech Research Institute (GTRI), plus le mot de passe est court, plus il est facile à casser. L’étude a montré qu’un mot de passe aléatoire de 12 caractères pouvait résister aux logiciels de déchiffrement et de cracking. Les mots de passe doivent aussi être solides et complexes, avec des caractères alphanumériques en majuscules et minuscules, pour renforcer leur résistance aux attaques par force brute et aux tentatives de devinette. Au bout du compte, toutefois, n’importe quel mot de passe peut être compromis.
Les phrases de passe
Une phrase de passe est beaucoup plus longue qu’un mot de passe typique — ce qui la sort largement de la zone de vulnérabilité aux attaques par force brute — et contient des espaces entre les mots. Elle pourrait ressembler à ceci : « Plus votre mot de passe est complexe, mieux c’est! » Une phrase de passe peut contenir des lettres, des symboles et des chiffres, et elle n’a pas besoin d’être une vraie phrase ni d’être grammaticalement correcte. Votre prof de français du secondaire pourrait s’offusquer, mais c’est un petit prix à payer pour une sécurité robuste, non?
Et le gagnant est…
Les phrases de passe, par K.-O. dès le premier round! Et la raison est simple : les utilisateurs finaux — qui resteront toujours le maillon le plus faible de la chaîne de sécurité de l’information — sont assez mauvais pour choisir de longs mots de passe solides. En fait, les dernières lignes directrices du NIST ne recommandent plus de changer son mot de passe tous les quelques mois, parce que les gens ont tendance à en choisir de pires plutôt que de meilleurs. Comparée à un mot de passe, une phrase de passe est plus facile à créer pour les utilisateurs, et souvent bien plus facile à retenir.
Pourquoi tout le monde n’utilise-t-il pas les phrases de passe?
La raison pour laquelle personne n’utilise vraiment les phrases de passe, c’est que… eh bien, c’est un concept encore nouveau et les vieilles habitudes ont la vie dure. Pensez-y : pouvez-vous nommer un seul site web qui vous demande une phrase de passe plutôt qu’un mot de passe? Je parie que rien ne vous vient à l’esprit. Nos cerveaux ont été bien entraînés à penser « mot de passe », pas « phrase de passe ». En fait, pendant des années, quand on essayait de mettre un espace entre des caractères dans un mot de passe, le logiciel ou le système qu’on voulait utiliser nous criait dessus : PAS D’ESPACES!
Mais il n’est jamais trop tard pour prendre de meilleures habitudes, et on peut espérer aller vers un avenir où les phrases de passe sont partout… et où les mots de passe, c’est old school.
Toujours plus fort avec la double authentification (2FA)
Il faut aussi rappeler que se fier uniquement aux phrases de passe ou aux mots de passe ne suffit pas pour être pleinement protégé contre les pirates, le hameçonnage et les autres tentatives de contourner l’authentification. C’est pourquoi il est sage d’ajouter la 2FA comme couche de sécurité supplémentaire à vos comptes. On n’est jamais trop prudent, n’est-ce pas?
Et chez vous, dans votre organisation?
Votre organisation utilise-t-elle des phrases de passe plutôt que des mots de passe? Partagez votre expérience avec les utilisateurs finaux que vous côtoyez. Changent-ils leurs habitudes pour faire partie de la solution en cybersécurité, ou passez-vous beaucoup de temps à les empêcher d’être le maillon le plus faible de la chaîne? Laissez un commentaire ci-dessous.
Steven Lafortune
Coralie Lemasson