Journée du mot de passe : l’erreur que nous faisons tous depuis 20 ans

Une tradition qui a pris un sacré coup de vieux

C’est un rendez-vous qui revient avec la régularité d’un métronome. Ce dimanche 1er février, c’est la Journée internationale du changement de mot de passe, une tradition semble de plus en plus dépassée face aux évolutions des pratiques de cybersécurité. Pourtant, ce qui ressemblait autrefois à une règle d'or de la sécurité informatique est en train de devenir un conseil presque contre-productif. À l'origine, on pensait que modifier régulièrement ses codes d'accès permettait de garder une longueur d'avance sur les pirates. Sauf qu'avec le temps, les experts se sont rendu compte que cette habitude créait plus de failles qu'elle n'en colmatait. Les internautes, lassés de devoir mémoriser de nouvelles combinaisons tous les quatre matins, finissent par céder à la facilité.

Le grand regret de l'inventeur des règles de sécurité

Pour comprendre comment on en est arrivé là, il faut remonter à 2003. À l'époque, un certain Bill Burr rédige ce qui deviendra la bible de la cybersécurité pour le compte du NIST américain. C’est lui qui a instauré ces fameuses contraintes que nous avons tous détestées : l'obligation de mixer des chiffres, des majuscules et des caractères spéciaux, le tout renouvelé tous les trois mois. Seulement voilà, en 2017, l'homme a fait son « mea culpa » dans les colonnes du Wall Street Journal. Il a admis s'être trompé. Ces règles ne rendaient pas les systèmes plus sûrs, elles rendaient juste la vie des utilisateurs impossible. En forçant la rotation des codes, on a poussé les gens à adopter des schémas prévisibles, comme changer simplement le chiffre à la fin d'un mot ou coller un post-it sur l'écran.

Pourquoi la fatigue numérique nous rend vulnérables

Le problème est avant tout humain. Quand un service vous oblige à changer de code alors que vous n'avez rien demandé, votre cerveau cherche le chemin le plus court. On passe de "Marseille01!" à "Marseille02!", et ainsi de suite. Pour un hacker, c'est du pain bénit. S'il parvient à mettre la main sur une ancienne version de vos identifiants, il n'aura aucun mal à deviner la suivante. C'est ce qu'on appelle la fatigue cognitive : à force d'être sollicités, nous devenons prévisibles. Les études montrent que cette rotation forcée réduit en réalité la complexité globale des protections choisies par les gens. Au final, on se retrouve avec des clés de maison de plus en plus fragiles alors que les cambrioleurs, eux, disposent d'outils de plus en plus sophistiqués.

La longueur, c’est le nouveau muscle de vos comptes

Aujourd'hui, le discours a radicalement changé. On ne parle plus de renouvellement périodique, mais de robustesse durable. La nouvelle consigne est simple : créez une protection solide une bonne fois pour toutes et n'y touchez plus, sauf si vous avez une preuve formelle que le site en question a été piraté. Pour rendre une entrée infranchissable, la longueur est votre meilleure alliée. Un ordinateur mettra des siècles à craquer une phrase longue et absurde, même simple, alors qu'il ne lui faudra que quelques secondes pour un code court rempli de caractères spéciaux complexes. Imaginez une phrase comme « LeChatVertDanseSurLeToit » ; c'est beaucoup plus efficace que « P@$$w0rd! ».

Les pièges classiques à éviter absolument

Malgré toutes les campagnes de prévention, les classements des mots de passe les plus utilisés chaque année font froid dans le dos. On y retrouve encore les indétrônables « 123456 », « password » ou les suites de touches comme « azerty » ou « qwerty ». Si vous utilisez votre prénom, votre date de naissance ou le nom de votre animal de compagnie, vous facilitez énormément le travail des logiciels de piratage qui testent des milliers de combinaisons par seconde. Il faut sortir de cette logique de facilité. Voici quelques réflexes à bannir :

• Utiliser le même code pour votre boîte mail et votre compte de shopping en ligne.
• Choisir des mots qui figurent dans le dictionnaire.
• Noter ses accès dans un fichier "mots_de_passe.txt" sur son bureau d'ordinateur.
• Se contenter du nom de sa ville ou de son club de foot préféré.

Le danger des données qui traînent partout

Il faut bien comprendre que le contexte a radicalement changé ces derniers mois. Avec la multiplication des fuites de données massives qui touchent aussi bien les mutuelles que les sites de vente en ligne ou ceux du gouvernement, une quantité astronomique de nos informations personnelles circule déjà sur le web. Pour un pirate, il n'est plus nécessaire de deviner votre mot de passe au hasard. En croisant quelques fichiers volés, il peut facilement associer votre nom, votre ville et votre date de naissance. Si votre code secret repose sur l'un de ces éléments, vous lui facilitez grandement la tâche. Aujourd'hui, un mot de passe basé sur votre identité réelle n'est plus une protection, c'est presque une invitation, car vos informations privées ne sont malheureusement plus si privées que ça.

Le secret d'une combinaison vraiment solide

Si vous tenez à créer vos propres codes, il existe des astuces pour les rendre complexes tout en restant mémorisables. L'idée est de déstructurer les informations que vous connaissez. Par exemple, au lieu d'utiliser simplement « Noopy20137 », vous pouvez fragmenter le mot et y insérer des barrières : "!Noo20Py137". C’est visuellement plus chaotique pour une machine, mais pour vous, la logique reste la même. L'important est de ne jamais utiliser d'informations publiques ou facilement trouvables sur vos réseaux sociaux. Si vous postez tous les jours des photos de votre chat « Mistigri », ne soyez pas surpris que ce soit le premier mot testé par un algorithme malveillant. Vous pouvez aussi vous servir de notre « méthode mnémotechnique pour retenir facilement vos mots de passe ».

Les outils qui travaillent à votre place

Soyons honnêtes, personne ne peut retenir cinquante codes différents et complexes. C'est là qu'interviennent les gestionnaires de mots de passe. Ce sont des coffres-forts numériques qui retiennent tout pour vous. Vous n'avez plus qu'à mémoriser une seule « clé maîtresse » très robuste, et le logiciel s'occupe de générer et d'entrer des suites de caractères aléatoires sur chaque site que vous visitez. C'est sans doute l'outil le plus indispensable aujourd'hui pour quiconque passe du temps sur le web. Cela élimine d'un coup le stress de l'oubli et la tentation de la réutilisation, qui est la faille numéro un exploitée par les pirates.

La véritable révolution : la double vérification

S'il n'y avait qu'une seule chose à retenir pour sécuriser votre vie numérique, c'est l'authentification à deux facteurs, ou A2F. C'est ce système qui vous demande une confirmation sur votre téléphone après avoir tapé votre mot de passe. Même si un pirate parvient à voler vos identifiants à l'autre bout du monde, il restera bloqué devant la porte car il n'aura pas votre mobile entre les mains. Que ce soit par un code reçu par SMS ou via une application dédiée comme Google Authenticator, cette deuxième barrière est aujourd'hui la seule protection vraiment efficace contre la majorité des attaques automatisées.

L'identifiant, cet oublié de la sécurité

Et même si tout le monde semble se focaliser sur son mot de passe, il ne faut pas oublier son compère indissociable sur la plupart des sites web. On y pense moins souvent, mais l'identifiant est tout aussi crucial que le mot de passe. Trop souvent, nous utilisons notre adresse email principale pour tous nos comptes. C'est donner la moitié du puzzle aux pirates gratuitement. Quand un site vous permet de choisir un pseudonyme unique, profitez-en. Évitez votre nom réel et préférez quelque chose de neutre, comme « Vtt2a-88 » ou « Lutin-Bleu-50 ». Plus vos informations de connexion sont dissociées de votre identité réelle, plus il sera difficile pour un attaquant de faire le lien entre vos différents comptes et de tenter de vous usurper.

Alors, on fait quoi pour cette journée spéciale ?

Finalement, cette journée internationale n'est pas totalement inutile si on la voit comme une séance de nettoyage annuel plutôt que comme une corvée de changement systématique. Profitez de ce dimanche pour faire le tour de vos comptes les plus sensibles, comme votre banque ou votre boîte mail principale. Si vous utilisez encore le nom de votre premier chien ou une suite de chiffres évidente, c'est le moment d'agir. Mais ne changez pas pour changer. Optez pour la robustesse, installez un gestionnaire, et surtout, activez cette fameuse double authentification partout où c’est possible. C’est sans doute le meilleur cadeau que vous puissiez faire à votre tranquillité numérique.

À vos claviers !