Mots de passe les plus courants : les internautes ne comprendront-ils donc jamais ?

J’avais une ancienne pote … son mot de passe c’était son prénom et son nom à la suite … Niveau sécurité elle était totalement zéro… Elle cliquait dans des faux liens croyant que c’était sa banque, et elle s’était fait arnaqué de 1500 balles sur son compte, quand on est con … xD

Il faut surtout être fou pour laisser ses mots de passes à Nordpass qui s’empresse de les étudier, et de jouer avec, comme on peut le voir dans cette étude.
C’est une question de confiance.

Et ils se vantent d’avoir une architecture sans connaissance des données…

https://support.nordpass.com/hc/en-us/articles/360002378858-What-is-a-zero-knowledge-architecture-

Mais ça ne les empêche visiblement pas d’utiliser les données de leurs utilisateurs à des fins d’autopromotion, et en plus à leurs dépens. Regardez comme nos pigeons de clients sont cons avec leurs mots de passe pourris.

En même temps on demande des mots de passe pour tellement de choses, on ne met des mots de passe compliqués que lorsque que c’est important ou parce que l’administrateur du site a la grosse tête en surestimant l’importance des comptes de son site ce qui arrive malheureusement de plus en plus souvent.

« x4ivygA51F » et « Bajaonel12 » sont les mots de passe les plus sécurisés du top 200. Il faut environ 12 jours pour les craquer.

Euh, sympa de les diffuser du coup ? Ils vont vite chuter du classement

Sinon, j’aimerais bien savoir si on se parle de mots de passe fréquemment utilisés ou juste enregistrés. Car on a tous dans nos sauvegardes de mots de passe des sites qu’on n’utilise plus depuis des années voire qu’on a utilisé qu’une fois… j’imagine que ça doit peser dans les résultats.

Sinon, on peut rappeler qu’un mot de passe « Maison+Dragon+Soleil » reste quand même assez sécurisé par sa longueur, l’ordre des mots, les majuscules, le caractère spécial… et permet de s’en souvenir !

Avec la génération automatique, la synchro des mots de passe et les SSO, ça commence à être un peu plus facile d’avoir des accès protégés partout.

Par contre, dès que t’es pas sur un de tes devices qui a accès à ton trousseau, tu réalises que tu connais plus aucun mot de passe, c’est gênant.
Typiquement, sur mon PC de travail il m’arrive d’avoir besoin de me connecter à des comptes persos, pourtant j’ai pas trop envie d’y charger tout mes mots de passe.

C’est exactement pour ça que je ne comprends pas l’attrait des gestionnaires de mots de passe. A titre personnel j’ai l’impression que le passphrase avec caractères spéciaux est la meilleure façon d’avoir un mot de passe sécurisé que l’on retient sans peine.

J’utilise un gestionnaire de mot de passe (un truc gratuit open source : Keepass) depuis environ 6 ans, et j’avoue avoir du mal à comprendre comment faire sans, sauf à entrer le même mot de passe partout, ou à utiliser des mots de passe simple

Dans les deux cas les buts sont identiques : arriver à s’en souvenir, et, aussi, tout faire pour ouvrir la porte aux pirates

J’essaie de convertir mon entourage à l’utilisation d’un gestionnaire, mais la résistance à cet usage est incroyable. Il faut que les gens se fassent pirater, voire dépouiller, pour comprendre. Et encore, même ceux à qui ça arrive refusent d’envisager la solution du gestionnaire

Bref les pirates, même amateurs, ont de beaux jours devant eux

PS : rien à voir mais un peu quand même, je viens d’attaquer la série Mr ROBOT sur Netflix. Formidable !

1. Tout d’abord, afin qu’il n’y ait pas de malentendu, je sécurise à fond mes mots de passes.
   Donc si je prend la défense de l’utilisateur « lambda » ce n’est pas parce que moi-même j’ai ce genre de travers.

Ceci dit, je suis tout de même stupéfait de la chasse aux sorcières non faites aux pirates, mais aux usagers.

Si je m’en réfère à des façons de faire dans pleins de domaines, cela semble être la règle de s’en prendre aux victimes plutôt qu’aux agresseurs.
Je me verrais mal invectiver une victime de viol car elle n’a pas fait attention à sa tenue, plutôt que de renforcer les outils pour empêcher que cela se produise.

Cela n’enlève pas la prévention personnelle, mais il ne faudrait pas se tromper de coupables.

2. Les fameux gestionnaires de mot de passe, ne sont pour moi, pas une garantie de sécurité.

Quand ils sont locaux il faut faire attention d’avoir une sauvegarde de la config car si on doit changer ou formater son ordi, on perd tout. Surtout pour moi qui ait plusieurs terminaux personnels et professionnels avec des systèmes différents (PC, Mac, Linux, Solaris …)

Quand ils sont hébergés, certains ont des coûts non négligeables, et si on est protégés des hackers du dimanche, on est quand même à la merci d’entreprises privées.
C’est d’ailleurs le même problème pour les vpn, ils n’empêchent pas une exploitation soit par l’entreprise, des « partenaires » et de la justice (on est d’accord pour certains faits odieux c’est tant mieux)

3. Enfin, croyez-vous sincèrement que la « force brute » (trouver un mot de passe par décryptage en les faisant tous ou par algorithme maison sans s’en référer à des astuces ou des mots de passes faciles) n’arrivera pas à avoir raison de n’importe quelle complexité de mot de passe un jour proche ?

Vous auriez tort de pensez qu’un cryptage sur 256bits, même 2048 sera suffisant, car avec l’informatique quantique cela va tout exploser toutes nos certitudes

rien de mieux que la phrase de passe
du genre
JhabitEdansTelleVilleAunumro@
on risque pas d’oublier et c’est pas facile à trouver

3 sextillion d’année pour mon mot de passe actuel
ca va j’ai le temps de voir venir XD
et pour ceux qu on pas compris
go Keepass ou autres