Le changement fréquent de mot de passe pourrait rendre les systèmes moins sécurisés
Contrairement à ce que l'on croit, révèlent des études

Le , par Michael Guilloux

61PARTAGES

12  0 
Quelle stratégie de changement de mot de passe utilisez-vous quand cela ne vous est pas imposé ?
Il est très fréquent d’entendre parmi les professionnels de l’informatique et au sein des entreprises qu’il faut changer fréquemment ses mots de passe, par mesure de sécurité. Cela est considéré depuis longtemps comme une bonne pratique et pour cette raison, on voit certains services en ligne imposer à leurs utilisateurs de changer leur mot de passe au bout d’une certaine période. Cela est également observé dans certaines entreprises, mais est-ce vraiment une pratique à recommander du point de vue de la sécurité ?

À cette question, d’aucuns répondraient bien sûr sans se poser de question, mais pour la FTC et d’autres organisations américaines, cela est vivement déconseillé pour la sécurité de vos comptes. Cela n’offrirait en réalité pas autant de protection que l’on pourrait le penser, mais au contraire pourrait rendre le mot de passe de l’utilisateur plus facile à deviner par les pirates. En d’autres termes, cela rendrait les systèmes moins sécurisés.

Lorrie Cranor est professeur à l’université Carnegie-Mellon (USA) et depuis le mois de janvier de cette année est devenue chief technologist à la Federal Trade Commission (FTC) des États-Unis. Tout juste après avoir débuté à son nouveau poste, elle a remis en cause un tweet officiel de la FTC dans lequel l’agence a recommandé aux internautes d’encourager leurs proches à changer fréquemment leurs mots de passe. Elle a donc approché le directeur des systèmes d’information et le chef de la sécurité de la FTC pour réfuter ce que ces derniers y compris de nombreux professionnels de l’IT ont toujours cru être une bonne pratique en matière de sécurité. Un peu sceptique, le DSI de la FTC lui a demandé d’en fournir la preuve avec des études scientifiques, ce qu’elle a d’ailleurs fait avec plaisir.

Les études présentées par le professeur Lorrie Cranor montrent que les changements fréquents de mot de passe ne contribuent point à améliorer la sécurité, mais la rendent au contraire encore pire étant donné que cela encourage l'utilisation de mots de passe qui sont plus faciles à mémoriser, donc également plus faciles à deviner pour les pirates.

Dans l’une de ces études datant de 2010, des chercheurs ont analysé des données de plus de 10 000 comptes réels d’anciens employés, professeurs et étudiants d’une université américaine. Les propriétaires de ces comptes devaient modifier leur mot de passe tous les trois mois. Les chercheurs ont donc reçu les différents mots de passe utilisés par ceux-ci, non seulement leurs derniers mots de passe, mais également ceux qui ont été utilisés au fil du temps, alors qu’ils étaient encore dans cette université.

L’étude de ces données a permis aux chercheurs d’identifier des techniques communes utilisées par les titulaires des comptes alors qu’ils étaient tenus de changer fréquemment leurs mots de passe. Ces derniers utilisent des mots de passe de base relativement faciles à retenir, puis appliquent certaines transformations simples pour aboutir à un nouveau mot de passe. Par exemple, le mot de passe developpez#1 peut évoluer pour devenir dEveloppez#1 lors du premier changement puis deVeloppez#1 lors du second changement, ainsi de suite ; ou developpez#11 lors du premier changement puis developpez#111 lors du second changement, ainsi de suite ; ou encore developpez#2 puis developpez#3, etc.

Lorsqu’ils doivent changer fréquemment leurs mots de passe, les utilisateurs choisissent donc pour un mot de passe facile à retenir, plutôt qu’un mot de passe complexe. Ils conservent donc leur ancien mot de passe au fil du temps en appliquant simplement une petite règle de transformation pour aboutir à un nouveau mot de passe, quand le moment de les changer arrive. Ils font alors fi des règles de sophistication qui recommandent par exemple d'utiliser dans le mot de passe des lettres majuscules, des lettres minuscules, des chiffres de la base 10 (0 à 9), des caractères non alphanumériques (tels que le point d'exclamation (!), le symbole dollar ($), le signe dièse (#) ou le pour cent (%)), un nombre minimal de caractères, etc. Ce qui fait que le résultat escompté en leur demandant de changer régulièrement leurs mots de passe n’est pas atteint, mais c’est plutôt le résultat contraire qui est observé.

À partir de leurs résultats, les chercheurs ont développé des algorithmes qui ont permis de prédire avec une bonne précision l’évolution des mots de passe. Pour 17 % des comptes qu’ils ont étudiés, en connaissant le mot de passe précédent, l’algorithme a permis de deviner le nouveau mot de passe au bout de 5 essais. En ayant en plus accès au fichier de mot de passe hashé, pour 41 % de ces comptes, il a été possible de deviner le nouveau mot de passe en 3 secondes par compte, à partir d’un ordinateur dédié avec des caractéristiques typiques de l’année 2009, a expliqué le professeur Lorrie Cranor dans un billet de blog en mars dernier.

Ce n’est pas la seule étude qu’elle a présentée qui a permis de tirer cette conclusion au sujet du changement fréquent des mots de passe. Les preuves scientifiques sont nombreuses. Cela a permis aujourd’hui à la FTC de s’inscrire dans la liste des organisations aux États-Unis qui ont mis fin au changement fréquent des mots de passe. Si pour une raison ou une autre, l’IT n’a pas d’autres choix que d’exiger le changement fréquent de mots de passe, Lorrie Cranor recommande dans ce cas d’encourager l’utilisation d’un gestionnaire de mots de passe. Si les gestionnaires de mots de passe ne sont pas parfaits, ils peuvent être une « stratégie très raisonnable » étant donné qu’ils ne poussent pas les utilisateurs à arbitrer entre un mot de passe fort et un mot de passe facile à retenir.

Lorrie Cranor précise toutefois que cela ne veut pas non plus dire qu’il ne faut jamais changer de mot de passe. Cela veut simplement dire que le changement fréquent de mot de passe n’est pas nécessaire à partir du moment où l’utilisateur a un mot de passe fort. Si elle avait déjà publié un billet sur ce sujet en mars dernier, le professeur Cranor est revenue sur ce point à la PasswordsCon 2016, une partie de la conférence sur la sécurité BSides, qui s’est déroulée à Las Vegas Nevada du 2 au 3 août 2016.

Source : Blog FTC

Et vous ?

Qu’en pensez-vous ?
Quelle stratégie de changement de mot de passe utilisez-vous quand cela ne vous est pas imposé ? Quels sont ses avantages ?

Voir aussi :

59 % des consommateurs américains réutilisent leurs mots de passe sur la toile, selon Password Boss, et 43 % préfèrent les noter sur du papier

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Alvaten
Membre éprouvé https://www.developpez.com
Le 04/08/2016 à 9:44
Pour moi ce n'est pas une surprise ça fait un moment que l'on connait ce genre de problèmes. Il faut mieux former les utilisateurs pour qu'ils choisissent un bon mot de passe plutôt que de leur imposer des règles farfelues qui vont uniquement l'encourager à choisir un mot de passe faible ou à le noter sur un post-it.

Pour l'utilisateur "lambda" je trouve ça logique qu'il ai simplement envie d'incrémenter un chiffre quand on le force à changer son mot de passe tout trois mois ... surtout que si c'est la session de son poste de travail pas moyen d'utiliser de gestionnaire de mot de passe.
Avatar de TiranusKBX
Expert confirmé https://www.developpez.com
Le 04/08/2016 à 9:50
Sur mon compte Office 365 je change complètement de mot de passe tous les 3 mois(on ne me laisse pas le choix) c'est sans doute dus au fait que je suis formé à la sécurité informatique
Avatar de XanatosAO
Membre régulier https://www.developpez.com
Le 04/08/2016 à 10:04
Je ne suis pas trop surpris par cette étude pour les systèmes imposant le changement de mot de passe régulièrement ;
Mot de passe facile à deviner ou mieux encore : un post-it sur le bureau ou l'écran avec le mot de passe inscrit dessus

J'utilise régulièrement 5 mots de passe "complexes" : chiffres, lettres, caractères spéciaux, majuscules, minuscules, +8 caractères, aucune logique dans l'enchaînement des caractères.

Etant développeur, je pense être un utilisateur averti, même si je ne suis pas à l'abri d'une erreur bien sur.
Jusqu'à présent, je n'ai jamais eu aucun soucis de mot de passe mais je suis toujours près à le modifier à la moindre suspicion.
Avatar de Spleeen
Membre régulier https://www.developpez.com
Le 04/08/2016 à 12:58
Je ne connais pas l'auteur de cet article, mais il est d'un confus...
En plus de se répéter énormément : "idée reçue", "ce n'est pas ce qu'on croit". Merci au bout de dixième fois on avait compris... mais explique pourquoi .

"Ces derniers utilisent des mots de passe de base relativement faciles à retenir"
puis "Par exemple, le mot de passe developpez#1 peut évoluer pour devenir dEveloppez#1" etc.

Je dirai donc qu'il se complexifie, min → maj. Même en ajoutant des chiffres qui se répètent ça le complexifie (pas de beaucoup c'est sûr mais tout de même).

Oui connaître les mdp précédents permettent d'aider pour trouver les suivants, c'est pas nouveaux ça.
Mais c'est tout de même un POIL plus costaud que de garder toujours le même.
Pour moi c'est article connait un sérieux problème de logique.
Avatar de amine.hirri
Membre habitué https://www.developpez.com
Le 04/08/2016 à 13:47
Dans l’une de ces études datant de 2010, des chercheurs ont analysé des données de plus de 10 000 comptes réels d’anciens employés, professeurs et étudiants d’une université américaine. Les propriétaires de ces comptes devaient modifier leur mot de passe tous les trois mois. Les chercheurs ont donc reçu les différents mots de passe utilisés par ceux-ci, non seulement leurs derniers mots de passe, mais également ceux qui ont été utilisés au fil du temps, alors qu’ils étaient encore dans cette université.
Comment ils ont pu récupérer ces mots de passe? à mes connaissances, on stock jamais le mot de passe en clair, plutôt on stock son hashcode !!
La vraie problématique de sécurité commence ici
Avatar de Matthieu Vergne
Expert éminent https://www.developpez.com
Le 04/08/2016 à 13:49
Citation Envoyé par Spleeen Voir le message
Je ne connais pas l'auteur de cet article, mais il est d'un confus...
En plus de se répéter énormément : "idée reçue", "ce n'est pas ce qu'on croit". Merci au bout de dixième fois on avait compris... mais explique pourquoi .

"Ces derniers utilisent des mots de passe de base relativement faciles à retenir"
puis "Par exemple, le mot de passe developpez#1 peut évoluer pour devenir dEveloppez#1" etc.

Je dirai donc qu'il se complexifie, min → maj. Même en ajoutant des chiffres qui se répètent ça le complexifie (pas de beaucoup c'est sûr mais tout de même).

Oui connaître les mdp précédents permettent d'aider pour trouver les suivants, c'est pas nouveaux ça.
Mais c'est tout de même un POIL plus costaud que de garder toujours le même.
Pour moi c'est article connait un sérieux problème de logique.
L'article ne fait qu'illustrer les propos avec des exemples triviaux. Cela dit il n'en reste pas moins que certains utilisent bel et bien ces stratégies. Je l'ai moi-même fait en tant qu'étudiant justement parce qu'on me forçait de le changer tous les x mois. Alors certes, mon mot de passe de base était complexe, mais les menues variations n'apportaient rien de plus, donc l'idée même de changer de mot de passe n'était pas respectée.

On obtient rarement ce qu'on veut en forçant les gens. Il faut leur donner les outils pour agir, pas leur forcer la main.
Avatar de Kikuts
Membre éclairé https://www.developpez.com
Le 04/08/2016 à 14:07
Je ne suis que trop d'accord.

Pour tout système nécessitant le changement de mdp tt les 3 mois par exemple, je prend un mdp assez complexe (mais pas aussi complexe que s'il ne devait jamais changer. Pas envie de l'oublier puis me taper la procédure de changement de mdp encore et encore) et je fais exactement ce qu'ils démontrent : je change une minuscule en majuscule.
Avatar de seblutfr
Membre confirmé https://www.developpez.com
Le 04/08/2016 à 15:10
Aucune surprise là-dedans, il ne faut pas sortir de Saint-Cyr pour deviner qu'un système trop contraignant va pousser les utilisateurs à trouver des contournements.
J'ai bossé dans une boîte où le mot de passe devait être changé chaque mois. Il n'est pas trop dur de deviner que bon nombre de comptes avaient alors le n° du mois en fin de mot de passe...
Avatar de tpericard
Membre averti https://www.developpez.com
Le 04/08/2016 à 15:46
Bonjour,

Tout à fait d'accord avec l'article, vouloir changer régulièrement des mots de passe n'est pas une bonne stratégie en soit.

Un point supplémentaire non évoqué est la répétition des mots de passe ... je m'explique :
- sur un système donné, pour une "occupation" donnée vous avez rarement un SEUL mot de passe mais plusieurs avec des périodicités de changement parfois différentes. Il devient alors bien difficile d'innover pour chaque cas, et la tentation est grande de prendre toujours le même avec par exemple des variantes sur le mois, l'année, le mois et l'année, un compteur simple, etc ...
D'où un double danger, c'est 'à peu près' le même mot de passe pour tout, et devant la multiplicité des mots de passe, la tentation est grande aussi de les noter sur un "post-it" (papier ou électronique). Ce qui est au niveau sécurité n'est pas top

Que faire alors ? Tenter d'avoir le mot de passe le plus difficile à trouver, quitte à faire des variantes simples ...
Avatar de Carhiboux
Expert éminent sénior https://www.developpez.com
Le 04/08/2016 à 15:47
Dans une boite que je ne citerait pas, un ancien collègue que je ne nommerait pas en avait tellement marre de devoir changer de mot de passe tous les 3 mois.

Comme la règle était qu'on ne pouvait pas utiliser un de ses 5 précédents mots de passe, il a simplement crée un script pour changer de mot de passe 6 fois de suite pour toujours avoir le même mot de passe.

Par contre, les gestionnaires de mot de passe, je suis pas super chaud. Centraliser tous les mots de passe à un seul endroit me semble un peu risqué.

Pour ma part, je procède de la sorte :

Mon mot de passe pour ma session au boulot est unique. Change tous les 3 mois (par obligation, et j'avoue, j'use d'un incrément).

Ma boite mail principale à un mot de passe unique et complexe.

J'ai un mot de passe à part et complexe aussi pour les accès de ma banque en ligne.

Pour le reste, j'ai un mot de passe unique, que j'adapte en fonction des contraintes sur le sites, par exemple si il faut y avoir une majuscule ou un caractère non alpha.

Ca me fait 4 mots de passe à retenir, ce qui n'est pas super sorcier quand même il me semble. On retient des choses beaucoup plus futiles que ça sans aucun problème quand même!
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web