Il est très fréquent d’entendre parmi les professionnels de l’informatique et au sein des entreprises qu’il faut changer fréquemment ses mots de passe, par mesure de sécurité. Cela est considéré depuis longtemps comme une bonne pratique et pour cette raison, on voit certains services en ligne imposer à leurs utilisateurs de changer leur mot de passe au bout d’une certaine période. Cela est également observé dans certaines entreprises, mais est-ce vraiment une pratique à recommander du point de vue de la sécurité ? À cette question, d’aucuns répondraient bien sûr sans se poser de question, mais pour la FTC et d’autres organisations américaines, cela est vivement déconseillé pour la sécurité de vos comptes. Cela n’offrirait en réalité pas autant de protection que l’on pourrait le penser, mais au contraire pourrait rendre le mot de passe de l’utilisateur plus facile à deviner par les pirates. En d’autres termes, cela rendrait les systèmes moins sécurisés.
Lorrie Cranor est professeur à l’université Carnegie-Mellon (USA) et depuis le mois de janvier de cette année est devenue chief technologist à la Federal Trade Commission (FTC) des États-Unis. Tout juste après avoir débuté à son nouveau poste, elle a remis en cause un tweet officiel de la FTC dans lequel l’agence a recommandé aux internautes d’encourager leurs proches à changer fréquemment leurs mots de passe. Elle a donc approché le directeur des systèmes d’information et le chef de la sécurité de la FTC pour réfuter ce que ces derniers y compris de nombreux professionnels de l’IT ont toujours cru être une bonne pratique en matière de sécurité. Un peu sceptique, le DSI de la FTC lui a demandé d’en fournir la preuve avec des études scientifiques, ce qu’elle a d’ailleurs fait avec plaisir.
Les études présentées par le professeur Lorrie Cranor montrent que les changements fréquents de mot de passe ne contribuent point à améliorer la sécurité, mais la rendent au contraire encore pire étant donné que cela encourage l'utilisation de mots de passe qui sont plus faciles à mémoriser, donc également plus faciles à deviner pour les pirates.
Dans l’une de ces études datant de 2010, des chercheurs ont analysé des données de plus de 10 000 comptes réels d’anciens employés, professeurs et étudiants d’une université américaine. Les propriétaires de ces comptes devaient modifier leur mot de passe tous les trois mois. Les chercheurs ont donc reçu les différents mots de passe utilisés par ceux-ci, non seulement leurs derniers mots de passe, mais également ceux qui ont été utilisés au fil du temps, alors qu’ils étaient encore dans cette université.
L’étude de ces données a permis aux chercheurs d’identifier des techniques communes utilisées par les titulaires des comptes alors qu’ils étaient tenus de changer fréquemment leurs mots de passe. Ces derniers utilisent des mots de passe de base relativement faciles à retenir, puis appliquent certaines transformations simples pour aboutir à un nouveau mot de passe. Par exemple, le mot de passe developpez#1 peut évoluer pour devenir dEveloppez#1 lors du premier changement puis deVeloppez#1 lors du second changement, ainsi de suite ; ou developpez#11 lors du premier changement puis developpez#111 lors du second changement, ainsi de suite ; ou encore developpez#2 puis developpez#3, etc.
Lorsqu’ils doivent changer fréquemment leurs mots de passe, les utilisateurs choisissent donc pour un mot de passe facile à retenir, plutôt qu’un mot de passe complexe. Ils conservent donc leur ancien mot de passe au fil du temps en appliquant simplement une petite règle de transformation pour aboutir à un nouveau mot de passe, quand le moment de les changer arrive. Ils font alors fi des règles de sophistication qui recommandent par exemple d'utiliser dans le mot de passe des lettres majuscules, des lettres minuscules, des chiffres de la base 10 (0 à 9), des caractères non alphanumériques (tels que le point d'exclamation (!), le symbole dollar ($), le signe dièse (#) ou le pour cent (%)), un nombre minimal de caractères, etc. Ce qui fait que le résultat escompté en leur demandant de changer régulièrement leurs mots de passe n’est pas atteint, mais c’est plutôt le résultat contraire qui est observé.
À partir de leurs résultats, les chercheurs ont développé des algorithmes qui ont permis de prédire avec une bonne précision l’évolution des mots de passe. Pour 17 % des comptes qu’ils ont étudiés, en connaissant le mot de passe précédent, l’algorithme a permis de deviner le nouveau mot de passe au bout de 5 essais. En ayant en plus accès au fichier de mot de passe hashé, pour 41 % de ces comptes, il a été possible de deviner le nouveau mot de passe en 3 secondes par compte, à partir d’un ordinateur dédié avec des caractéristiques typiques de l’année 2009, a expliqué le professeur Lorrie Cranor dans un billet de blog en mars dernier.
Ce n’est pas la seule étude qu’elle a présentée qui a permis de tirer cette conclusion au sujet du changement fréquent des mots de passe. Les preuves scientifiques sont nombreuses. Cela a permis aujourd’hui à la FTC de s’inscrire dans la liste des organisations aux États-Unis qui ont mis fin au changement fréquent des mots de passe. Si pour une raison ou une autre, l’IT n’a pas d’autres choix que d’exiger le changement fréquent de mots de passe, Lorrie Cranor recommande dans ce cas d’encourager l’utilisation d’un gestionnaire de mots de passe. Si les gestionnaires de mots de passe ne sont pas parfaits, ils peuvent être une « stratégie très raisonnable » étant donné qu’ils ne poussent pas les utilisateurs à arbitrer entre un mot de passe fort et un mot de passe facile à retenir.
Lorrie Cranor précise toutefois que cela ne veut pas non plus dire qu’il ne faut jamais changer de mot de passe. Cela veut simplement dire que le changement fréquent de mot de passe n’est pas nécessaire à partir du moment où l’utilisateur a un mot de passe fort. Si elle avait déjà publié un billet sur ce sujet en mars dernier, le professeur Cranor est revenue sur ce point à la PasswordsCon 2016, une partie de la conférence sur la sécurité BSides, qui s’est déroulée à Las Vegas Nevada du 2 au 3 août 2016.
Source : Blog FTC
Et vous ?
Qu’en pensez-vous ? Quelle stratégie de changement de mot de passe utilisez-vous quand cela ne vous est pas imposé ? Quels sont ses avantages ?Voir aussi :
59 % des consommateurs américains réutilisent leurs mots de passe sur la toile, selon Password Boss, et 43 % préfèrent les noter sur du papier 
Envoyé par Spleeen
.
).