En 2003, Bill Burr, un ingénieur de niveau intermédiaire au National Institute of Standards and Technology (NIST), s’est vu confier la lourde charge d’élaborer un guide de bonnes pratiques pour l’adoption des mots de passe difficiles à pirater afin que l’agence du département de Commerce des États-Unis chargée de faire la promotion de l’économie en développant les technologies, la météorologie et des standards puisse s’en servir pour sensibiliser les acteurs du monde technologique.Après avoir effectué ses études, Bill Burr a sorti un document de huit pages baptisé « NIST Special Publication 800-63. Appendix A ». Dans ce guide, l’auteur conseille aux utilisateurs d’utiliser une série combinée de chiffres, lettres majuscules et minuscules et de caractères spéciaux pour élaborer des mots de passe forts. À cette recommandation, il préconise de changer de mots de passe régulièrement.
Ces conseils qui ont été dans un premier temps adoptés par les agences fédérales américaines ont fini par devenir une norme mondiale au niveau des entreprises, des universités, sur le web, sur les appareils mobiles afin de définir des mots de passe difficiles à deviner. Mais après quatorze ans, Bill Burr est revenu il y a quelques jours sur ses recommandations faites en 2003 et a admis humblement qu’il regrettait avoir émis toutes ces recommandations pour plusieurs raisons.
D’abord, l’ingénieur de 72 ans à la retraite maintenant souligne que composer des mots de passe forts avec des lettres majuscules et minuscules, des caractères spéciaux et des chiffres s’avèrent assez fastidieux à saisir régulièrement et exige beaucoup de contorsions des doigts. En second point, il ajoute que lorsque l’on demande aux utilisateurs de changer de mots de passe régulièrement, ils préfèrent faire de simples changements mineurs de leur ancien mot de passe. Par exemple, lorsqu’un utilisateur avec pour mot de passe « Px!@Elz42 » doit le changer, au lieu d’adopter radicalement un nouveau mot de passe sans lien apparent avec l’ancien, dans de nombreux cas, on pourra voir un simple réajustement de l’ancien qui donnera par exemple le mot de passe « Px!@Elz52 » afin de pouvoir se souvenir assez facilement de ce nouveau mot de passe. En procédant ainsi, Bill Burr explique que cela laisse la porte ouverte aux pirates de facilement deviner le nouveau mot de passe, même s’il est conçu de manière complexe.
Lorsque Bill Burr élaborait son document en 2003, il ne disposait pas de données empiriques sur la sécurité des mots de passe. Burr s’est donc tourné vers les administrateurs réseau du NIST pour étudier les mots de passe des utilisateurs afin de sortir des recommandations en phase avec la réalité, mais ces derniers ont opposé un refus en mettant en avant la vie privée des utilisateurs. Mais avec les différentes fuites données et les mots de passe qui sont vendus sur le web, les chercheurs en sécurité ont pu se convaincre, à la lumière des données disponibles, que les utilisateurs ne changent pas radicalement de mots de passe lorsqu’ils doivent le faire, mais plutôt gravitent autour d’un même mot de passe lorsque le changement s’impose. À ce sujet, plusieurs références en matière de mots de passe les plus utilisés sont éditées chaque année et préconisent d’éviter un certain nombre de mots de passe même s’ils sont conçus de manière complexe.
Cette tendance à réutiliser des mots de passe relèverait du fait que de nombreux utilisateurs trouvent difficile de mémoriser de nouveaux mots de passe dans un intervalle assez court et pour plusieurs comptes différents. Burr lui-même conclut qu’en « fin de compte, il était probablement trop compliqué pour beaucoup de gens de bien comprendre » et appliquer ces recommandations.
Voyant que ces recommandations ne sont plus adaptées aux réalités actuelles, le NIST a entrepris des travaux de refonte en profondeur de ce document pendant deux ans et préconise désormais de mettre de côté l’exigence de caractères spéciaux. Au lieu de composer des mots de passe complexes, le NIST recommande maintenant de composer des mots de passe avec des phrases longues et faciles à retenir au lieu de mots de passe courts et difficiles à retenir. Des chercheurs s’étaient déjà même penchés sur la question et étaient parvenus à la conclusion qu’en utilisant le mot de passe avec quatre mots aléatoires comme « correct horse battery staple », cela prendrait 550 ans à des pirates pour deviner ce mot de passe et trois jours à ces derniers pour deviner « Tr0ub4dor&3 ».
À cette première recommandation, le NIST ajoute qu’il est conseillé de changer les mots de passe uniquement lorsque des fuites ou des soupçons de fuites de données sont déclarés et non régulièrement comme cela fut préconisé par Burr.
Source : The independent
Et vous ?
Quelle est votre opinion sur les nouvelles recommandations du NIST ? Allez-vous adopter les nouvelles recommandations du NIST ?Voir aussi
Un expert en sécurité propose une liste de 320 millions de mots de passe à éviter pour renforcer la sécurité sur le Web Classement des mots de passe les plus utilisés : 123456 en tête suivi de 123456789 et qwerty, quels sont selon vous les pires mots de passe à bannir ? Classement des pires mots de passe de 2015 : « 123456 » et « password » conservent la première et seconde position 
Envoyé par seikida
)
.