L'ingénieur du NIST qui a recommandé l'adoption des MdP difficiles à retenir regrette ce conseil
Le NIST préconise les MdP longs et faciles à retenir

Le , par Olivier Famien

0PARTAGES

8  0 
En 2003, Bill Burr, un ingénieur de niveau intermédiaire au National Institute of Standards and Technology (NIST), s’est vu confier la lourde charge d’élaborer un guide de bonnes pratiques pour l’adoption des mots de passe difficiles à pirater afin que l’agence du département de Commerce des États-Unis chargée de faire la promotion de l’économie en développant les technologies, la météorologie et des standards puisse s’en servir pour sensibiliser les acteurs du monde technologique.

Après avoir effectué ses études, Bill Burr a sorti un document de huit pages baptisé « NIST Special Publication 800-63. Appendix A ». Dans ce guide, l’auteur conseille aux utilisateurs d’utiliser une série combinée de chiffres, lettres majuscules et minuscules et de caractères spéciaux pour élaborer des mots de passe forts. À cette recommandation, il préconise de changer de mots de passe régulièrement.

Ces conseils qui ont été dans un premier temps adoptés par les agences fédérales américaines ont fini par devenir une norme mondiale au niveau des entreprises, des universités, sur le web, sur les appareils mobiles afin de définir des mots de passe difficiles à deviner. Mais après quatorze ans, Bill Burr est revenu il y a quelques jours sur ses recommandations faites en 2003 et a admis humblement qu’il regrettait avoir émis toutes ces recommandations pour plusieurs raisons.

D’abord, l’ingénieur de 72 ans à la retraite maintenant souligne que composer des mots de passe forts avec des lettres majuscules et minuscules, des caractères spéciaux et des chiffres s’avèrent assez fastidieux à saisir régulièrement et exige beaucoup de contorsions des doigts. En second point, il ajoute que lorsque l’on demande aux utilisateurs de changer de mots de passe régulièrement, ils préfèrent faire de simples changements mineurs de leur ancien mot de passe. Par exemple, lorsqu’un utilisateur avec pour mot de passe « Px!@Elz42 » doit le changer, au lieu d’adopter radicalement un nouveau mot de passe sans lien apparent avec l’ancien, dans de nombreux cas, on pourra voir un simple réajustement de l’ancien qui donnera par exemple le mot de passe « Px!@Elz52 » afin de pouvoir se souvenir assez facilement de ce nouveau mot de passe. En procédant ainsi, Bill Burr explique que cela laisse la porte ouverte aux pirates de facilement deviner le nouveau mot de passe, même s’il est conçu de manière complexe.


Lorsque Bill Burr élaborait son document en 2003, il ne disposait pas de données empiriques sur la sécurité des mots de passe. Burr s’est donc tourné vers les administrateurs réseau du NIST pour étudier les mots de passe des utilisateurs afin de sortir des recommandations en phase avec la réalité, mais ces derniers ont opposé un refus en mettant en avant la vie privée des utilisateurs. Mais avec les différentes fuites données et les mots de passe qui sont vendus sur le web, les chercheurs en sécurité ont pu se convaincre, à la lumière des données disponibles, que les utilisateurs ne changent pas radicalement de mots de passe lorsqu’ils doivent le faire, mais plutôt gravitent autour d’un même mot de passe lorsque le changement s’impose. À ce sujet, plusieurs références en matière de mots de passe les plus utilisés sont éditées chaque année et préconisent d’éviter un certain nombre de mots de passe même s’ils sont conçus de manière complexe.

Cette tendance à réutiliser des mots de passe relèverait du fait que de nombreux utilisateurs trouvent difficile de mémoriser de nouveaux mots de passe dans un intervalle assez court et pour plusieurs comptes différents. Burr lui-même conclut qu’en « fin de compte, il était probablement trop compliqué pour beaucoup de gens de bien comprendre » et appliquer ces recommandations.

Voyant que ces recommandations ne sont plus adaptées aux réalités actuelles, le NIST a entrepris des travaux de refonte en profondeur de ce document pendant deux ans et préconise désormais de mettre de côté l’exigence de caractères spéciaux. Au lieu de composer des mots de passe complexes, le NIST recommande maintenant de composer des mots de passe avec des phrases longues et faciles à retenir au lieu de mots de passe courts et difficiles à retenir. Des chercheurs s’étaient déjà même penchés sur la question et étaient parvenus à la conclusion qu’en utilisant le mot de passe avec quatre mots aléatoires comme « correct horse battery staple », cela prendrait 550 ans à des pirates pour deviner ce mot de passe et trois jours à ces derniers pour deviner « Tr0ub4dor&3 ».

À cette première recommandation, le NIST ajoute qu’il est conseillé de changer les mots de passe uniquement lorsque des fuites ou des soupçons de fuites de données sont déclarés et non régulièrement comme cela fut préconisé par Burr.

Source : The independent

Et vous ?

Quelle est votre opinion sur les nouvelles recommandations du NIST ?

Allez-vous adopter les nouvelles recommandations du NIST ?

Voir aussi

Un expert en sécurité propose une liste de 320 millions de mots de passe à éviter pour renforcer la sécurité sur le Web
Classement des mots de passe les plus utilisés : 123456 en tête suivi de 123456789 et qwerty, quels sont selon vous les pires mots de passe à bannir ?
Classement des pires mots de passe de 2015 : « 123456 » et « password » conservent la première et seconde position

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de ijk-ref
Membre confirmé https://www.developpez.com
Le 10/08/2017 à 3:49
Citation Envoyé par seikida Voir le message
Moi ce que je conseille, c'est tout simplement d'utiliser un captcha efficasse tout simplement.

Sinon il y a la methode qu'emploi le site de la societe generale qui est sympa je trouve : ils generent un clavier ou les numeros sont places aleatoirement, et il faut que l'utilisateur clique sur les numeros.
Houla, t'as clairement aucune idée comment sont crackés les mots de passe. Les hackeurs s'amusent rarement à le faire via l'interface graphique car même sans captcha ou touches dans le désordre il reste le temps entre les requêtes beaucoup trop long pour tester les nombreuses possibilités sans compter qu'aucun serveur (digne de ce nom) ne laissera pas passer un nombre indéfini de mauvaises requêtes pour accéder à un compte particulier.

Non les hackeurs ont réussi a obtenir les clés "cryptées" des mots de passes et testent leur combinaison dessus. Là il n'a pas de captchas.
5  0 
Avatar de RyzenOC
Inactif https://www.developpez.com
Le 10/08/2017 à 9:50
Citation Envoyé par seikida Voir le message
Corrigez moi si je me trompe mais des que les ordinateurs quantique seront en libre circulation (= Mr tout le monde pourra facilement en acheter), ce genre de pratique (= Utiliser des mots de passe complexe) sera totalement inutile non ?
1) il existe déjà des algorithmes de chiffrement qui peuvent résister assez longtemps (des 100aines d'années) au cassage de la clé avec un hypotétique ordinateur quantique, pas de panique à ce niveau la. cf la cryptographie quantique.

2) Jusqu’à preuve du contraire, Mr tous le monde n'aura jamais d'ordinateur quantique car un ordinateur quantique n'est pas un pc. Leurs architectures font qu'ils ne peuvent que lancer un certains type de calcule (principalement les calcules de type combinatoire). Ils ne pourrons pas lancer un os et des applications.
L'idée que Mr Touslemonde aura un ordinateur quantique et qui'il pourra lancer un total war avec 6 milliars d'unité en temps réel n'est qu'une idée populaire et vaste blague/fumisterie.

l'avenir de l'informatique traditionnel consistera en la création de logiciels tirant plus partie des cpu multicoeurs et pour la 3d en des nouveaux algorithmes de rendu permettant d'augmenter le nombre de polygones sans augmenter de manière exponentiel la puissance de calcule comme le projet OctaneRender.
2  0 
Avatar de Jarodd
Membre expérimenté https://www.developpez.com
Le 10/08/2017 à 10:22
C'est pas un chercheur qui a défini les 4 mots, c'est xkcd !
2  0 
Avatar de Bousk
Rédacteur/Modérateur https://www.developpez.com
Le 10/08/2017 à 12:04
Citation Envoyé par seikida Voir le message
Sinon il y a la methode qu'emploi le site de la societe generale qui est sympa je trouve : ils generent un clavier ou les numeros sont places aleatoirement, et il faut que l'utilisateur clique sur les numeros.
Les banques en France sont à la rue total. Ceci n'est en rien une chose pratique mais fait juste chier les utilisateurs. La caisse d'épargne fait la même chose, quand ils ont mis ça en place ma seule réaction a été un facepalm.
Ici ma banque a un système de double authentification. En cas d'accès suspect, c'est bloqué avec un code et je reçois un coup de téléphone qui me demande de rentrer le code en question, pour s'assurer que c'est bien moi devant l'écran qui essaye de me connecter. Et le login est autre chose qu'une suite de 8 chiffres également..
2  0 
Avatar de Chauve souris
Membre émérite https://www.developpez.com
Le 18/08/2017 à 4:05
Citation Envoyé par athlon64 Voir le message
La puce RFID sous la peau c'est mieux

Il y a quelques années je m'en foutais à la limite qu'on me vole mon telephone portable, mais là ça devient très compliqué de se passer de son numéro/smartphone pour valider des opérations...

Il y a déjà eu des portefeuilles de mot de passes qui ont été hackés, même si c'est chiffré, la puissance des GPU actuels et même des moteurs de recherche facilite bien le travail
Le petit carnet ! C'est plus sûr ! On ne peut pas te le "hacker". Le voler tout au plus. Mais faut le vouloir. Si tu n'es qu'un petit patron de PME la CIA ne va pas t'envoyer un agent spécialement pour toi, tu peux ranger ton opinel Un loubard y essaiera de trouver le code de ta carte VISA, la seule chose que tu n'as pas mise sur ton petit carnet. Et puis tu peux intoxiquer le voleur éventuel une lettre/chiffre à la place d'une autre, un flot de références bidons, astuces très simples au demeurant et utilisées par la Résistance. Car si la CIA, via un douanier US, exige ton code de smartphone, ils ne porteront aucune intérêt à ton petit carnet (sauf s'ils ont lu les propos de Chauve Souris sur Developpez.net )
2  0 
Avatar de BlueScreenJunky
Membre régulier https://www.developpez.com
Le 10/08/2017 à 7:23
Des chercheurs s’étaient déjà même penchés sur la question et étaient parvenus à la conclusion qu’en utilisant le mot de passe avec quatre mots aléatoires comme « correct horse battery staple », cela prendrait 550 ans à des pirates pour deviner ce mot de passe et trois jours à ces derniers pour deviner « Tr0ub4dor&3 ».
Sauf erreur de ma part, le chercheur en question est Randall Munroe, l'auteur de xkcd : https://xkcd.com/936/
1  0 
Avatar de
https://www.developpez.com
Le 10/08/2017 à 10:33
Citation Envoyé par RyzenOC Voir le message
1) il existe déjà des algorithmes de chiffrement qui peuvent résister assez longtemps (des 100aines d'années) au cassage de la clé avec un hypotétique ordinateur quantique, pas de panique à ce niveau la. cf la cryptographie quantique.

2) Jusqu’à preuve du contraire, Mr tous le monde n'aura jamais d'ordinateur quantique car un ordinateur quantique n'est pas un pc. Leurs architectures font qu'ils ne peuvent que lancer un certains type de calcule (principalement les calcules de type combinatoire). Ils ne pourrons pas lancer un os et des applications.
L'idée que Mr Touslemonde aura un ordinateur quantique et qui'il pourra lancer un total war avec 6 milliars d'unité en temps réel n'est qu'une idée populaire et vaste blague/fumisterie.

l'avenir de l'informatique traditionnel consistera en la création de logiciels tirant plus partie des cpu multicoeurs et pour la 3d en des nouveaux algorithmes de rendu permettant d'augmenter le nombre de polygones sans augmenter de manière exponentiel la puissance de calcule comme le projet OctaneRender.
Tu vois tout ça dans ta boule de cristal ?
J'aime les discours figés sur l'informatique... Au niveau quantique, on a pas fini d'en parler...
2  1 
Avatar de yann2
Membre expérimenté https://www.developpez.com
Le 10/08/2017 à 15:52
Citation Envoyé par Bousk Voir le message
Les banques en France sont à la rue total. Ceci n'est en rien une chose pratique mais fait juste chier les utilisateurs. La caisse d'épargne fait la même chose, quand ils ont mis ça en place ma seule réaction a été un facepalm.
Ici ma banque a un système de double authentification. En cas d'accès suspect, c'est bloqué avec un code et je reçois un coup de téléphone qui me demande de rentrer le code en question, pour s'assurer que c'est bien moi devant l'écran qui essaye de me connecter. Et le login est autre chose qu'une suite de 8 chiffres également..
Complètement d'accord. Le système de clavier numérique affiché a l'écran est le plus débile qu'on ait pu inventer :

  • Souvent, le mot de passe est composé d'uniquement 6 chiffres ce qui laisse seulement 1 000 000 de possibilités
  • Tous les gens derrière l'écran peuvent te voir cliquer sur les gros boutons du clavier numérique
  • A quoi ça sert de masquer le champs de saisie si tout le monde t'a vu cliquer sur les gros boutons ?
  • Ce système est mis en place pour éviter les keyloggers mais, si un keylogger est sur la machine, il y a de fortes chances pour que les requêtes HTTP soient aussi logguées donc ça sert à rien


Les longues phrases sont la meilleures solution mais énormément de sites limitent la taille d'un mot de passe (ce qui est débile). Bref, pour moi il y a deux vrais solutions efficaces aujourd'hui :

  • Utiliser un coffre fort de mot de passe (comme KeePass par exemple) et générer un mot de passe fort et aléatoire pour chaque site
  • Choisir un mot de passe complètement aléatoire et changer ce mot de passe à chaque connexion au site en utilisant la fonctionnalité "J'ai perdu mon mot de passe". Cette fonctionnalité passe souvent par un mail ou un SMS, le seul mot de passe à ne pas perdre est celui de la boite mail. Cette solution est certainement la meilleure parce qu'on change son mot de passe à chaque connexion. Le point faible reste la boite mail principale mais, de toutes façons, quand celle-ci est compromise, toutes les connexions aux autres sites sont compromises quelques soit la force des mots de passe utilisés (à cause de la fonctionnalité "J'ai perdu mon mot de passe".
1  0 
Avatar de altga
Futur Membre du Club https://www.developpez.com
Le 10/08/2017 à 17:08
Pour moi les confrontations des 2 mots de passe
« correct horse battery staple »
et
« Tr0ub4dor&3 »
sont basés sur une attaque par force brute (Brute-force) -> plus il y a d'éléments dans la chaîne, plus le cracker prendra du temps.

Mais si on part du principe qu'un utilisateur utilise le mot de passe à base de mots « correct horse battery staple », que l'on a connaissance de ça, je ne crois pas tellement m'avancer pour dire qu'il est encore plus facile de cracker le mot de passe avec une attaque par dictionnaire (Dictionary attack) et un peu de force brute. On teste tous les mots présents dans le dictionnaire 1 par 1 puis en les combinant 2 par 2, etc. On peut dire qu'un mot de passe constitué de 4 mots revient à un mot de passe de 4 lettres, donc encore moins efficace que « Tr0ub4dor&3 ». Je ne sais pas si j'ai été assez claire..
Il faudrait donc rajouter à ce mot de passe de "mots" d'autres paramètres.

Corrigez-moi si je me trompe ..
2  1 
Avatar de Bousk
Rédacteur/Modérateur https://www.developpez.com
Le 10/08/2017 à 17:24
Citation Envoyé par altga Voir le message
Mais si on part du principe qu'un utilisateur utilise le mot de passe à base de mots « correct horse battery staple », que l'on a connaissance de ça, je ne crois pas tellement m'avancer pour dire qu'il est encore plus facile de cracker le mot de passe avec une attaque par dictionnaire (Dictionary attack) et un peu de force brute. On teste tous les mots présents dans le dictionnaire 1 par 1 puis en les combinant 2 par 2, etc. On peut dire qu'un mot de passe constitué de 4 mots revient à un mot de passe de 4 lettres, donc encore moins efficace que « Tr0ub4dor&3 ». Je ne sais pas si j'ai été assez claire..
Il faudrait donc rajouter à ce mot de passe de "mots" d'autres paramètres.
C'est sûr que si tu ne connais que 26 mots... allez disons 50 avec les chiffres et quelques accents et symboles
1  0 
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web