Est-il si simple de déchiffrer des mots de passe? C’est ce que laisse entendre un article publié sur ars technica. Pour le prouver, une liste de 16.000 mots de passe chiffrés a été transmise à trois crackers. Au bout d'une heure, 90% des mots de passe ont été trouvés par l’un d’entre eux. Le moins efficace des trois en a pour sa part trouvé 62%.
Constat initial: tout mot de passe est potentiellement déchiffrable. Et si l'on y arrive si rapidement, c'est en partie parce que l'on choisit de mauvais mots de passe. Plusieurs facteurs sont à prendre en compte:
- la longueur: un mot de passe de douze caractères prend plus de temps à déchiffrer qu'un mot de passe de six caractères.
- l'ordre: traditionnellement une majuscule est placée au début, les minuscules au milieu et les chiffre à la fin. Il est donc conseillé de ne pas utiliser cet ordre.
Par ailleurs, l'un des crackers constate que le niveau de protection varie fortement selon qu'il s'agit de mots de passe de clients ou de ceux utilisés au sein des grandes firmes:
«Quand je fais un audit de mot de passe d'une entreprise pour m'assurer que les politiques en termes de mot de passe sont correctement mises en place, c'est de la folie. Tu pourrais passer trois jours en ne trouvant absolument rien.»
Si vous voulez tout de même changer votre mot de passe pour le rendre moins vulnérable, vous pouvez suivre les conseils de Farhad Manjoo, le chroniqueur high-tech de Slate:
«Choisissez une phrase assez courte et mémorisable. Et voilà. Au lieu de transformer cette phrase en un seul mot, utilisez-la simplement, en entier. Par exemple Mitt adore quand Barack lui fait des gaufres. C'est une phrase mémorisable. Et c'est aussi, en soi, un mot de passe extrêmement sûr – encore plus sûr que le mot composé des initiales des termes de la phrase. Au lieu de raccourcir la phrase, tapez-la entièrement. C'est la façon la plus simple de mélanger les majuscules, les minuscules et les symboles, et c'est encore plus facile à mémoriser. (...) Impossible par contre de m'en servir sur le site de ma banque, ni sur tous les sites qui imposent une longueur limite à leurs mots de passe et/ou n'acceptent pas les espaces.»
Mise à jour: dans une première version, nous utilisions le terme de «hacker», qui n'est pas approprié en l'espèce puisqu'il s'agit de «cracker» des mots de passe.
