Sécurité et protection par mot de passe

De plus en plus de services proposent des accès simplifiés offrant autant de portes ouvertes aux attaques potentielles. Les menaces qui pèsent sur nos données sont aussi importantes : risques d’usurpation d’identité (aux conséquences parfois graves), risque d’échange des données contre rançons (ransomwares), achats involontaires… Il faut donc être prudent et protéger ces accès de manière sérieuse. D’autres processus de protection comme la biométrie (empreintes, reconnaissance faciale…) sont peu fiables car non modifiables si corrompues. Comment changer son empreinte digitale si cette donnée a été récupérée par un pirate ? Il est donc nécessaire d’opter pour un processus rigoureux de stockage de mots de passe et de pouvoir les utiliser et en changer très facilement. Ces mesures de sécurité souvent prises à la légère deviennent aujourd’hui indispensables au vu du nombre d’accès utilisés et de services subissant des vols de mots de passe (y compris de grands groupes du numérique). Il ne viendrait à personne l’idée de partir de chez lui sans fermer sa porte à clef ou d’utiliser la même clef pour tous ses accès.

Quelques recommandations générales :

• N’utilisez surtout pas le même mot de passe pour tous vos accès. Si ce mot de passe venait à être découvert, ce sont tous vos comptes qui seraient fragilisés.
• Ne choisissez pas de mot de passe simple : mot courant, date de naissance, prénom, mot du dictionnaire… Des programmes existent pour tester rapidement tous ces mots combinés avec quelques données publiques vous concernant, ces attaques sont appelées “des attaques par dictionnaire”.
• Variez et allongez vos mots de passe avec des lettres, des chiffres, des majuscules, minuscules et même des caractères spéciaux comme accents ou ponctuation.
• Testez la résistance de vos mots de passe sur des sites comme https://howsecureismypassword.net/. Votre mot de passe doit dépasser les 6 mois de tentative, ce qui devrait décourager les futures attaques.
• Ne stockez pas vos mots de passe dans un fichier sur votre PC, sur un carnet ou dans sa messagerie. Ses données peuvent être facilement récupérables voire perdues.
• Ne donnez jamais vos mots de passe personnels à quelqu’un dont vous n’avez pas une confiance absolue. Vous ne savez pas ce qu’il en fera, où il le stockera. N’hésitez pas à le changer dès que nécessaire, en cas de besoin.
• Si vous avez besoin de noter certains mots de passe importants, écrivez-les de manière codée et au milieu d’autres informations. Notez « mes 3 enfants chéris » pour le mot de passe : M3e<3DyBrDo (qui se prénomment Dylan, Bryan et Donovan).
• Ne stockez pas stocker vos mots de passe dans votre navigateur sans avoir de mot de passe principal ! (voir plus bas). Malgré les apparences, les mots de passe affichés sous forme de points comme « ······· » restent visibles.
• Attention, le mot de passe d’accès à un PC est en général très facilement contournable si quelqu’un met la main sur votre machine. L’accès physique à un matériel augmente toujours le risque de compromission.

Quelques pistes pour créer des mots de passe de qualité, faciles à retenir :

• Comme moyen mnémotechnique, vous pouvez utiliser des mots de passe par « environnement » (professionnel, associatif, personnel…). Par exemple, pour mes achats sur Internet, je peux utiliser un mot de passe qui commence ou finit toujours par la même séquence :
  Mas1spelsAn&Moi = « Mes achats sur (1)Internet sont protégés entre le site “A******n” et Moi ». Vous pourrez le décliner pour chaque site Internet…
• Vous pouvez aussi utiliser des phrases faciles à retenir en ne conservant que les initiales et en remplaçant certaines lettres par des caractères. Ex : de = 2, un = 1, e = 3 (E à l’envers), à = @ : Saurez-vous reconnaître ce poème de La fontaine ? Mcs1@pt3sb1f.
• Changez vos mots de passe quand vous avez un doute sur leur sécurité : mot de passe trop facile, déjà utilisé, site Internet douteux…

Quelques outils en ligne

Il existe différents services gratuits ou payants qui proposent de stocker vos mots de passe. Il convient néanmoins de s’assurer qu’ils soient fiables : Dashlane, LastPass ou Mozilla Lockwise. Attention cependant, si ces sites étaient attaqués, tous vos mots de passe seraient compromis.

Vous pouvez aussi stocker vos mots de passe à l’aide du navigateur Internet indépendant Mozilla Firefox (à condition de protéger leur accès par un mot de passe principal).

Plus de sécurité avec Firefox

Pour que tous vos mots de passe enregistrés dans Firefox soient protégés par un accès renforcé, vous pouvez les verrouiller par un accès principal appelé mot de passe principal.

Se rendre dans le menu «Options» ou «Préférences» puis dans l’onglet «Vie privée et sécurité», et trouver le paragraphe «Identifiants et mots de passe». Cocher «Utiliser un mot de passe principal» et choisir un mot de passe solide.

Vous pourrez d’ailleurs retrouver dans ce menu les identifiants déjà enregistrés et les mots de passe associés (cliquer sur Identifiants enregistrés)

Ce mot de passe principal devra être saisi à chaque ouverture du navigateur ou pour visualiser des mots de passe enregistrés. Il est tout à fait possible a posteriori de modifier ou supprimer ce mot de passe à condition d’être capable de le saisir à nouveau.

Attention, sans ce mot de passe principal, l’accès à vos mots de passe enregistrés ne sera plus possible. Ils seront «verrouillés» par ce mot de passe comme dans un coffre-fort.

Avec des outils dédiés

• Il existe aussi des outils pour stocker vous-même vos mots de passe dans un fichier « coffre-fort » lui-même protégé par une clef maîtresse très solide. Parmi les logiciels existants, les CEMEA recommandent le logiciel libre KeepassXC, disponible dans de nombreuses langues et fonctionnant sur la majeure partie des plateformes (Windows, MacOS, Linux…) ainsi qu’en version « portable » pour clef USB.
  A télécharger sur : https://keepassxc.org/download
• D’autres logiciels dérivés permettront d’accéder à ce coffre-fort grâce à une compatibilité du format du fichier Keepass (voir d’autres versions sur https://keepass.info/download.html).
• Il faudra alors s’assurer de sauvegarder régulièrement ce coffre-fort sur des supports différents (clef USB, cloud, disque externe…) pour ne pas le perdre.

Principe de KeepassXC

Une fois téléchargé et installé, KeepassXC propose lors de son premier lancement de créer une base de données de mots de passe et d’en choisir une clef maîtresse (mot de passe solide). Assurez-vous de choisir le lieu de stockage de ce fichier dans un lieu approprié (Documents facilement accessibles…). De plus, c’est la solidité de cette clef maîtresse qui garantira le degré de protection de votre base de données sensible. Il est donc indispensable que cette clef soit longue et complexe. Une personne vous voyant la saisir par-dessus votre épaule ne devrait pas pouvoir la reproduire.

Une fois votre base de données créée, il faut la compléter par des “entrées”. Chaque « entrée » est une fiche dans laquelle vous stockerez :

• le nom de cet accès. Ex : forum du site de tricot irlandais
• votre identifiant sur ce site : francoisa
• votre mot de passe : Mai1shiequ7H
• l’adresse du site concerné : https://forum.tricot.fr

Il est aussi possible d’y ajouter quelques notes écrites, informations, voire des pièces jointes.

Ces différentes entrées peuvent être organisées dans des dossiers à créer dans cette base de données.

Toutes ces informations seront parfaitement illisibles sans votre mot de passe de coffre-fort.

Comment utiliser votre base de données sécurisée ?

Pour retrouver et utiliser votre banque de mots de passe, vous pourrez facilement, grâce au champ recherche, retrouver les accès utiles.

Des raccourcis clavier vous permettront de récupérer les informations de chaque entrée.

Ctrl + Maj + u : accéder au site web de l’entrée (URL)

Ctrl + b : copier l’identifiant de l’entrée, qu’il faudra coller dans le site précédemment ouvert

Ctrl + c : copier le mot de passe, à coller au bon endroit

Ctrl + Maj + v : effectuer un remplissage automatique de l’identifiant et du mot de passe. En s’assurant auparavant que le curseur se trouve au bon endroit sur le site Internet.

Démonstration en Vidéo

Des options supplémentaires pratiques

Des options peuvent être utilisées ou activées pour gagner en efficacité et en sécurité.

Mot de passe aléatoire

Il est possible de générer des mots de passe parfaitement aléatoires pour plus de sécurité à l’aide du « dé » pour chaque entrée.

La validation directe par « OK » acceptera le choix de la première clef générée par défaut.

Paramètres de KeepassXC

Se rendre dans le menu «Outils » puis « Paramètres » de KeepassXC et choisir les options suivantes :

Général

☒ Enregistrer automatiquement après chaque changement. Plus sécurisé.

☒ Minimiser après avoir copié dans le presse-papier. Dès qu’on copie un mot de passe, KeepassXC est réduit.

Sécurité

☒ Vider le presse-papier après (allonger le délai, souvent utile) : 240 s

☒ Verrouiller les bases de données après une inactivité de 3600 s (toutes les heures), si vous êtes souvent devant votre PC.

☒ Verrouiller les bases des données quand la session est verrouillée ou l’écran rabattu.

☒ Ne pas demander de répéter le mot de passe quand celui-ci est visible. Si on le voit, on peut le valider visuellement.

Intégration aux navigateurs

☒ Activer l’intégration de KeepassXC aux navigateurs. Cocher les navigateurs utilisés (Firefox).

Il sera nécessaire d’installer une extension à votre navigateur pour utiliser cette fonctionnalité. La base de données devra être ouverte manuellement pour qu’il puisse y puiser les informations utiles.

Dernier conseil

Votre base de données devra être accessible depuis tous les appareils utilisant ces accès. Il est donc judicieux de privilégier un accès partagé comme un cloud. Vous pouvez disposer de copies de cette base de données dans d’autres appareils tout en gardant à l’esprit l’endroit où se trouve votre base principale modifiable.