Accessbox · Sécurité
Pourquoi ce mot de passe est facile à deviner
Accessbox a signalé ce mot de passe parce qu’il est composé de mots courants du dictionnaire. Il fonctionne toujours, et rien n’a été modifié. Mais si un site qui le conserve est victime d’une fuite de données, un mot de passe de ce type peut être cassé bien plus vite qu’il n’y paraît. Voici pourquoi, et ce qu’il faut faire.
Mon mot de passe fonctionne-t-il toujours ?
Oui. Accessbox n’a rien modifié, et cela ne signifie pas que votre compte a été piraté. L’avertissement porte sur la façon dont le mot de passe est construit, pas sur quelque chose qui lui serait arrivé.
Quel est le risque réel ?
Pas quelqu’un qui essaie de deviner sur l’écran de connexion. Les sites bloquent cela après quelques essais ratés.
Le risque, c’est une fuite de données. La plupart des sites ne conservent pas votre mot de passe lui-même, mais une version brouillée qui ne peut pas être reconvertie en l’original. Quand un site est piraté, les attaquants peuvent emporter une copie de ces mots de passe brouillés et tenter de les casser sur leurs propres ordinateurs. Ils devinent un mot de passe, le brouillent de la même façon et vérifient s’il correspond. Pas de blocage, pas de limite, personne pour surveiller. Ils peuvent faire des milliards d’essais, en commençant par les plus probables, comme les mots de tous les jours.
Un mot de passe difficile à deviner rend chacun de ces essais moins efficace.
Pourquoi les mots sont-ils faciles à deviner ?
Les attaquants ne devinent pas une lettre à la fois. Ils essaient des mots entiers, puis des paires de mots, puis ces mêmes mots avec des chiffres et des symboles à la place de certaines lettres.
Un mot de passe fait de mots courants peut sembler long. Pour un attaquant, ce n’est que quelques mots tirés d’un dictionnaire. Remplacer des lettres par des symboles, comme 3 pour e ou 0 pour o, n’aide pas beaucoup. Les attaquants essaient aussi ces remplacements.
Le problème, ce ne sont pas les mots en eux-mêmes. Accessbox utilise aussi des mots, mais il les choisit au hasard dans une grande liste, pas ceux qui viennent à l’esprit. Les gens ont tendance à choisir des mots familiers dans un ordre familier, et c’est exactement ce que les attaquants essaient en premier. Avec des mots tirés au hasard, un attaquant doit essayer toutes les combinaisons, et Accessbox peut compter exactement combien il y en a.
Combien de temps cela prendrait-il ?
Chaque caractère aléatoire multiplie par 94 le nombre de mots de passe possibles : un pour chaque lettre, chiffre et symbole qu’un attaquant doit essayer. C’est pourquoi quelques caractères de plus font une telle différence.
La vitesse des attaquants dépend du soin avec lequel le site a brouillé ses mots de passe. Vous ne saurez pas à quel type de site vous avez affaire avant qu’il soit victime d’une fuite, alors le plus prudent est de supposer le pire.
| Aussi difficile à deviner que | Site négligent | Site soigneux |
|---|---|---|
| 4 caractères aléatoires | Instantanément | Environ 2 heures |
| 5 caractères aléatoires | Instantanément | Environ une semaine |
| 6 caractères aléatoires | Quelques secondes | Environ 2 ans |
| 8 caractères aléatoires | Quelques heures | Des milliers d’années |
| 10 caractères aléatoires | Environ 17 ans | Des millions d’années |
| 12 caractères aléatoires | Plus de 100 000 ans | Plus longtemps que l’âge de l’univers |
Ce sont les durées nécessaires pour essayer tous les mots de passe possibles. En moyenne, les attaquants le trouvent en environ la moitié de ce temps.
Pas d’avertissement, cela veut-il dire qu’un mot de passe est sûr ?
Pas forcément. Accessbox sait repérer certains des raccourcis qu’un attaquant utiliserait. Quand il en trouve un, il vous le signale. Quand il n’en trouve pas, ce n’est pas une garantie que le mot de passe est robuste. Cela signifie seulement qu’Accessbox n’a pas trouvé de moyen facile d’entrer.
Que dois-je faire ?
Ouvrez la carte et touchez Assistant de mise à jour du mot de passe pour changer le mot de passe sur le site, ou touchez Générer un nouveau mot de passe pour qu’Accessbox en crée un.
Si vous avez saisi ce mot de passe vous-même, désactivez d’abord Conserver le mot de passe tel quel pour qu’Accessbox puisse en créer un nouveau.
Et si le site ne me laisse pas le changer ?
Ce n’est pas grave. Certains sites compliquent le changement de mot de passe. Le plus important est de ne pas utiliser ce mot de passe ailleurs. Certains sites conservent les mots de passe sans précaution, et quand l’un d’eux est victime d’une fuite, aucun mot de passe n’est assez robuste. Quand chaque site a son propre mot de passe, une fuite sur un site ne peut pas ouvrir vos autres comptes.