Traitement sécurisé des mots de passe
De nombreux sites web et ordinateurs sont protégés par un mot de passe. Cependant, tout le monde ne gère pas les mots de passe avec la même sécurité. Cela crée des risques pour la sécurité.
Grâce à cet outil, vous apprendrez :
- Comment gérer les mots de passe en toute sécurité ;
- Ce qu'est un bon mot de passe ;
- Comment utiliser un gestionnaire de mots de passe.
Dans votre vie privée comme dans votre vie professionnelle, les systèmes informatiques et les sites Internet que vous utilisez nécessitent souvent un mot de passe. Cela crée des risques pour la sécurité. De plus, tous ces mots de passe différents sont difficiles à retenir.
Conserver vos mots de passe sur une feuille ou dans un document n'est pas une bonne idée. Cet outil vous explique, entre autres, comment créer des mots de passe forts et sûrs, comment vérifier que votre mot de passe est sûr et fort, ce qu'est un gestionnaire de mots de passe et comment l'utiliser.
Comment gérer les mots de passe en toute sécurité ?
Utilisez des mots de passe forts et sûrs
Beaucoup d'entre nous utilisent des mots de passe évidents et faciles à retenir. Après tout, vous ne voulez pas vous compliquer la vie et être en mesure de vous connecter rapidement. Vous ne voulez pas non plus oublier votre mot de passe et devoir cliquer pour la énième fois sur le fameux bouton "mot de passe oublié". Cependant, une telle approche aboutit à de mauvais mots de passe, tels que "123456", "password", "azerty" ou encore la combinaison de votre nom et de votre année de naissance. Ces mots de passe ne sont pas sûrs, car des programmes peuvent facilement les décrypter.
Le site Internet Safeonweb.be, une initiative du gouvernement belge, fournit une série de conseils utiles sur la manière de créer des mots de passe forts et sûrs.
Ce que vous devez ABSOLUMENT faire :
- Combinez des lettres majuscules et minuscules, des chiffres, des symboles et des signes de ponctuation.
L'utilisation de chiffres, de majuscules, de symboles et de signes de ponctuation rend votre mot de passe plus difficile à déchiffrer, car elle augmente considérablement le nombre de combinaisons possibles. Vous pouvez utiliser des chiffres, des lettres majuscules et des symboles n'importe où dans votre mot de passe ou votre phrase.
- Utilisez un long mot de passe
Utilisez un mot de passe composé d'au moins 13 caractères. Il est souvent plus facile de se souvenir d'une phrase de passe ou passphrase que d'un mot de passe. Cependant, vous devez alors choisir une phrase qui n'a de sens que pour vous, et qui ne contient pas simplement des mots existants. Une phrase évidente comme "iloveyou" n'est donc pas un bon choix.
Ce que vous ne devez absolument PAS faire :
- N'utilisez pas de mot de passe prévisible.
- N'utilisez pas de détails personnels, tels que votre nom et votre année de naissance (par exemple, "VotreNom1985").
- Ne pas utiliser d'expressions familières, telles que "Carpediem".
- N'utilisez pas de compteur, tels que "Carpediem1", "Carpediem2", "Carpediem3", etc.
- Ne répétez pas les caractères, tels que "aaabbbccc".
- N'utilisez pas le même mot de passe pour chaque compte.
Il n'est pas judicieux d'utiliser le même mot de passe pour différents comptes. Si des cybercriminels ont déchiffré votre mot de passe pour un site Internet, ils peuvent essayer d'utiliser ce mot de passe pour d'autres sites Internet. Il est donc recommandé d'utiliser des mots de passe longs et totalement différents pour différentes applications, en particulier pour les comptes sur lesquels vous saisissez des informations de paiement ou des données personnelles.
- Ne partagez jamais vos mots de passe.
Il n'est pas judicieux de partager les mots de passe. Après tout, vous ne savez jamais ce qui peut arriver à votre mot de passe. Si vous souhaitez partager vos mots de passe, utilisez un gestionnaire de mots de passe ou un coffre-fort de mots de passe (voir ci-dessous) pour le faire en toute sécurité.
- Ne conservez pas vos mots de passe de manière visible.
- Ne conservez pas vos mots de passe à proximité de votre ordinateur de manière visible, c'est-à-dire pas collés à votre écran ou à votre bureau. Les mots de passe ne doivent pas non plus être stockés dans un e-mail ou dans un document sur votre ordinateur, smartphone ou tablette.
- N'utilisez pas le même mot de passe pendant des années.
Il est conseillé de changer régulièrement de mot de passe : chaque année pour vos comptes privés, et plus fréquemment encore pour vos comptes professionnels. Si l'un de vos comptes est piraté, vous devez changer vos mots de passe immédiatement. Lorsque vous changez votre mot de passe, vérifiez toujours d'abord si le problème du site Internet a été résolu. Si ce n'est pas le cas, vous modifiez votre mot de passe en vain.
- N'utilisez pas de "questions secrètes".
Parfois, une réponse à une question (ex. "quel est le nom de votre animal de compagnie ?") est utilisée comme mot de passe. Essayez d'éviter ces questions secrètes. En effet, la réponse à ces questions peut souvent être trouvée sur l'internet.
Vérifiez si votre mot de passe est sûr et fort
Vous voulez savoir si vous avez déjà un bon mot de passe ? Le site Internet How Secure Is My Password vous permet de tester la vitesse à laquelle les pirates informatiques peuvent déchiffrer votre mot de passe. Plus les pirates mettent de temps à déchiffrer votre mot de passe, mieux c'est. Pour faire le test, entrez votre mot de passe sur le site Internet.
Nous avons saisi "azerty" comme mot de passe. Le site Internet nous informe que ce mot de passe peut être trouvé immédiatement car il figure parmi les 590 mots de passe les plus fréquemment utilisés. Avec la couleur rouge, l'outil indique qu'il ne s'agit pas d'un bon mot de passe.
Lorsque nous saisissons "nastasia", le site Internet nous informe qu'il peut être trouvé en cinq secondes parce qu'il s'agit d'un mot. Il mentionne également que les caractères autres que les lettres peuvent rendre le mot de passe plus difficile. Entrer "nastasia1" comme mot de passe ne change pas grand-chose. Ce mot de passe est également trop court et se trouve en 42 minutes. Si nous mettons la première lettre en majuscule ("Nastasia1"), il faut trois jours à un ordinateur pour trouver ce mot de passe.
L'ajout d'un point d'exclamation ("Nastasia1 !") rend déjà les choses un peu plus difficiles. Il faudra désormais trois mois à un ordinateur pour trouver ce mot de passe.
Nous optons pour un mot de passe plus long et une phrase de passe. Il s'agit d'une phrase complète au lieu d'une courte séquence de lettres, de chiffres et de caractères dans un mot de passe. L'un des avantages d'une phrase de passe est sa longueur. En général, une phrase de passe est aussi plus facile à retenir. Nous optons pour "LeCaféC'estBon". L'outil indique qu'il faudrait 8 000 milliards d'années à un ordinateur pour trouver ce mot de passe.
Si nous ajoutons ensuite des chiffres et des caractères et que nous écrivons "LeC4féC'estB0n!", il faudrait même 11 millions de trillions d'années à un ordinateur pour deviner ce mot de passe. Les caractères et les chiffres ne sont toutefois pas indispensables. Il faut 30 millions de trillions d'années à un ordinateur pour trouver la phrase de passe "LeBrunchÉtaitBon".
Sur le site https://haveibeenpwned.com/, vous pouvez vérifier si vous avez déjà été victime d'une violation de données. Si c'est le cas, il est préférable de modifier votre mot de passe.
Utilisez la vérification en deux étapes
Un autre moyen de traiter les mots de passe de manière plus sûre consiste à utiliser la vérification en deux étapes. Il s'agit généralement d'utiliser quelque chose que vous connaissez (ex. un mot de passe) et quelque chose que vous avez (ex. un téléphone portable) ou quelque chose que vous "êtes" (ex. une empreinte digitale). L'utilisation de la vérification en deux étapes est simple.
Dans un premier temps, vous vous connectez à votre compte (ex. Facebook, Twitter, Google, Microsoft) avec votre mot de passe. Lors de la deuxième étape, le site Internet envoie un code à votre téléphone portable, que vous saisissez pour accéder à votre compte. Il existe également d'autres moyens de vérification en deux étapes, tels que l'application Google Authenticator ou des clés physiques.
Utiliser un gestionnaire ou un coffre-fort de mots de passe
Als je veel complexe wachtwoorden hebt die je moet onthouden, is het een goed idee om een password manager of wachtwoordkluis te gebruiken. Password managers of wachtwoordmanagers zijn gemaakt om op een veilige manier je accounts en hun bijbehorende wachtwoorden veilig op te slaan in de vorm van een versleutelde databank. De wachtwoordkluis zelf beveilig je met een sterk wachtwoord. Het voordeel daarvan is dat je snel en relatief veilig aan je wachtwoorden kan en dat je in principe maar één wachtwoord moet onthouden. Dat is meteen een belangrijk aandachtspunt. Je versleutelt immers al je wachtwoorden met één wachtwoord. Zorg dus dat je hoofdwachtwoord voldoende lang is en uit hoofdletters, kleine letters, cijfers en leestekens bestaat.
Er zijn verschillende soorten wachtwoordmanagers, die elk hun eigen voor- en nadelen hebben:
- hardwarematige wachtwoordmanager;
- softwarematige wachtwoordmanagers;
- online wachtwoordmanagers.
Hardwarematige wachtwoordmanagers hebben de vorm van een USB-stick, die als fysieke sleutel dient. Het nadeel is dat je die sleutel kan verliezen en dat hij gestolen kan worden. Het voordeel is dat je wachtwoorden offline bijgehouden worden, en ze in principe gevrijwaard blijven van beveiligingsrisico’s die kunnen ontstaan door verbinding met het internet of door andere software.
Softwarematige wachtwoordmanagers worden als een programma geïnstalleerd op je computer. Een programma dat loopt op je computer is mogelijk kwetsbaar doordat andere software je computer kan doen vastlopen, of je databank corrupt of onbeschikbaar kan maken. Een voorbeeld van een opensourcewachtwoordmanager is KeePass. Dat die wachtwoordmanager opensource is, impliceert dat zijn broncode kan worden ingekeken. Dat is geen overbodige luxe bij software die al je wachtwoorden beheert. Het laat ontwikkelaars ook toe om de broncode te gebruiken opdat de wachtwoordmanager op diverse besturingssystemen en webbrowsers kan draaien (bv. Linux, Windows, MacOS, Firefox en Chrome).
Online wachtwoordmanagers kun je enkel via je webbrowser bereiken. Ze hebben als voordeel dat je wachtwoorden overal bereikbaar zijn. Het nadeel is wel dat je de controle uit handen geeft, en geen zekerheid hebt over wat er met je data (opgeslagen in je wachtwoordendatabank) gebeurt. LastPass en Dashlane zijn voorbeelden van online wachtwoordmanagers. Ze werken als een cloud service waarbij je inlogt met je hoofdwachtwoord en je wachtwoorden vervolgens via het internet worden doorgestuurd naar je computer, smartphone of tablet. Meestal wordt LastPass gebruikt als een extensie/add-on van je webbrowser, of als mobiele app. Dashlane biedt ook een lokale installatie aan. Het verschil met softwarematige wachtwoordmanagers zit in het feit dat alle functies gratis kunnen gebruikt worden.
In onderstaande handleidingen worden KeePassXC en Tusk besproken.
Auteurs : Lode Scheers (meemoo), Nastasia Vanderperren (meemoo) et Rony Vissers (meemoo)