Outils de cybersécurité

Nous utilisons à présent pas mal de mots de passe dans diverses situations informatiques, mais aussi dans divers matériels comme les télécommandes de portes de garage, de voitures, d'alarmes, j'en passe et des meilleures :

Il existe donc un problème de secret, et pas des moindres. Avec deux aspects, suivant le côté où on se trouve :

• Du côté du service rendu (le cerbère du cas précédent), il faut stocker le mot de passe de manière sécurisée. Ainsi que s'assurer que la communication du mot de passe soit secrète, que personne ne puisse écouter.
• Du côté de l'utilisateur, il devra se souvenir du mot de passe, et donc également le stocker de manière sécurisée. Au moment de l'utiliser, il faudra bien transmettre le mot de passe en clair à un moment ou à un autre...

D'où tout ce cinéma pour accéder à nos « espaces clients » que maintenant beaucoup de personnes connaissent, mais rarement sans savoir ce qui se passe effectivement. Nous allons éclaircir cela pour la partie enquiquinante, celle où nous devons nous-même gérer nos mots de passe. En ce qui concerne les télécommandes, c'est différent car caché dans les puces électroniques, avec le cas particulier de l'OTP, le One Time Password, ces espèces de boitiers qui vous donnent un mot de passe à chaque fois que vous vous connectez.

Ce truc-là vous file un nouveau code à chaque fois que vous vous en servez.

Vous voilà confronté au problème de stocker tous vos mots de passe de manière pratique. Et là, pas de miracle :

• Soit vous le faites à l'ancienne, autrement dit un carnet et un crayon. Certainement la méthode la plus sûre, car aucun pirate ne pourra accéder à votre carnet physique. Avec le défaut de ne pas perdre le précieux carnet, qui aura rarement un duplicata sauvegardé quelque part, car c'est vraiment malcommode.

• Soit vous le faites informatiquement. Et là, ça peut être malin ou un carnage suivant la méthode.

Du côté solution informatique, le pire est de les écrire dans un fichier texte stocké quelque part sur votre disque dur. Aucune protection, c'est à la portée de n'importe quel programme de recherche qui aura vite fait de trouver le fichier et de le lire, surtout si vous avez eu le malheur d'écrire en plus quelques mots-clés comme "identifiant" et "mot de passe"...

Sans parler des copies plus ou moins fantômes, en particulier celles qui traineront dans la corbeille, ou dans certains programmes d'affichage qui conservent quelque part une copie provisoire dans leur mémoire...

Les vieux méfiants planqueront le fichier de mots de passe avec un programme de chiffrement dans lequel vous avez confiance, par exemple Truecrypt. Au moins, il ne pourra pas exister d'interactions à la con avec le reste du monde.

L'alternative est d'utiliser ce qui est appelé un « gestionnaire de mots de passe », un programme informatique qui se chargera non seulement de stocker vos mots de passe, mais qui pourra aussi s'arranger pour les fournir au moment où vous en avez besoin, plus ou moins automatiquement, ce qui peut être très commode. Voire trop commode.

Il est probable que vous utilisiez déjà le gestionnaire qui est inclus dans votre navigateur, par exemple Firefox, qui vous demandera —s'il est poli— s'il faut stocker le mot de passe. Alors, il l'insérera au moment où vous en avez besoin, ce qui vous évite le travail fastidieux de retrouver le mot de passe et de le taper.

Il existe au moins un point commun à tous ces logiciels : il vous faudra montrer « patte blanche », autrement dit fournir un mot de passe que l'on peut qualifier de « principal », puisque c'est celui qui ouvrira la porte à tous les autres.

Et ce mot de passe-là, il faudra vraiment bien le protéger.

T'as jamais claqué la porte de ta maison avec les clés dedans ?

On utilise une fonction de hachage.

Il suffit alors de transmettre uniquement le haché = le mot de passe transformé par la fonction de hachage, et de comparer le résultat.

• Deux mots de passe différents auront toujours des hachés différents.
• Deux mots de passe différents, même d'une seule lettre, auront des hachés très différents

Le nombre de chiffres du haché est suffisamment grand pour assurer son unicité. Genre plus grand que le nombre d'atomes de l'univers.

Je sais que cela parait surprenant au premier abord, mais c'est le cas. Il vous arrive d'ailleurs de voir des nombres de ce genre, par exemple exprimé en hexadécimal (des nombres avec des lettres dedans) dans les URL de site où vous vous reconnectez.

L'URL qui apparait semble étrangement longue : un nombre unique a été généré, pratiquement toujours rien que pour vous, afin d'obtenir un accès privilégié car il est impossible de deviner ce genre d'identifiant.

Voici comment est structuré une URL.
Et l'exemple est particulièrement crétin du point de vue sécurité, vous vous doutez pourquoi.

De cette manière, le serveur peut stocker plein de hachés de mots de passe sans avoir besoin de faire du chiffrement. Et si un hackeur, ou qui que ce soit, accède au serveur, il ne pourra pas connaitre vos mots de passe.

C'est pour cette raison que jamais, ô grand jamais, une banque ou n'importe quelle administration ne vous demandera votre mot de passe car elle n'en n'aura jamais besoin, c'est totalement inutile. Ils ont le haché, c'est suffisant pour rendre le service. Et de plus, ils ont des mots de passe administrateurs pour accéder à l'ensemble de leurs données, bien évidemment. À gérer avec soin...

Le coup du hachage des mots de passe est fort pratique pour la transmission entre votre clavier et le serveur.

Dès que le mot de passe est traité par la fonction de hachage, la sécurité est assurée.

Il ne reste que le trajet entre le clavier et le programme informatique de votre PC ou de votre smartphone qui reste vulnérable. Il est possible de créer des programmes qui vont stocker l'intégralité de ce qui est frappé au clavier, ce qui permet ensuite à un hackeur de consulter le résultat et retrouver votre mot de passe dedans. C'est typiquement votre navigateur qui doit être sécurisé, et c'est pour ça qu'il faut mettre votre navigateur à jour car s'il traine une faille de sécurité au moment de la saisie...

Je ne parle pas ici de craquage de mot de passe (voir plus loin), mais de récupérer les mots de passe restés stockés plus ou moins en clair dans votre système informatique.

Parce que oui, les mots de passe trainent, parfois pour de bonnes raisons.

Il existe un endroit quelque part dans votre navigateur où vous pouvez gérer et retrouver vos mots de passe. Mais si, parmi tous ces sous-menus où vous n'allez jamais, de peur de mettre la zone.

Vous trouverez de nombreux sites qui vous diront comment faire, en voici un :

• Comment retrouver un mot de passe perdu il y a longtemps ?
• ...
  Z'avez qu'à chercher un peu.

Au lieu de chercher comme un âne, autant utiliser un programme d'un bon samaritain qui sait où fouiller à votre place. Au moins, vous vous rendrez compte comme c'est facile de retrouver tout ça.

Il faut savoir qu'il existe des logiciels permettant de craquer les mots de passe. Je vous dis cela surtout pour vous sensibiliser à utiliser des mots de passe vraiment longs, surtout si cela concerne des choses importantes.

Il n'y a pas tant de techniques possibles :

• La force brute : vous essayez toutes les combinaisons possibles. Ça peut le faire sur un mot de passe court.
• Le dictionnaire : vous essayez les mots de passe couramment utilisés, stockés dans un dictionnaire.
• Hybride : il s'agit de construire un mot de passe à partir d'un dictionnaire, en combinant avec une partie en force brute. Ça marchera encore mieux si vous avez déjà une idée d'une partie du mot de passe.

La technique hybride peut être très efficace. Par exemple, si vous devinez que l'utilisateur a utilisé un prénom de ses enfants, de son chien, ou une date de naissance, vous pouvez essayer toutes les combinaisons avec un prénom, suivi de 4 lettres aléatoires, suivi de dates avec quelques formats différents. L'idée est que cela réduit considérablement le nombre de tentatives.

Cela suppose que vous ayez accès au fichier ou au site web ciblé. Et que le nombre de tentatives ne soit pas limité dans le temps, par exemple limité à quelques essais par jour (ce qui veut dire que vous n'avez pas accès à l'horloge de contrôle).
Un exemple typique est la carte bancaire ou SIM avec ses 3 essais maximum avant blocage, et heureusement que c'est comme cela car avec moins de 10000 combinaisons possibles, ce serait vite fait de la craquer.

En résumé, si le mot de passe est court ou courant, il sera relativement facile de le craquer avec un dictionnaire de mots de passe et quelques algorithmes appropriés, surtout si vous devinez une partie du mot de passe.