Publicité en cours de chargement...
Synthèse sur les mots de passe. Partie III
Tout d’abord, pour ce qui concerne le cas de l’attaque d’un site Web avec mire de connexion login/password, le temps de réponse de deux à trois secondes n’est absolument pas un frein dans la mesure où un attaquant peut lancer plusieurs tentatives d’authentification en parallèle. Que la réponse mette une seconde ou dix minutes à arriver ne change rien. Certes, le mécanisme d’attaque est singulièrement complexifié, mais rien d’impossible pour peu que l’on ait la puissance machine et la volonté.
De plus, si un attaquant ne cible pas un compte particulier mais cherche à obtenir des comptes sur un site, la technique d’attaque peut être complètement changée : il suffit de fixer le mot de passe et de le tester sur tous les comptes.
La seule manière de contrer ces attaques est d’insérer un captcha à la saisie du mot de passe ou, à défaut, si ce n’est pas acceptable d’un point de vue ergonomique (normes d’accessibilité Web notamment), de mettre en place des limitations de vélocité ou des captchas au bout de n tentatives depuis une seule IP. Pour cette deuxième mesure, la protection sera insuffisante vis-à-vis d’attaquants déterminés qui vont utiliser des Clouds, des réseaux d’anonymisation et de proxy pour changer leur IP au bout de deux ou trois tentatives. En conclusion, sans mécanisme de captcha systématique, un attaquant un peu malin et déterminé va réussir à obtenir les comptes pour lesquels un mot de passe basique est utilisé.
Enfin, point non technique, le terme « mot de passe » est très mal choisi car il sous-entend la nécessité d’utiliser un « mot ». Or, on vient de voir que recourir à un mot de dictionnaire était une très mauvaise idée. Du coup, quand les équipes sécurité demandent d’ajouter des majuscules, des caractères spéciaux, etc., les utilisateurs hybrident le « mot » pour intégrer ces contraintes, et donc cela devient très complexe. Utiliser les termes « code secret » à la place de « mot de passe » permettrait de changer la posture intellectuelle de la personne devant choisir ce code secret.
Fin, à moins d’autres remarques ?
Avez-vous apprécié ce contenu ?
A lire également.

Approche hétérodoxe du concept de risque résiduel
02 juin 2025 - 22:42,
Tribune
-Vous voulez être le bon élève de l’auditeur 27001 qui vient constater, de visu, comment vous mettez en œuvre un SMSI. Le bon élève, avec les félicitations, le bisou sur le front et le petit papier qui va bien.

Fondation Santé Service choisit GPLExpert pour un hébergement web conforme au référentiel CaRE
02 juin 2025 - 15:00,
Communiqué
- GPLExpertGPLExpert rejoint le groupe itp tout en conservant vos interlocuteurs. Fort de 30 ans d’histoire, 160 collaborateurs, 11 agences et 6 domaines d’expertise, qui sont désormais à votre service :

La cyber et les probabilités paresseuses
26 mai 2025 - 21:29,
Tribune
-Récemment, j’ai assisté à la conférence d’un entrepreneur qui propose des prestations de service relatives à des « calculs d’impact ». Oui, dit comme cela, c’est étrange, mais en fait pas autant qu’il y paraît : dans l’idée, si vous disposez d’un budget fixe, entre deux choix de projets cyber (par e...

Cybersécurité, simuler pour protéger : la force des formations immersives
19 mai 2025 - 23:41,
Tribune
-Dans un secteur aussi sensible que celui de la santé, la cybersécurité et la cyber résilience sont prioritaires. Les séquences immersives intégrées dans les formations à la cybersécurité jouent un rôle essentiel pour préparer les professionnels à faire face aux menaces. Ces approches pédagogiques re...