Publicité en cours de chargement...

Publicité en cours de chargement...

Synthèse sur les mots de passe. Partie III

17 oct. 2016 - 11:07,
Tribune - Cédric Cartau
Il n’était pas prévu de faire une V3, mais – preuve s’il en était besoin qu’en matière de SSI l’humilité est la règle – Francis Bergey, un ingénieur sécurité de mes amis, me signale plusieurs points discutables dans les deux premiers volets, et notamment dans la conclusion. Dans un souci d’exhaustivité et de transparence, je me dois de vous en faire part.

Tout d’abord, pour ce qui concerne le cas de l’attaque d’un site Web avec mire de connexion login/password, le temps de réponse de deux à trois secondes n’est absolument pas un frein dans la mesure où un attaquant peut lancer plusieurs tentatives d’authentification en parallèle. Que la réponse mette une seconde ou dix minutes à arriver ne change rien. Certes, le mécanisme d’attaque est singulièrement complexifié, mais rien d’impossible pour peu que l’on ait la puissance machine et la volonté. 

De plus, si un attaquant ne cible pas un compte particulier mais cherche à obtenir des comptes sur un site, la technique d’attaque peut être complètement changée : il suffit de fixer le mot de passe et de le tester sur tous les comptes.

La seule manière de contrer ces attaques est d’insérer un captcha à la saisie du mot de passe ou, à défaut, si ce n’est pas acceptable d’un point de vue ergonomique (normes d’accessibilité Web notamment), de mettre en place des limitations de vélocité ou des captchas au bout de n tentatives depuis une seule IP. Pour cette deuxième mesure, la protection sera insuffisante vis-à-vis d’attaquants déterminés qui vont utiliser des Clouds, des réseaux d’anonymisation et de proxy pour changer leur IP au bout de deux ou trois tentatives. En conclusion, sans mécanisme de captcha systématique, un attaquant un peu malin et déterminé va réussir à obtenir les comptes pour lesquels un mot de passe basique est utilisé.

Enfin, point non technique, le terme « mot de passe » est très mal choisi car il sous-entend la nécessité d’utiliser un « mot ». Or, on vient de voir que recourir à un mot de dictionnaire était une très mauvaise idée. Du coup, quand les équipes sécurité demandent d’ajouter des majuscules, des caractères spéciaux, etc., les utilisateurs hybrident le « mot » pour intégrer ces contraintes, et donc cela devient très complexe. Utiliser les termes « code secret » à la place de « mot de passe » permettrait de changer la posture intellectuelle de la personne devant choisir ce code secret.

Fin, à moins d’autres remarques ?

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Contourner les règles, faille cyber éternelle et consubstantielle à l’espèce humaine

Contourner les règles, faille cyber éternelle et consubstantielle à l’espèce humaine

21 avril 2025 - 19:07,

Tribune

-
Cédric Cartau

Récemment, un post sur LinkedIn racontait l’histoire suivante : un enseignant soucieux de repérer les élèves qui faisaient rédiger leur copie par ChatGPT transmettait ses consignes sous forme de fichiers PDF dans lesquels il incluait des morceaux de texte en caractères blancs, donc invisibles pour l...

Illustration Panorama forcément non exhaustif du fléau des arnaques en ligne en ce début 2025

Panorama forcément non exhaustif du fléau des arnaques en ligne en ce début 2025

08 avril 2025 - 07:19,

Tribune

-
Cédric Cartau

Le temps des mails provenant d’un prince nigérian qui requiert votre aide pour toucher un héritage, ou de la petite Marie qui attend désespérément une greffe, est révolu : les techniques ont évolué, les outils aussi, les réseaux se sont structurés et professionnalisés. Petit panorama, forcément inco...

Illustration Ségur numérique : Mise à jour du calendrier réglementaire pour les dispositifs de la Vague 2 à l’hôpital

Ségur numérique : Mise à jour du calendrier réglementaire pour les dispositifs de la Vague 2 à l’hôpital

24 mars 2025 - 20:32,

Actualité

- DSIH,

Afin de garantir au plus grand nombre d’établissements de santé l’accès aux mises à jour financées par le Ségur numérique, le calendrier des dispositifs dédiés aux logiciels Dossier Patient Informatisé (DPI) et Plateforme d’Interopérabilité (PFI) a été étendu par un arrêté modificatif, publié ce jou...

Illustration Loi sur le narcotrafic et fin du chiffrement : analyse d’un membre éminent et actif du CVC

Loi sur le narcotrafic et fin du chiffrement : analyse d’un membre éminent et actif du CVC

10 mars 2025 - 19:33,

Tribune

-
Cédric Cartau

Vous n’avez pas pu le rater : sous couvert de lutte contre le trafic de stupéfiants, la proposition de loi d’Étienne Blanc et de Jérôme Durain, déjà adoptée à l’unanimité au Sénat, sera débattue au mois de mars à l’Assemblée nationale. Baptisée « loi Narcotrafic », elle vise à obliger les services d...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.