Un mot de passe compliqué gage de sécurité ? Pas si sûr...

Un mot de passe constitué de chiffres, de lettres (le compte est bon, ta da da da, da da daaaaa), et de caractères spéciaux, mémorisé et updatés plusieurs fois par an, et bien ça ne suffit peut-être pas. En cause : les keylogguers souvent induits par les infections virales, qui d'après Cormac Herley, spécialiste sécurité chez Microsoft, font parti des éléments majeurs à surveiller de prêt, un antivirus n'étant pas toujours apte à les stopper.

Ce dernier s'exprime également sur le fait que "ce ne sont pas aux utilisateurs d'être plus prudents et moins con mieux informés, mais aux responsables de la sécurité d'être plus préventifs", et que les alertes de sécurité n'offrent qu'un impact très réduit auprès des utilisateurs. Il appuie également le fait que sur nombre de sites sensibles et/ou d'envergure (paypal, amazon...), notamment ceux où l'on enregistre ses coordonnées bancaires, n'ont aucune politique relative à l'utilisation forcée de mots de passe costauds; "inutile" si les clients ne sont finalement pas bien protégés en amont.

Au final, les experts concluent que l'utilisation de mots de passe courts, plus faciles à retenir, ne posent pas de soucis de sécurité tant que des précautions sont mise en place à l'encontre des tentatives frauduleuses : un simple blocage de compte après un nombre limités d'essais de logins infructueux : paf, exit de bruteforce. Avec ce genre de restrictions sécuritaires, un compte verrouillé 24 heures après 3 essais infructueux, et un mot de passe simple à 6 chiffres prendrait 100 ans à être cassé !

Suivant cette voie, C. Herley, son collègue S. Schechter et M. Mitzenmacher ont suggéré un système, développé à Harvard, autorisant des mots de passe ultra bateau voir ultra-courts, du moment qu'un même mot de passe soit limité à un petit pourcentage fixé par rapport au nombre d'utilisateurs du site employant ledit système.

En attendant, si nous avons un seul conseil à vous adresser, c'est celui de savoir ce que vous faites, et dans le cas contraire de vous renseigner ! (source : NY times)

 K3v1n, hax0r professionnel, ne s'est pas encore exprimé sur le sujet