Sécurisation des mots de passe pour les accès aux sites web

Transcription

1 1. Contexte et risques De nos jours, avec la multiplication des sites web sur lesquels on s inscrit, il est nécessaire de créer pour chacun un compte avec un identifiant (en général une adresse ) et un mot de passe. La difficulté étant que les règles de gestion du mot de passe diffèrent d un site à l autre (sur 6 ou 8 caractères, avec ou sans caractère spécial etc). Bref la facilité fait, pour se rappeler plus facilement de ses accès, qu on peut avoir tendance à utiliser un mot de passe simple et identique sur chacun ou plusieurs de ces sites. C est une erreur majeure, il suffit qu un seul site, mal sécurisé, se fasse pirater pour que le mot de passe, si trop facile et/ou mal crypté par l hébergeur, soit deviné/décrypté et testé par les hackeurs sur d autres sites ce qui est le pire scénario : se faire pirater son mot de passe sur un site sans importance et à l issue se faire pirater ses comptes bancaires. Petit article récent de Next Inpact qui fait froid dans le dos, à lire ici. Règle d or de la sécurité : à chaque site son mot de passe, propre et unique et le plus complexe possible! 2. Règles de définition d un mot de passe Le mot de passe en lui même doit au minimum être composé de 8 caractères (si cela est permis, 12 étant bien meilleur) incluant des lettres minuscules ET des lettres majuscules ET des chiffres ET, si cela est pris en compte par le site web des caractères spéciaux du type ( # etc Utiliser un moyen mnémotechnique pour complexifier son mot de passe Kezako? C est un moyen de mémoriser des informations par association d idées, usage de mots clés, d images, par exemple : je m appelle Christophe et j ai un site web personnel -> jmcejuswp et puis on alterne les minuscules et majuscules JmCeJuSwP et enfin si on remplace le e (E) par un 3 le u de un par 1 -> JmC3J1SwP Bref il y a déjà moyen de mettre en place des mots de passe plus complexes que le nom du conjoint, de ses enfants, du chien ou aussi banal que password, motdepasse, etc Tiens une petite étude récente, de début 2015, portant sur la qualité des mots de passe, cela laisse songeur. Et là encore l exemple de mot de passe cité n est pas assez puissant! Via le site (éviter quand même de saisir son vrai mot de passe, on ne sait jamais ce qui peut en être fait ) on peut estimer le temps potentiel qu il faudrait pour essayer de le casser : 39 jours (contre 22 mn la première mouture). Pas assez mon enfant. Donc je reprends et rajoute des chiffres (mon age) et un petit caractère spécial entre, ce qui pourrait donner JmC.3J1SWP46 et là c est tout de suite bien meilleur : années pour le casser. Oui mais comment se rappeler de tous ses mots de passes? Les noter sur un bout de papier? Non ceci aussi est à éviter. 3. Comment faciliter la gestion de ses mots de passe Des solutions logicielles existent, parmi quelques-unes que j ai pratiquées ou utilisées et qui offrent des fonctionnalités similaires, pour la première en local (ordinateur) pour la seconde avec un accès sécurisé de n importe où via le Cloud (pc, tablette, smartphone, peu importe le lieu de connexion) : 3.1 Keepass Keepass : logiciel à installer sur son pc, il permet de définir un mot de passe principal d accès à celui-ci pour y renseigner ensuite en local pour chaque site nécessaire (ou licence de jeu, logiciel, n de carte bleue etc) le mot de passe unique qui lui a été donné et donc de le retrouver. Un tutoriel sous forme de vidéo est même mis à disposition par 1

2 la CNIL, merci à eux. 2

3 KeyPass La base de données est cryptée et sécurisée par le mot de passe maître (cf règles de gestions évoquées en amont dans cet article!) et une version portable de l application (pas d installation à réaliser sur un pc tiers) peut même être utilisée depuis une clé usb en y copiant cette base. J ai écrit un article sur l installation de ce logiciel. Cet excellent outil est open source et donc développé par la communauté, merci à eux aussi et propose moult extensions (plugins) développées par tout un chacun permettant d apporter d autres fonctionnalités (point de vue sécurité, cela peut ouvrir des portes dérobées quand même, personnellement je n en utilise pas). A noter, cerise sur le gâteau, que Keepass permet d importer toutes les informations issues de LastPass (cf logiciel suivant proposé) si celles-ci ont été exportées au format CSV et donc de sécuriser en complément en local ces précieuses données. Bien sûr stocker ses mots de passe dans un outil, dont les informations ne sont stockées que sur un PC en local (cas de KeePass) est risqué en cas de panne de la dite machine et en général cela nous tombe dessus sans crier gare. Conserver une copie de sauvegarde du fichier de la base de données sur un autre périphérique (clé usb, disque dur externe) ou ailleurs (Cloud, NAS etc). Il est déconseillé de conserver un export de ses données (csv, txt) car ce type de fichier n est pas sécurisé pour avoir accès à son contenu. Si la base est stockée sur une clé usb, là encore ne pas faire un simple copier/coller mais ziper le fichier en cryptant celui-ci avec un mot de passe connu de mémoire cette fois-ci (et oui encore, même si la base de KeePass est cryptée, sait-on jamais ). Si perte de la clé usb, hum la catastrophe est proche si un usage mal intentionné en est fait (à condition que le mot de passe puisse être décrypté). 3.2 Lastpass Lastpass : la solution que je préfère car même si les mots de passe sont stockés en local ils sont bien cryptés, et ce coffre-fort ainsi codé est stocké dans le cloud, ceci permettant d y avoir accès depuis n importe quel pc, voire smartphone (12$ le forfait annuel, coût négligeable pour éviter une fraude ). 3

4 4

5 Interface de LastPass De plus cette solution : permet une double authentification pour ouvrir le coffre-fort (mot de passe + code de sécurité donné depuis un smartphone, via par exemple une application de type Google Authenticator ), s intègre très bien aux divers navigateurs existants (Firefox, Internet Explorer, Chrome ) pour permettre une fois authentifié de pré-renseigner les sites webs que l on a mémorisé en amont avec le compte créé et son mot de passe affecté. de générer des mots de passe complexes à souhait et complètements aléatoires et de mémoriser tout autre type d informations sensibles (licences logicielles, informations de CB etc). En terme d équivalents il existe Dashlane, SplashId, 1Password entre autres avec des tarifs/fonctionnalités gratuites différentes. De plus Lastpass offre aussi une fonction sympathique de génération de mot de passe selon les critères que l on souhaite, exemple : génération d un mot de passe sur 15 caractères composé de quatre types de caractères et à minima de 4 chiffres : 5

6 6

7 LastPass et génération de mot de passe Et celui-ci il faudrait années pour le cracker avec une méthode de brute force. Enfin, une fois les comptes d accès aux différents sites web renseignés, il est possible de lancer un audit de sécurité (local) de ces derniers : 7

8 Audit lastpass Lors de cet audit, un contrôle est de plus mené pour remonter une alerte si des sites web connus comme ayant été hackés récemment sur lesquels des comptes ont été déclarés risquent de poser un souci de sécurité, ce de manière à pouvoir changer le mot de passe au plus tôt sur ces sites web. Cet audit, si risque détecté, envoie un en complément dans les boites aux lettres des comptes concernés. 8

9 Audit LastPass sur les comptes 3.3 Bonnes pratiques Ces deux logiciels permettent de n avoir à mémoriser qu un seul mot de passe : le mot de passe maître permettant de se connecter à LastPass ou d ouvrir la base de KeePass. Il doit obligatoirement être de type très complexe et être mnémotechnique pour s en rappeler de mémoire. Si nécessaire ces deux logiciels permettent d exporter sous différents formats (txt, csv etc) la base de données des mots de passes et notes. Évidemment ne pas laisser traîner ces exports n importe où, sinon la sécurité de vos accès et comptes retombe à zéro et aucune plus-value Si Lastpass est utilisé, il est possible d exporter les données au format CSV pour les importer dans une base de données dans Keepass puis de supprimer le fichier CSV. Ceci permet de sécuriser en local ses comptes gérés par Lastpass (et de garder une copie de cette base de données ailleurs en complément). Enfin, l idéal est de changer le mot de passe (à minima des sites sensibles ) à une fréquence, disons trimestrielle, Keepass ou Lastpass sont réellement facilitant pour réaliser cela, de fait. 4. Accroître la sécurité La double authentification (authentification multi-factorielle dans le jargon) si proposée par un site est-elle nécessaire et souhaitée? Oui, surtout, si les données auxquelles il est possible d accéder sont sensibles! Telles que financières (comptes bancaires) ou un compte d un site web vital lié à des achats possibles (compte Appstore, compte microsoft etc) Oui au maximum dès que cela est possible car si jamais le mot de passe du compte était deviné, cracké, il est impossible d avoir le second code demandé à l issue et que l on obtient : soit par un mail à une adresse qui aura été prédéfinie en amont, soit par un sms sur un numéro de portable déclaré lors du paramétrage, soit via une application spécifique sur smartphone. Utiliser les options supplémentaires de sécurité proposées (authentification multifacteurs, adresse mail secondaire, numéro de téléphone pour envoi de sms etc.) est vital pour accroître la sécurisation de ses accès. Pour les smartphones, quelques liens d une telle application de type Authenticator via l AppleStore pour IOS, GooglePlay pour Android ou le Store pour Windows Phone. Evidemment selon les sites et jeux ou applications d autres solutions existent (logicielles ou avec clé usb externe de type OTP). Se référer, si nécessaire, aux tutoriels vidéos réalisés et postés sur ce blog expliquant l usage de Lastpass (ou d autres disponibles sur internet évidemment). 9

10 5. Synthèse Tout ceci pour essayer de démontrer la prudence qu il faut avoir et les moyens à mettre en place pour essayer de prévenir au maximum les risques pour éviter tout simplement de gros dégâts en cas d usurpation de l identité numérique, si une base de données d un fournisseur quelconque était piratée. Il n y a quasiment pas un mois (voire des fois semaines) sans qu un article sur les sites spécialisés évoque le fait que des sites web, même réputés, aient été piratés. Cela est connu et reconnu : Le risque zéro n existe pas Faut-il être parano? Non mais se donner des règles et s imposer de les respecter, cela est payant sur la durée. Et puis mon expérience ne fait que corroborer les bonnes pratiques que l on trouve diffusées dans le monde de l entreprise ou que l on peut retrouver sur le web. Un doute encore suite à cet article? Le site de la CNIL évoque ces bonnes pratiques dans cet article En souhaitant ardemment que cet article vous ait intéressé et surtout qu il vous ait ouvert les yeux sur la sécurisation de l accès à vos données. 10