Les meilleurs mots de passe ont 7 ou 8 caractères. Au-delà, leur longueur risque d'entrainer la tentation de les noter quelque part. De bons mots de passe donc sont ceux qui contiennent au moins six caractères, ne sont pas basés sur des informations personnelles et contiennent des caractères non alphabétiques : 4score, ava8nce, mon_nom, sisteme (sic), bon1jour et a1b4c3 sont relativement difficiles à découvrir.
Des mots de passe encore meilleurs sont ceux du genre dg7n33ex, mint1pen ou luv2run. Ils sont quasi impossibles à découvrir. Malheureusement, le premier est aussi presque impossible à retenir. Si un mot de passe est si mystérieux que vous devez le coucher sur papier, ce n'est pas un bon mot de passe. L'écriture sur papier n'est en effet pas une pratique de bonne sécurité. Une bonne méthode pour choisir est d'accoler deux mots qui n'ont aucun rapport entre eux, tout en y intercalant un chiffre ou un autre signe. Par exemple : rat2daim, voix?tur, ta!chine, t0utdur ou toud0ux.
Une autre façon encore consiste à prendre la première
lettre des mots d'une phrase mémorisable facilement. Par exemple,
Dum,lgem vient tout naturellement de « Derrière un mamelon, la
garde était massée ».
Il est bien évident que tous les exemples cités ci-dessus sont maintenant devenus des mauvais mots de passe. D'autre part, le meilleur des mots de passe perd tous ses effets s'il est épelé à haute voix chaque fois qu'il est encodé.
Le mot de passe doit être changé régulièrement de façon à limiter les dégâts en cas de découverte. Un délai de six mois pour changer de mot de passe semble bien constituer un maximum, vu le niveau de sécurité à atteindre. Lors du changement de mot de passe, il y a lieu d'éviter de reprendre un ancien. Si ce dernier avait été découvert, le malveillant pourrait à nouveau percer les secrets.
L'introduction discrète du mot de passe associé à un nom d'utilisateur est assurée sur toutes les stations de travail modernes. Il suffit que le mot de passe ne soit pas affiché au moment où l'utilisateur le tape au clavier.
Cependant, un terminal public peut être placé par un piégeur sous le contrôle d'un programme espion réduit à quelques instructions simples qui simulent le comportement du système d'exploitation. Le piégeur quitte alors le terminal sans le déconnecter. Quand l'utilisateur suivant introduira sa commande de connexion, le programme espion l'invitera à fournir le mot de passe, et l'utilisateur le livrera naïvement. Le programme espion enregistrera alors le nom de l'utilisateur et le mot de passe associé. Il évitera ensuite d'éveiller les soupçons, par exemple en simulant un disfonctionnement du terminal.
Des pièges simples suffisent à abuser les utilisateurs débutants. Mais les utilisateurs avertis ne sont pas à l'abri de pièges plus sophistiqués.
Quand vous vous installez à un terminal public, surtout s'il est déjà sous tension, vous pourriez commencer par lancer quelques commandes de manière à déjouer une éventuelle simulation grossière. Mais ceci ne suffit pas encore.
La seule défense vis-à-vis des vols de mots de passe perpétrés au moyen de terminaux piégés consiste à rendre ces vols infructueux. Le piégeur ne pourra en bénéficier que si vous ne l'avez pas remarqué, ou si vous ne réagissez pas assez rapidement.
Il est possible de savoir, peu après la connexion au système, si on est en liaison avec un programme espion. Il suffit pour cela de personnaliser la réaction de sa machine virtuelle (au moyen par exemple d'une commande d'affichage contenue dans le fichier des commandes lancées lors de la connexion) de sorte qu'un message connu de vous seul soit affiché à l'écran.
Si, après l'introduction de son mot de passe, vous ne recevez pas le message personnel attendu, il y a lieu de penser que, sans doute, vous êtes en communication, non pas avec votre machine habituelle, mais avec un programme espion qui vient donc de piéger le mot de passe associé. Il suffit, dès lors, de changer les mots de passe avant que le piégeur ait pu les utiliser.
Page : UCL | Services | Pointeurs utiles