Discussion :

[Annonces]

Des chercheurs proposent en open source un outil pour mesurer la sécurité des MdP,
qui fait des suggestions aux utilisateurs pour les améliorer

Comme l’indiquent les listes annuelles des mots de passe les plus utilisés, les internautes n’ont pas encore la culture du mot de passe fort. Pour aider à surmonter le problème et, par la même occasion, augmenter la sécurité des comptes des internautes, une équipe constituée de chercheurs de l'Université Carnegie Mellon et de l'Université de Chicago a créé un mot de passe open source qui fournit des conseils sur la façon de renforcer un mot de passe.

Bien qu'il soit assez courant de rencontrer des formulaires en ligne qui vous obligent à créer des mots de passe répondant à certains critères, cela ne signifie pas nécessairement qu'ils sont sécurisés. Le Laboratoire CyLab de la protection de la vie privée et de la sécurité (CUPS), en collaboration avec l'Institut de recherche sur les logiciels, a créé un outil qui fournit des commentaires en temps réel qui permet d'expliquer pourquoi un mot de passe est instable et offre des conseils sur la façon de le renforcer.

L'outil est particulièrement efficace pour aider les gens à choisir des mots de passe moins enclins aux attaques par force brute. L'un des auteurs, Blase Ur, a déclaré que « La façon dont les attaquants devinent les mots de passe est en exploitant les modèles qu'ils observent dans de grands ensembles de données de mots de passe brisés. Par exemple, si vous changez Es en 3s dans votre mot de passe, cela ne va pas tromper un attaquant. Le compteur expliquera la fréquence de la substitution et proposera des conseils sur ce qu'il faut faire à la place ».

Le projet est écrit en TypeScript qui est transcompilé en JavaScript. Sur le dépôt GitHub, les auteurs préviennent que plusieurs utilisateurs potentiels du MDP-mètre pourraient ne pas avoir à retranscompiler de TypeScript à JavaScript : « Au lieu de cela, ces utilisateurs peuvent utiliser le code dans le répertoire /example, qui contient un environnement prêt à être exécuté pour le MDP-mètre. Le fichier HTML principal est index.html ».

Une démo est disponible en ligne.

démo du MDP-mètre

Source : dépôt GitHub

Et vous ?

Que pensez-vous de cette initiative ?

Voir aussi :

Des chercheurs annoncent « lip password », un nouveau système d'authentification qui se base sur les mouvements des lèvres en guise de mot de passe
USA : la police peut-elle contraindre un suspect à donner son mot de passe ? Oui, dans une certaine mesure, selon un tribunal de Floride
Le changement fréquent de mot de passe pourrait rendre les systèmes moins sécurisés contrairement à ce que l'on croit, révèlent des études

[Lcf.vs]

Perso, j'trouve que c'est une solution d'amateurs, plutôt que de chercheurs...

Tout d'abord, ces substitutions n'ont absolument rien d'innovant, ensuite, dans la culture geek, c'est même un grand classique... et de quel monde font partie les hackers?

Pour moi, rien ne vaut l'usage d'une phrase, si possible multilingue, pour un mot de passe, on peut facilement s'en rappeler, tour en y avant de tout : majuscules, caractères spéciaux, etc.

[rambc]

Impossible équation.

Donner publiquement une méthode pour créer un mot de passe, c'est aussi indiquer aux hackers une méthodologie à tester pour casser les codes.

[NSKis]

J'ai la très nette impression que le terme "chercheur" n'est pas le bon qualificatif pour nommer les "génies" à l'origine de cette prouesse technologique!!!

Pour info, ces "chercheurs" ne font rien de plus que d'appliquer les règles de base pour définir un mot de passe lisible dans n'importe quel bouquin intitulé "Créer son mot-de-passe pour les nuls!":
1. Un nombre de caractères de 10 et plus
2. Un mélange de caractères minuscules, majuscules, nombres et caractères spéciaux (du genre; $, @, etc.)
3. N'utiliser aucun mot présent dans un dictionnaire, quelque soit la langue
4. Aucun mot-de-passe issu d'une manip au clavier du style "654321" et autre "azerty"

Maintenant que j'y pense... Je vais ajouter à ma carte de visite le titre "chercheur"

PS: Le plus drôle de l'histoire???

une équipe constituée de chercheurs de l'Université Carnegie Mellon et de l'Université de Chicago

Ils ont dû s'y mettre à plusieurs pour pondre "cette machine à couper le beurre"!!! Cela doit être des "chercheurs" dont la principale activité est de jouer dans l'équipe de football américain de leur université

[grunk]

Forcer à utiliser des caractères spéciaux des minuscules ou des majuscule c'est du vent.

$Ad1p*!

sera toujours moins sécurisé que

un mot de passe sécurisé

Le nerf de la guerre c'est la longueur.

Dans mes développements actuels un mot de passe valide est un mot de passe d'au moins 8 caractères (en dessous c'est brute forcable trop rapidement avec un gpu) et qui n'est pas dans la liste des 1000 ou 10000 mot de passe les plus utilisés (123456789, azertyuiop, etc ...)

Plus on va mettre de contraintes à un mot de passe plus l'utilisateur va avoir un comportement prédictif et ainsi réduire la sécurité. Du genre si j'oblige des chiffres dans mon mot de passe , va y'avoir une grosse majorité des utilisateurs qui vont rajouter soit leur année de naissance soit 123 à la fin. Des caractères spéciaux ? Je remplace les lettre classique par leur équivalent s = $ e = 3 , etc ...

[lpinformatique]

Le nerf de la guerre c'est la longueur.

Je comprends l'idée mais non! Ils t'ont menti!
La "Shannon entropy"(Plus c'est long plus c'est bon), C'est pas la solution. Source

Mais oui si c'est long sans répétition, ni pattern évident alors il y a une chance que cela soit secure.
Sauf si c'est quelque chose déjà présent dans les bdd leack sur le net.

Mais quand on dit Mot de passe sécurisé on parle de quoi? C'est quoi le but?
Empêcher le brute forçage à la saisie? Ou une le mdp salé et crypté?
Non car si c'est pour finir en claire en base on est un peu entraint de se faire chier pour rien.

[Invité]

Cela me rappelle une histoire avec des carottes : ici

L'être humain est très mauvais à ce jeu, si toutes les règles sont respectées, le mot de passe finit sur un un post-it, collé sur l'écran ou sous le clavier, parce que trop compliqué à retrouver.

[Shepard]

Non car si c'est pour finir en claire en base on est un peu entraint de se faire chier pour rien.

C'est quelque chose que je n'ai jamais compris ... La plupart des SGBDR ont un mécanisme d'authentification. Pourquoi en créer un perso par-dessus ?

Perso la gestion de la sécurité des mots de passe ne me concerne pas, c'est au SGBDR de s'en charger

Edit : Et le pouce rouge :-) Non vraiment, c'est quelque chose que je ne comprends pas, mais sur laquelle tout le monde semble d'accord, sauf moi ... Pourtant j'ai déjà demandé, mais je n'ai jamais eu d'argument contre ce que je fais, du coup je continue de faire à ma mode

[hotcryx]

Je comprends l'idée mais non! Ils t'ont menti!
La "Shannon entropy"(Plus c'est long plus c'est bon)[/URL]

Plus c'est gros plus ça passe

[lpinformatique]

On peut au moins leur attribuer le prix de l'effort!
Il se base sur les données, pour rendre le Mdp unique.

Mais il y a une autre population de chercheur en sécurité qui se basse sur les données aussi.
Mais pour faire l'inverse.

[arond]

Ou alors idée révolutionnaire :

On laisse les utilisateurs se démerder en précisant gentiment dans la charte qu'ils ne lisent jamais que nous ne feront aucun effort pour garantir leur sécurité si ils n'utilisent pas de mot de passe fort.

A force de ce faire taper dessus ces crétins comprendront

Et je vais de ce pas ajouter "Chercheur" à mon CV.

[skuatamad]

une équipe constituée de chercheurs de l'Université Carnegie Mellon et de l'Université de Chicago a créé un mot de passe open source

Que pensez-vous de cette initiative ?

Je pense que c'est pousser trop loin le concept de l'open source

[Doksuri]

Code javascript :

Sélectionner tout - Visualiser dans une fenêtre à part

/\w+/

ca y est, je suis moi aussi un chercheur en securite ?

blague appart si ca permet d'eviter des "12345" ou "password" ca ne peut etre qu'un bon point
par contre, il ne faudrait pas que ca impose a l'utilisateur : s'il veut garder son "12345" c'est son probleme

[gangsoleil]

Bon, bah je suis désolé pour eux, mais non, mar0ChEurBXlagP n'est pas plus sécurisé que marcheurBlanc. Car pour arriver à une telle conclusion, tu prends en compte le fait que tu connaisses le mot de passe, ce qui n'est bien sûr pas le cas d'un attaquant. Seule la longueur compte, ou les informations que peut retourner la page, du genre "ah non, vous ne pouvez pas utiliser les caractères suivants", car cela permet de réduire le charset à utiliser.

Et les attaquants ne sont pas plus bêtes que la moyenne : tous les algo de type dictionnaires prennent maintenant en compte le remplacement de caractères, E par 3, L par 1, T par 7, ... Donc 1337 ou leet, c'est exactement la même chose.

[SurferIX]

Combien d'années faudra-t-il pour certains à comprendre ce dessin, en résumé : seule la longueur compte et une longueur > 15 caractères, même avec une phrase simple comme "lesilenceestdor" devient impossible à cracker. Cet outil est d'une inutilité totale.

[Jean Delacroix]

Bonjour,
Le renforcement de mot de passe est déjà une bonne initiative pour sécuriser nos donnés personnelles et nos messageries. Mais, on peut aussi combiner cela avec la mise en place des mails sécurisés pour obtenir plus de résultats. Le chiffrement de bout en bout basé sur OpenPGP est conseillé pour empêcher les intrus de s’en prendre à nos donnés confidentiels et nuire à notre vie privée. https://mailfence.com/ utilise aussi ce système OpenPGP et travaille également sur le bon moyen pour la protection de la vie privée, cela vous permet de chiffrer les emails et de sécuriser vos données personnelles. Merci.

[Lcf.vs]

@Jean Delacroix : tu vas pitêt un peu trop loin, là... il s'agit d'identifiants applicatifs...