Bonjour @Léon
La réalité est que la majorité des gens :
-utilisent des mots de passe simples
- ne les renouvellent jamais
- les réutilisent sur de multiples sites
La majorité, j'en doute fortement et je pense que c'est exagéré. As-tu un quelconque chiffre ou un article corroborant qu'ils sont la "majorité" ?
Cependant, indiscutablement oui (comme je l'ai déjà écrit) :
- il y en a, hélas
- et pour eux j'écrivais : la double-authentification rend "solide" la situation même pour un inconscient qui a un mot de passe trop facile (un mot du dictionnaire, 123456 ou autre bêtise)
Ils sont cependant d'autant moins nombreux que désormais, la plupart des systèmes de mot de passe REFUSENT qu'on définisse un mot de passe trop simple, rendant cette situation de moins en moins possible dans la réalité.
Quand à l'argument de SFR vaut mieux un GAFAM...sérieux? Je prendrais ton argument au sérieux si tu proposais Protonmail...
Ce n'est pas un argument, c'est ma propre préférence, en conclusion du message (et j'ai bien pris la peine de ne pas vouloir "généraliser" mon avis à tout le monde en indiquant illico que c'est mon choix, subjectif... précaution que tu ne prends pas en affirmant ton propre avis, et non des faits, à plusieurs reprises).
Oui, je préfère me choisir un mot de passe difficile à casser qu'utiliser un fournisseur de mail GAFAM. Sérieusement.
Tu as parfaitement le droit de préférer autre chose.
(ai-je le droit de dire que moi je préfère la glace à la pistache à quelqu'un qui voudrait que le parfum chocolat soit forcément en vente car ce serait un incontournable ?)... Il faut proposer Protonmail pour avoir le droit à exprimer sa préférence ? Diantre.
Pour revenir à la base de mon argument, il est honteux que les fournisseurs français ne proposent pas de MFA (je crois que Orange c'est pareil). C'est mettre délibérément en danger ses clients.
Dans la mesure où chacun de ces 2 fournisseurs (Orange et SFR) interdisaient déjà les mots de passes faciles que (pourtant) tu affirmais être la réalité de la majorité des utilisateurs, leurs clients ont alors des mots de passe qui n'entrent pas dans la catogorie des faciles à casser (et sont plutôt de l'ordre d'un gros paquets d'années pour être cassés).
Ton affirmation encore une fois exagérée est fortement biaisée par l'objectif que tu poursuis : vouloir absolument que la double-authentification soit proposée (ce qui n'est pas un mal en soi, bien au contraire, comme dit dans ma première réponse elle vient combler les trous très efficacement), mais en exagérant la réalité de la situation.
Ça me fait penser à un parent qui dirait "Attention tu peux mourrir si tu avales le noyau car un arbre pourrait pousser dans ton ventre !". Certes ça part d'une bonne intention, mais en exagérant ainsi à l'extrême ("suicidaire", etc.) on s'écarte aussi de la réalité, et de beaucoup beaucoup.
Vous êtes hyper optimiste sur les mots de passe.
N'hésite pas à en parler à la "Direction du numérique", qui existe au plan national dans notre pays, afin de faire modifier cette page du service public qui diffuse l'infographie de cette table "optimiste" de la résistance des mots de passe sur laquelle s'est appuyé @TagadaTsoinTsoin : https://www.francenum.gouv.fr/magazine-du-numerique/combien-de-temps-un-pirate-met-il-pour-trouver-v...
Pour info annexe, cette direction a rappelé, encore une fois le 28 février dernier, que tous les établissement scolaires (notamment les universités et écoles supérieures donc) ne doivent PAS utiliser des suites logicielles dont le code source ne permet ni d'héberger les données en local, ni d'être sûr qu'elles ne sont pas aspirées, et citant explicitement un GAFAM comme Microsoft et son Office 365, Teams et compagnie comme des outils proscrire de tout choix informatique (rappel qui a été fait de manière "musclée" car bon nombre de ce genre d'établissements cédaient en effet aux sirènes de Microsoft, Teams, etc. et pédalaient dans le sens inverse...)
Ce vous dites est valable pour qui utilise des mots de passes uniques et complexes.
A moins d'être un psychopathe cela revient à dire les utilisateurs de gestionnaires de mot de passe.
Bien sûr que non.
- Je n'utilise aucun gestionnaire de mot de passe (jamais eu besoin).
- J'utilise des mots de passe "pas faciles à casser" (selon tous les algorithmes qui évaluent le temps nécessaire pour les casser à un énorme paquet d'années, y compris ceux de labos de recherche en cybersécurité) mais qui ne sont pas des suites de caractères informatiques aléatoires sortie par tel ou tel générateur informatique... C'est sorti de mon cerveau humain.
- Il y a une "logique" personnelle dans les mots de passe que je me crée, avec de plus une variante à chaque fois liée au site concerné (donc pas deux mots de passe identiques).
- La plupart des gens à qui j'en parle autour de moi ont adopté le même principe de construction : mes enfants et ma famille (parce que je leur ai conseillé ainsi peut-être) mais aussi des collègues de travail ou d'autres amis (à qui je n'avais jamais donné ce conseil) : cette "hygiène informatique" semble maintenant quand même un classique je trouve.
En tous cas, non, construire un mot de passe "solide et résistant" n'implique pas forcément d'être psychopathe ni utilisateur de gestionnaire (mais le gestionnaire est très bien pour les stocker et ne pas être obligé de passer par "mot de passe oublié" chaque fois qu'on en oublie un... ce qui est hélas le réflexe de la plupart des ados que je croise, y compris les miens hélas)... Mais "oublier" son mot de passe n'implique pas qu'il soit faible et de mauvaise qualité, ce qui est plutôt facile à atteindre quand on s'applique un peu.
N.B. Par exemple, te concernant, le mot de passe "Leon=foruM+2025!" est qualifié de super costaud par tous ces évaluateurs de mots de passe, avec à la clé plusieurs siècles avant d'être cassé. Ni basique, ni psychopathe, non ?
Mais l'humain lambda va encore souvent utiliser le même mot de passe basique sur tous ses sites, importants ou non, correctement sécurisés ou non.....et ensuite il suffit au pirate de remonter.
C'est fort possible que l'humain lambda ne prenne même pas les précautions de base qui le sauverait.
Mais, comme rappelé ci-dessus, un nombre très conséquent de sites (notamment les "sites importants" comme tu dis) n'acceptent même pas les mots de passe basiques (ce qui infirme déjà de beaucoup ton affirmation) => mais une fois encore, as-tu une quelconque source qui attesteraient que la réalité est celle que tu décris ? ou c'est plutôt ton avis ?
Mais oui, il y a beaucoup de gens qui (même si les sites les forcent à un mot de passe solide) réutilisent à tort le même mot de passe sur d'autres sites. Là, leur salut (et la non-remontée du pirate à tous leurs autres comptes) dépend donc de la "résistance" de leur mot de passe réutilisé hyper souvent => d'où le fait que de nombreux sites empêchent de définir un mot de passe basique justement. Ce qui combat ce risque.
Quel beauf de base va connaître haveibeenpwnd ou connaitra l'existence de la base Alien ?
Les beaufs, tu le dis avec amour en sachant que bon nombre de tes proches sont dedans j'imagine ? (même si toi tu n'en es pas un).
Même si (hélas) beaucoup d'utilisateurs ont pu utiliser et réutiliser le même mot de passe sur plusieurs sites (comme on vient d'en parler), mais dans la mesure où ces personnes "qui ont un seul mot de passe" ont dans le lots des sites qui interdisent que ce mot de passe unifiée soit simple, disons que leur ignorance de toutes ces fuites ne les lèse pas trop...
- Au mieux il n'y a rien concernant le mot de passe dans ces fuites (c'est même très fréquent)
- Au pire (mais ce n'est pas si fréquent) les fuites ont récupéré le hachage du mot de passe (et là les techniques de cassage de mot de passe brutales peuvent être grandement améliorées. Cependant ça reste un problème clé du chiffrement qui pour l'instant n'est pas du tout considéré comme "facile" pour remonter au mot de passe à partir de son haché... D'ailleurs cette grosse difficulté reste un élément clé par exemple dans les transactions par carte bancaire et code secret).
@TagadaTsoinTsoin a écrit :
A noter SFR bloque le compte au bout de 10 tentatives de connexion échouées.
La méthode que je préfère n'est pas tant un nombre maximum (et incontournable) de tentatives échouées, mais l'augmentation du délai d'attente entre 2 tentatives (par exemple une multiplication par 2 du délai à chaque fois ce qui donne une exponentielle 2^n au énième essai, ce qui est rédhibitoire pour un algorithme ou un pirate qui cherchent à casser le mot de passe sans avoir d'indices dessus).
À+
Digiclient NC → parti de sa planète disparue, pour une nouvelle terre d'accueil ♥
LaBox THD 4K (V3) - Connexion FttLA à 1000↓↑40 Mbit/s
