Cybersécurité - Innovations digitales et numériques

De façon inquiétante, tant les méthodes qu’exploitent l’équipe de recherche – reposant sur un grand nombre d’automatisations afin de conduire une analyse à grandes échelle – que les pratiques de l’industrie – réutilisation de firmwares entre différents vendeurs, mauvaise gestion des versions de composants – ouvrent la voie à des attaques massivement « industrialisées », susceptibles de compromettre un grand nombre de systèmes. Comme l’illustre le cas récent de vol d’un grand nombre de mots de passe, les cybercriminels semblent déjà avoir compris tous les gains de productivité que ces méthodes sont susceptibles de leur amener.

L’adoption générale d’une méthode comme celle que Google propose prendrait un certain temps, mais il est encourageant de voir que les chercheurs essaient de trouver des solutions à l’un des problèmes de sécurité les plus épineux.

Les conclusions de SplashData s’inscrivent dans la lignée de celles récemment émises par Deloitte, qui annonçait que les 1000 mots de passe les plus communs permettaient d’accéder à 91% des services théoriquement protégés. Le cabinet d’audit et de conseil y entrevoyait les limites du cerveau humain, qui ne retient typiquement « que 6 ou 7 mots de passe [...] que l’on a tendance à réutiliser ». Mais ces derniers sont trop souvent des noms de famille ou des dates de naissance, autant d’éléments que des pirates peuvent facilement dénicher sur le Web, tout particulièrement via les réseaux sociaux.

Quels enseignements en tirer ? Éviter d’utiliser des mots issus du dictionnaire ou en rapport avec le service utilisé (confer le cas de Photoshop), mais aussi utiliser au moins 8 caractères tout en combinant chiffres, minuscules, majuscules, signes et lettres accentuées. SplashData déconseille par ailleurs de renseigner le même mot de passe sur plusieurs sites/services Web. L’utilisation d’un gestionnaire – comme Dashlane ou Lastpass – peut être une solution.

Reprenant un argument déjà utilisé par Adobe, Cupid Media suggère que de nombreux password appartiennent en réalité à des utilisateurs inactifs. Et la société précise qu’elle a depuis renforcé sa sécurité (hashage et salage de la base de données, obligation faite aux utilisateurs de choisir des mots de passe non triviaux).

Il existe de nombreuses techniques pour choisir un bon mot de passe. Outre les générateurs gratuits, vous pouvez par exemple coupler un film ou un album de référence accompagné de l’année de sa sortie, ce qui vous fait utiliser des minuscules et majuscules, des caractères spéciaux et des chiffres.

Exemple : TurkishStarWars(1982) (oui, bon, chacun ses goûts !)

Si vous tenez à garder le même mot de passe pour vos comptes, vous pouvez ajouter quelques lettres pour « personnaliser » le mot de passe de chaque service, par exemple : fac-TurkishStarWars(1982) pour Facebook, out-TurkishStarWars(1982) pour votre messagerie Outlook, etc.

La start-up va également renforcer ses équipes. Aujourd'hui, elle compte 35 salariés : 25 à Paris (principalement dans la conception du produit, la R & D et le design) et 10 à New York (marketing et business développement). Dans les douze prochains mois, les effectifs devraient doubler. Dashlane souhaite également se lancer sur les marchés asiatique et latino-américain. « Cette levée de fonds nous positionne clairement comme le leader du marché, revendique Emmanuel Schalit. Aucun autre acteur de l'identité numérique n'a autant de moyens pour se développer sur un marché où la notoriété est encore faible. » L'application fonctionne sur un modèle freemium : elle est gratuite, mais une version premium existe pour bénéficier de fonctionnalités étendues (synchronisation sur tous les terminaux, support prioritaire, etc.), à 30 euros par an.

Pour les plus réticents, rappelez-vous que :

1. Les recherches ont montré que 90 % des mots de passe sont vulnérables au piratage,

2. Les deux mots de passe le plus fréquemment utilisés sont "123456" et "mot de",

3. 1 internaute sur 5 a déjà vu ses comptes de réseaux sociaux compromis ou repris sans leur permission.

Croyez-le ou non, mais un mot de passe de huit caractères, même avec symboles différents et des mots ne figurant pas le dictionnaire, peut être craqué ! Cependant, un mot de passe aussi long par exemple que  "tremblement de terre dans le Sahara" prendrait plus d’un million d'années à être déchiffré.

Et oui, mesdames et messieurs, la taille importe bien quand il s'agit de mots de passe !

Les cybercriminels avaient dérobé des informations confidentielles sur 22 000 comptes Twitter, 59 000 comptes Yahoo!, 60 000 comptes Google et 326 000 comptes Facebook. D’autres sites sont également concernés, à savoir, LinkedIn, agateway ou encore vk.com. Les données ont été aspirées suite à l’infection des comptes par un malware, principalement sur des ordinateurs dont les mises à jour de sécurité étaient obsolètes. Les informations volées étaient principalement des mots de passe permettant l’accès à l’ensemble des comptes. L’ensemble des utilisateurs qui se sont fait dérober leurs codes à leur insu se trouvaient aux Etats-Unis, en Chine, en Thaïlande et en Europe, notamment, en Allemagne. Suite à cette découverte, Facebook a réagi très rapidement en modifiant l’ensemble des mots de passe des comptes concernés afin de protéger les utilisateurs.

Si les Français pataugent avec la gestion de leurs mots de passe, ce n‘est pas parce qu’ils n’ont pas l’habitude de les utiliser : pour 84 % des Français, entrer un mot de passe sur Internet est un geste quotidien. Parmi cette large majorité de la population, un tiers effectue ce geste plus de 5 fois par jour.