Quels critères pour gérer ses mots de passe, selon des experts en sécurité

La cybersécurité est un processus continu et personne n’y échappe. Voici ce que les experts recommandent lorsque vous devez créer ou gérer des mots de passe. 

Les responsables du National Institute of Standards and Technology (NIST) ont créé une page simple sur les principes de base de la cybersécurité. Que voici.

Assurez-vous que tous vos mots de passe sont suffisamment forts

Celui-ci doit être suffisamment long – au moins 12 caractères, et idéalement plus.

Il est aléatoire, avec un mélange de lettres majuscules et minuscules, de chiffres et de symboles qui ne figurent pas dans un dictionnaire et qui n'incluent aucune partie de votre nom ou du nom du service qu'ils déverrouillent.

Il est impossible à deviner.

De tous ces facteurs, les experts s'accordent à dire que la longueur est la plus importante. En fait, les experts du NIST affirment qu'il est bien plus important d'avoir un mot de passe plus long que d'essayer de le rendre complexe.

Utilisez un gestionnaire de mots de passe

Aucun être humain ne peut mémoriser ne serait-ce qu'une poignée de mots de passe longs, aléatoires et uniques. C'est pourquoi vous avez besoin d'un gestionnaire de mots de passe, qui vous décharge du travail de création de mots de passe uniques et impossibles à deviner et les enregistre dans un coffre-fort numérique sécurisé et chiffré.

Un gestionnaire de mots de passe basé sur un logiciel, cependant, fait beaucoup plus : il crée instantanément des mots de passe vraiment aléatoires, enregistre vos informations d'identification dans une base de données chiffrée et synchronise le tout sur plusieurs appareils.

Peu de gens savent que leur gestionnaire de mots de passe sait quels domaines sont associés à un ensemble d'informations d'identification enregistré et ne saisira pas de mot de passe sur un domaine qui n'est pas autorisé.

Ainsi, si un pirate habile rédige un courriel qui vous fait croire qu'il provient de votre banque et que vous cliquez sur un lien qui mène à un faux domaine, le gestionnaire de mots de passe refusera d'entrer vos informations d'identification.

Ne réutilisez jamais un mot de passe

Il peut être tentant de réutiliser ses mots de passe sur plusieurs sites. Certes, cela facilite la mémorisation, mais cela garantit également qu'une violation de données sur un site permettra aux pirates d'accéder à cet ensemble d'identifiants, qu'ils essaieront à leur tour sur d'autres sites qui n'ont pas été touchés par la violation.

Un bon gestionnaire de mots de passe doit signaler les mots de passe réutilisés et proposer de créer des remplacements solides et uniques.

Remarque : le simple fait d'ajouter un point d'exclamation ou un chiffre à la fin de votre ancien mot de passe ne constitue pas un nouveau mot de passe. Il en va de même pour la création d'une nouvelle variante de l'un de vos mots de passe les plus utilisés.

Éviter les indices de mot de passe

L'idée d'un indice de mot de passe est qu'il est composé d'un mot, d'un nom ou d'une date qui a une signification pour vous. Par définition, ce type de mot de passe est facile à deviner, et l'ajout d'un indice de mot de passe rend la tâche encore plus facile à quelqu'un qui veut s'introduire dans vos comptes.

Le meilleur indice de mot de passe tient en quatre mots : utilisez votre gestionnaire de mots de passe.

Modifiez les mots de passe par défaut

Votre routeur Wi-Fi, par exemple, dont le mot de passe par défaut se résume souvent à un simple code, doit obtenir un nouveau mot de passe. Les caméras IP et les sonnettes que vous installez dans le cadre d'un système de sécurité domotique sont également des points d'entrée possibles.

Si vous avez l'un de ces appareils sur votre réseau, remplacez les mots de passe par défaut par des identifiants plus robustes.

Utilisez l'authentification multifactorielle (A2F)

La protection la plus efficace, et de loin, est de veiller à ce que personne ne puisse se connecter à vos comptes sur un nouvel appareil sans pouvoir fournir une deuxième forme d'identification, idéalement en utilisant une application d'authentification sur un appareil que vous possédez. (Les codes envoyés à votre téléphone par SMS sont une option acceptable, mais ils risquent davantage d'être pris en charge par un attaquant déterminé).

Il n'est pas nécessaire d'utiliser l’A2F pour tous les comptes, mais vous devez insister sur l'utilisation d'un deuxième facteur pour les comptes de grande valeur, tels que le courrier électronique, vos comptes bancaires, de courtage ou tous ceux qui impliquent des fonds; vos dollars.

Ne changez pas vos mots de passe à moins d'y être obligé

Si vous avez bien choisi un mot de passe fort et unique, il n'est pas nécessaire de le changer dans des circonstances normales.

Vous devez également modifier tout mot de passe dès le premier signe qu'il a été compromis à la suite d'une violation de données.

Cela dit, si votre service informatique ou un service en ligne insiste pour vous obliger à changer de mot de passe, vous devriez le faire. Laissez votre gestionnaire de mots de passe créer le mot de passe le plus long et le plus fort qui réponde à leurs exigences.