World P @ $$ w0rd Day: Conseils pour protéger votre identité numérique

Le 6 mai est la Journée mondiale du mot de passe, un rappel annuel visant à promouvoir de meilleures habitudes de mot de passe et la sécurité numérique. Avec plus de vies en ligne que jamais auparavant, que devraient savoir les gens sur les mots de passe pour mieux protéger leur identité et leurs informations privées?

Michael Fudge est professeur de pratique à la School of Information Studies (iSchool). Ses domaines d’étude portent sur la transformation numérique et l’impact des technologies de l’information sur la société.

Dans cette période de questions, le professeur Fudge fournit des conseils pour la création de mots de passe et des conseils sur la façon de les protéger et discute des mesures de sécurité supplémentaires que vous pouvez configurer sur vos appareils aujourd’hui pour mieux protéger votre identité numérique.

Q: Quelles sont certaines des erreurs les plus courantes commises par les gens lors de la définition des mots de passe?

Truquer: Il y a deux erreurs courantes que font les utilisateurs lorsqu’ils décident du mot de passe à utiliser.

Premièrement: utiliser le même mot de passe pour plusieurs comptes. Lorsque vous réutilisez le même mot de passe sur plusieurs sites Web, si l’un de ces sites Web est compromis et qu’un attaquant obtient ce mot de passe, il peut utiliser ce mot de passe pour accéder aux autres sites. Ceci est généralement automatisé grâce à une approche appelée bourrage d’informations d’identification. Vous devez toujours utiliser un mot de passe différent pour chaque compte.

Deuxièmement: utiliser un mot de passe trop simple. Lorsqu’un site Web a des exigences de complexité de mot de passe (doit comporter au moins 10 caractères, un caractère majuscule, un chiffre, etc.) nous avons parfois recours à des approches qui n’assurent pas forcément une bonne complexité des mots de passe. Par exemple, vous pourriez penser à utiliser votre deuxième prénom comme mot de passe (le mien est Alexander), puis pour répondre aux exigences de complexité, ajoutez l’année en cours avec un point d’interrogation (Alexander2020?). Les attaques automatisées peuvent en tenir compte de nos jours, alors même si à un moment donné c’était un bon choix, ce n’est plus le cas. Plus il y a de caractères dans le mot de passe, plus il est difficile à deviner, mais pour répondre à l’exigence de longueur, nous avons tendance à faire des choses vraiment stupides comme:

• Répétition du modèle de mot de passe: Alexander2020? Alexander2020?
• Ajout du nom du site au mot de passe, pour créer un mot de passe unique pour chaque site: Alexander2020? Google ou Alexander2020? Syr.edu

Ces choix de mot de passe offrent peu de complexité supplémentaire. Ils sont prévisibles et fournissent un aperçu de mon algorithme ou du processus de création d’un mot de passe.

Le meilleur choix pour un mot de passe est une séquence vraiment aléatoire de caractères qui satisfont aux exigences de complexité. Alors, comment vous souvenez-vous de centaines de mots de passe générés aléatoirement? Vous n’utilisez pas un gestionnaire de mots de passe pour le faire à votre place.

Le gestionnaire de mots de passe est une base de données personnelle de vos mots de passe. Il générera des mots de passe aléatoires pour vous et les stockera en toute sécurité. Certains gestionnaires de mots de passe vous rappelleront le mot de passe lorsque vous reviendrez sur le site.

Q: Cela m’amène donc bien à cette question… Mon iPhone me propose de créer un mot de passe compliqué et de le sauvegarder pour ne pas avoir à m’en souvenir. Cela semble être une bonne idée?

UNE: Il s’agit du gestionnaire de mots de passe du trousseau d’Apple. Les téléphones Google en ont également un. Ces options sont meilleures que vous proposez vos propres mots de passe. Le risque est que vous fassiez confiance à Google ou à Apple pour stocker vos mots de passe en toute sécurité, mais c’est mieux que les post-it sous votre clavier! Il existe des services tiers de gestion des mots de passe: Lastpass, 1Password, Dashlane et RoboForm. Ils font la même chose mais ne sont pas liés uniquement à votre téléphone ou aux appareils Apple / Google. La chose importante à retenir est que lorsque vous utilisez ces services, nous faisons confiance à ces organisations pour stocker la clé qui déchiffre nos mots de passe. Si vous écrivez tous vos mots de passe dans un ordinateur portable et que vous le verrouillez dans un coffre-fort, ce serait comme donner à Google, Apple, Lastpass, etc. les clés de ce coffre-fort. Ceci est nécessaire pour qu’un gestionnaire de mots de passe fonctionne.

Q: À quelle fréquence devez-vous changer les mots de passe? Certains comptes sont-ils plus importants que d’autres à mettre à jour régulièrement?

UNE: Avec mes mots de passe générés aléatoirement, je ne change pas mes mots de passe sauf si le service l’exige.

Ce qui est vraiment important, c’est d’activer l’authentification à deux facteurs. Cela ajoute une couche de sécurité supplémentaire, vous obligeant non seulement à connaître votre mot de passe, mais également à disposer d’un appareil capable de vérifier votre identité, la plupart du temps, cet appareil est votre smartphone. Deux facteurs peuvent envoyer des SMS TXT à votre téléphone chaque fois que vous vous connectez ou utilisez une application Authenticator spéciale. Par exemple, chaque fois que je me connecte à ma banque, je dois saisir mon téléphone et lui permettre de lire mon empreinte digitale. De cette façon, si mon mot de passe bancaire est volé, un attaquant aura également besoin de mon téléphone (et de mon empreinte digitale) pour se connecter à mon compte.

L’authentification à deux facteurs vous donne également la tranquillité d’esprit car je reçois une notification chaque fois que quelqu’un essaie d’utiliser mon mot de passe pour se connecter. Si cette personne n’est pas moi, je dois changer mon mot de passe.

Si le service prend en charge deux facteurs, je l’allume. Si vous utilisez un gestionnaire de mots de passe pour stocker vos mots de passe, activez deux facteurs pour protéger vos mots de passe!

Q: Que pensez-vous des autres types de mesures de sécurité liées à la technologie biométrique, comme la reconnaissance faciale et la sécurité des empreintes digitales?

UNE: Ces technologies fonctionnent bien dans le cadre d’une stratégie à deux facteurs. Par exemple, la reconnaissance faciale associée à une épingle sur votre téléphone est une bonne idée.

Q: Comme beaucoup d’entre nous vivent plus que jamais dans le monde numérique, que négligeons-nous ou ignorons-nous en matière de mots de passe et de sécurité numérique?

UNE: Les moyens par lesquels les attaquants peuvent tenter d’obtenir nos mots de passe sont nombreux et variés. Certaines choses que nous pouvons contrôler, comme installer uniquement des logiciels provenant de sources fiables et ne jamais cliquer sur des liens dans un e-mail. Pour les fois où l’entreprise est piratée et que l’exposition du mot de passe n’est pas de votre faute, je suggère de vérifier l’e-mail utilisé lors de votre inscription au service sur haveibeenpwned.com. Lorsque vous entrez votre e-mail, il vérifiera si ce compte de messagerie a été utilisé avec un service où vos données ont été divulguées. Pour les entreprises figurant sur cette liste, modifiez votre mot de passe sur le site Web de cette entreprise et configurez deux facteurs si cela est autorisé.