Combien de temps votre mot de passe résisterait-il à une attaque ?

La puissance de calcul l’emporte sur l’habitude

• Le message central du tableau est clair : plus un mot de passe est court et faible, plus il est compromis rapidement. Mais ce n’est pas seulement la longueur d’un mot de passe qui importe, mais aussi la manière dont il est stocké. On utilise pour cela une sorte de « code secret » (appelé « hachage ») qui rend le mot de passe illisible. Plus ce code est performant, plus le mot de passe est difficile à pirater.

• Autrefois, les mots de passe étaient souvent sécurisés à l’aide de méthodes simples telles que « MD5 ». Il s’agit d’un procédé qui convertit un mot de passe en une sorte de code numérique mais ce code est aujourd’hui facile à pirater et est considéré comme peu sûr. Aujourd’hui, les systèmes modernes s’appuient de plus en plus sur bcrypt, une couche de protection algorithmique qui rend délibérément les mots de passe « lents » grâce à de nombreuses opérations de calcul rendant ainsi leur piratage plus difficile. Pour son analyse, Hive Systems s’est basé sur une norme de sécurité couramment utilisée dans la pratique : un « niveau de protection décuple » utilisant la technologie bcrypt 10. Cela correspond à peu près à ce que de nombreux systèmes logiciels connus utilisent automatiquement lors de l’enregistrement des mots de passe.

• Dans le même temps, la puissance de calcul a été considérablement augmentée : au lieu de travailler comme auparavant avec une seule carte graphique, on a cette fois utilisé un véritable « turbo de calcul » un ensemble de douze cartes graphiques RTX 5090 extrêmement puissantes. C’est-à-dire ce qu’il y a de mieux actuellement sur le marché grand public. Et cela porte ses fruits. On peut se représenter cela comme douze supercars qui accomplissent ensemble une tâche dont une seule petite voiture était auparavant chargée. Et cela fait une énorme différence en termes de vitesse.

Qu’est-ce qui se cache derrière tout cela sur le plan technique ?

Le tableau analyse le temps nécessaire pour cracker un mot de passe en fonction de sa longueur, de sa complexité (minuscules et majuscules, chiffres, symboles) et de la fonction de hachage utilisée.

Un exemple :

• un mot de passe de 8 caractères composé uniquement de lettres minuscules peut être piraté en moins d’une seconde.
• Avec une diversité complète de caractères (majuscules/minuscules, chiffres, caractères spéciaux), il faut tout de même des siècles pour un mot de passe de 12 caractères à condition que bcrypt soit utilisé correctement.
• Mais dès que des mots de passe apparaissent dans des fuites de données ou sont faciles à deviner (« Bonjour123 ! », « Printemps2024 »), même les variantes supposées sûres ne résistent plus que quelques fractions de seconde.

Hive Systems intègre également dans ses calculs les attaques par dictionnaire, les fuites provenant du darknet et la reconnaissance automatique de motifs. Il en résulte une image réaliste de la « sécurité » réelle d’un mot de passe dans le monde réel et pas seulement en conditions de laboratoire.

Pourquoi cela concerne tout le monde y compris votre entreprise

Les cyberattaques ne sont pas seulement plus rapides, elles sont aussi moins coûteuses. La puissance de calcul, qui n’était autrefois accessible qu’aux acteurs étatiques ou aux grandes entreprises, est aujourd’hui à la portée de petits groupes de hackers, voire d’individus isolés. Des services cloud tels qu’AWS ou Azure proposent des clusters de GPU à l’heure un cauchemar pour les mots de passe faibles et les méthodes de hachage obsolètes.

Pour les entreprises, cela signifie que :

• les collaborateurs utilisant des mots de passe faibles mettent non seulement leurs propres comptes en danger, mais souvent l’ensemble du réseau.
• Lorsque les mots de passe sont mal protégés, la base de données clients devient rapidement un risque. Une seule attaque peut alors causer d’importants dommages. Les bases de données mal hachées transforment les attaques contre les bases de données clients en bombes à retardement.
• Les exigences de conformité (par exemple, le RGPD, la norme ISO 27001) imposent depuis longtemps des mesures de protection modernes, y compris pour le stockage des mots de passe.

Recommandations d’action – agissez dès maintenant

Pour que vos mots de passe restent « dans le vert », Hive Systems recommande et nous y souscrivons sans réserve les mesures suivantes :

• Utilisez des mots de passe forts : au moins 12 caractères, générés aléatoirement, avec des majuscules, des minuscules, des chiffres et des symboles.
• Évitez de réutiliser vos mots de passe : chaque système doit avoir son propre mot de passe utilisez pour cela un gestionnaire de mots de passe.
• Stockez vos mots de passe comme si vous les conserviez dans un coffre-fort en acier et non dans une boîte en carton. Utilisez pour cela des méthodes sécurisées telles que bcrypt, Argon2 ou scrypt.
  Les méthodes obsolètes comme MD5 ou SHA1 sont faciles à pirater elles n’offrent pratiquement plus aucune protection.
• Complétez vos identifiants par une authentification à deux facteurs (2FA) : même si un mot de passe est compromis, un deuxième facteur protège efficacement contre tout accès non autorisé. L’une des variantes les plus efficaces et les plus conviviales est la 2FA par SMS. L’utilisateur reçoit alors par SMS un code à usage unique qu’il doit saisir en plus de son mot de passe une solution simple, rapide et compatible avec pratiquement tous les terminaux.
• Sensibilisez votre équipe : la sécurité commence par le comportement. Organisez régulièrement des formations sur des thèmes tels que la bonne gestion des mots de passe, le phishing et l’ingénierie sociale

Conclusion : la sécurité des mots de passe est un processus, pas un état

Le nouveau tableau des mots de passe de Hive Systems est plus qu’un simple élément visuel attrayant. C’est un signal d’alarme. Ceux qui pensent être en sécurité avec « motdepasse123 » ou « soleil ! » se trompent lourdement.

En Suisse aussi, nous constatons une forte augmentation des attaques de phishing, des ransomwares et du credential stuffing. Le premier rempart contre tout cela ? Un mot de passe sûr, bien haché et unique, associé à des normes de sécurité modernes. Restez dans le vert pour vous, votre entreprise et vos clients.

Lien vers le tableau original de Hive Systems : Are your passwords in the green?