Dans un monde numérique où la sécurité des données est devenue un enjeu majeur, la robustesse des mots de passe est souvent mise en avant comme première ligne de défense. La base de données Specops Breached Password Protection, qui recense désormais plus de 4 milliards de mots de passe uniques compromis, nous offre une perspective édifiante sur la question. Les nouvelles conclusions de l’équipe de recherche de Specops mettent en lumière la relation entre la longueur des mots de passe et leur susceptibilité d’être compromis par des attaquants. Ces résultats interviennent au moment où plus de 10,2 millions de mots de passe ont été ajoutés au service Specops Breached Password Protection.
L’impact de la longueur des mots de passe sur la sécurité
Selon une étude de Verizon, 86 % des accès initiaux sont obtenus par les attaquants via des informations d’identification volées. L’allongement des mots de passe est souvent préconisé pour renforcer la sécurité, rendant les attaques par force brute et par dictionnaire hybride plus ardues. Toutefois, cette mesure ne suffit pas à contrer d’autres risques tels que le phishing et la réutilisation des mots de passe.
Darren James, Senior Product Manager chez Specops Software, affirme que “des mots de passe plus longs sont préférables”, une assertion qui ne surprendra guère la plupart des équipes informatiques. Cependant, il souligne que même des mots de passe forts et longs ne constituent pas une protection infaillible contre la compromission des informations d’identification. Les attaquants peuvent toujours trouver des solutions de contournement, et le comportement des utilisateurs peut anéantir une bonne politique de mots de passe.
Analyse des mots de passe compromis : Une plongée dans les chiffres
L’équipe de recherche de Specops a analysé la longueur de plus de 800 millions de mots de passe compromis, un sous-ensemble de leur liste plus large qui en compte plus de 3 milliards. Ils ont considéré qu’un mot de passe de plus de 12 caractères était long. Voici les huit longueurs les plus courantes retrouvées parmi les mots de passe compromis, par ordre décroissant :
- 8 caractères
- 10 caractères
- 9 caractères
- 11 caractères
- 12 caractères
- 13 caractères
- 14 caractères
- 15 caractères
Le tableau ci-dessous indique le nombre de mots de passe compromis supérieurs 11 caractères :
-
12 caractères : 121,5 millions
-
13 caractères : 90,3 millions
-
14 caractères : 67,7 millions
-
15 caractères : 45,7 millions
-
16 caractères : 31,1 millions
Il est à noter que le nombre de mots de passe compromis diminue à mesure que la longueur des caractères augmente, mais il reste tout de même 31,1 millions de mots de passe compromis comportant plus de 16 caractères.
Exemples de mots de passe réels compromis
L’analyse a également révélé les trois mots de passe compromis les plus courants pour chacune des longueurs de mots de passe analysées, comprises entre 8 et 15 caractères. Par exemple, le mot de passe de 8 caractères le plus souvent compromis est “password”, tandis que pour 15 caractères, des expressions telles que “new hire” apparaissent, indiquant une tendance à utiliser des modèles de mots de passe prévisibles et répétitifs.
Faut-il opter pour des mots de passe encore plus longs ?
Les données montrent qu’en moyenne, 85 % des mots de passe compromis comportent moins de 12 caractères. Il est donc plus difficile de déchiffrer un mot de passe plus long. Cependant, l’augmentation de la longueur des mots de passe ne devrait pas induire un faux sentiment de sécurité, car ce n’est qu’une dimension de la bataille pour la sécurité des mots de passe.
La menace persistante de la réutilisation des mots de passe
La réutilisation des mots de passe demeure un risque majeur. Supposons qu’un pirate accède à une base de données de mots de passe d’une boutique en ligne. Même si les mots de passe sont hachés, le pirate peut prendre son temps pour les déchiffrer, puis identifier les individus concernés et leurs employeurs. Si l’un de ces mots de passe a été réutilisé dans un contexte professionnel, il constitue une porte d’entrée facile dans l’organisation concernée.
Vers une sécurité renforcée : l’audit des mots de passe
L’outil gratuit Specops Password Auditor propose un contrôle rapide de la santé de votre environnement Active Directory, en comparant vos mots de passe à une liste de plus de 950 millions de mots de passe compromis. C’est une première étape précieuse pour découvrir les vulnérabilités liées aux mots de passe.
Protection avancée avec Specops Password Policy et Breached Password Protection
Ces solutions permettent une analyse et une confrontation continues de votre Active Directory avec une liste de plus de 4 milliards de mots de passe uniques compromis. L’API Breached Password Protection, mise à jour quotidiennement, offre une défense beaucoup plus complète contre la menace d’une attaque par mot de passe et contre le risque de réutilisation des mots de passe.
En somme, la longueur des mots de passe est un facteur crucial pour la sécurité des données, mais elle ne doit pas être considérée comme une panacée. Les organisations doivent adopter une approche holistique, combinant des politiques de mots de passe robustes avec des audits réguliers et des mesures de protection avancées pour assurer une sécurité optimale dans un paysage numérique en constante évolution.
En résumé :
- La longueur des mots de passe est un facteur crucial pour la sécurité, rendant les attaques par force brute et par dictionnaire hybride plus difficiles, mais elle ne protège pas contre d’autres risques comme le phishing et la réutilisation des mots de passe.
- L’analyse de Specops a révélé que bien que le nombre de mots de passe compromis diminue avec l’augmentation de leur longueur, des millions de mots de passe longs (plus de 12 caractères) ont été compromis, indiquant que la longueur seule n’est pas une protection suffisante.
- Des exemples de mots de passe réels compromis montrent une tendance à utiliser des modèles prévisibles et répétitifs, ce qui peut faciliter la tâche des attaquants.
- La réutilisation des mots de passe est un risque majeur, surtout si des pirates accèdent à des bases de données de mots de passe provenant de sites web ou d’applications moins sécurisés.
- Des solutions comme Specops Password Auditor et Breached Password Protection peuvent aider les organisations à identifier et à remédier aux vulnérabilités liées aux mots de passe, en fournissant des audits et des analyses continues pour détecter et bloquer l’utilisation de mots de passe compromis.
