# Pour en finir avec les « Mot de passe oublié ? »

Tout le monde s'accorde sur le fait qu'un bon mot de passe est un mot de passe unique, long, compliqué et qui change souvent mais... personne ne le fait ! Pour la bonne et simple raison qu'il est quasi-impossible de retenir de nombreux mots de passe lorsqu'ils sont complexes (et changeants !). Du coup, la solution que j'avais adoptée depuis quelques temps était de n'en avoir que quelques-uns mnémotechniquement possibles à retenir mais c'est loin d'être l'idéal.

En effet, les limites sont vites atteintes et je n'aime pas tester l'ensemble de mes mots de passe pour un même service lorsque je ne sais pas ce qui se trame derrière (vous êtes vous déjà demandé si chaque test n'était pas mis en base ? </parano>). De plus, certains mots de passe se retrouvent à des endroits où la sécurité n'est pas la même et malheureusement ici, le service le moins sécurisé est le facteur limitant qui vous mène droit à la catastrophe.

J'ai donc rapidemment fait une carte de mes mots de passe avec Freemind. Elle est très incomplète mais la voici :

J'ai volontairement classé les différents services par catégorie. Et tout de suite, ça saute aux yeux : il est possible d'attribuer un mot de passe par catégorie humainement possible à retenir étant donné le nombre de catégories.

Avantages :

- les services sont classés par niveau de sécurité donc normalement c'est cohérent ;
- si l'un de vos mots de passe est compromis, vous savez exactement quels services mettre à jour ;
- il est possible de changer régulièrement un mot de passe pour une catégorie de services donnée selon son niveau de confidentialité.

Inconvénients :

- faire attention à rester à un même niveau de sécurité dans une catégorie ;
- attention aussi à la concurrence, par exemple pour les registars, en ayant le même mot de passe pour les deux ça laisse la possibilité à l'un d'aller modifier votre compte chez son concurrent... enfin vous voyez l'idée ;
- ne pas perdre la carte (si elle est logique il doit être facile de la mémoriser).

Cette méthode présente aussi l'intérêt de pouvoir proposer un couple unique identifiant/mot de passe par catégorie lorsque c'est possible car des fois on a le bon mot de passe mais sans l'identifiant... (et du coup le fameux « Mot de passe oublié ? » est inefficace). À quand un système d'identification centralisé et fiable ?

Je dois avouer que c'est la perte récente de mon mot de passe de la clé PGP ayant permis de signer le Code de Conduite qui m'a fait me remettre en question là-dessus (et oui il est dangeureux de vouloir faire du zèle en choisissant un mot de passe inhabituel et un peu trop compliqué :-/). Voila, c'est une idée qui m'est venue comme ça dans la nuit, vous en pensez quoi ? Quelle est votre solution avant que je change ?

PS : je sais qu'il existe des gestionnaires de mots de passe mais 1/ j'ai moyennement confiance en eux et 2/ si on perd ce fichier c'est la fin de tout... rien n'est plus sécurisé que notre cerveau ;-)

[edit du 5/08] : Bon si je fais une synthèse des commentaires, la meilleure méthode serait une combinaison de celle de giz404 et de celle de Frédéric soit la méthode radical général et après ajout de suffixes/préfixes selon... les domaines dans mon cas ce qui permettrait de m'en sortir assez facilement avec moins d'une quinzaine de mots de passe (en comptant ceux imposés).

Cédric : les échanges de clés SSH oui mais quand on a sa machine a disposition. Par exemple dans le cas des serveurs Ubuntu, lorsque j'ai à intervenir c'est généralement en salle machine donc il faut que je retienne mon mot de passe donc je préfère en avoir un seul à retenir...

NiKo : les méthodes de 1337 sont trop connues pour être encore efficaces à mon avis.

neolao : j'avais commencé à les répertorier dans mon carnet à tout faire avant d'avoir eu cette réflexion mais je trouve ça très dangeureux. J'ai depuis détruit la page en question.

Nano : je suis clairement intrigué oui !

[edit du 6/08] :

Steph : vraiment intéressant... pour les sites web et à condition d'avoir toujours le convertisseur sous la main. Mais je ne connaissais pas, intéressant.

pimpeleu : tout d'abord merci :-).

> Pourquoi changer souvent de mot de passe? D'un point de vue technique, qui voudrait pénétrer votre boîte mail/compte/profil ou je ne sais quoi sur le web? Et aussi comment font-ils, ça n'est peut-être pas à la portée de chacun, si? Par exemple, gmail et autre donne un indice de "sécurité" concernant votre mot de passe, correspondant à une proba d'occurence j'imagine, donc effectivement, plus long=plus sécure, chiffre=plus de combinaisons possibles... Mais dans le fond, même un mot de passe très simple, qui peut le pirater?

Tous les mots de passe sont « crackables », après tout est question de temps. En augmentant la complexité et la taille on ne fait qu'allonger le temps de découverte mais par force brute (essai de toutes les solutions possibles) on y arrive toujours (cf. une documentation intéressante à ce sujet en anglais). Voila la principale raison pour laquelle il faut en changer souvent. Pour info ça n'arrive pas qu'aux autres, les serveurs d'ubuntu-fr sont régulièrement l'objet de ces attaques.

Se pose ensuite la question de qui et pourquoi ? Alors « grâce » à google, on sait que « qui » peut maintenant être le premier venu. Reste le pourquoi. Pour les services web je vois mal l'intérêt. Sur une machine personnelle ou un serveur ça devient déjà beaucoup plus intéressant et lorsqu'on en arrive aux comptes bancaires ça doit devenir assez motivant. Concrètement, comme beaucoup ont un même mot de passe pour tout ça à la fois, il suffit d'en craquer un pour avoir un accès total aux données.

<vie_perso>Ça fait deux ou trois fois que Free m'envoie les identifiants/pass de comptes qui ne m'ont jamais appartenu. Alors curieux, je vais voir si ça fonctionne et j'ai accès à la totalité du compte. Le dernier, j'ai essayé de voir jusqu'où est ce que je pouvais aller (sans trop l'embêter, lancer une résiliation du compte c'est pas vraiment marrant). J'ai donc consulté ses mails en toute impunité... dans lesquels il y avait ses identifiants/pass bancaires ! Je me suis arrêté là mais bon ça fait froid dans le dos. La sécurité aurait-elle un prix ?</vie_perso>

NiKo : mes plus plates 3><cL|535 ;-).

Tiens au fait ça vos plaît les réponses dans le billet ? Je me dis que c'est un bon compromis entre l'abonnement au fil RSS des commentaires et le spam de votre agrégateur, si j'attend qu'il y ait assez de contenu pour que ça devienne intéressant. Je me dis souvent que l'implémentation de nouveaux services comme coComment est surtout le témoin d'un défaut d'ergonomie/fonctionnalités dans les applications existantes, du coup j'essaye de trouver des solutions. Certains sont contre ?

### Articles peut-être en rapport

- ★ L'artiste qui sommeille en chaque geek
- L'intelligence économique (veille technologique) en pratique
- C'est l'été, profitez-en pour dégraisser votre OPML !

### Commentaires

Thomas le 02/08/2006 :

Je préfère quand même utilisé le logiciel KeePass (il existe un fork pour Mac OS X et Linux) même si le gros problème c'est que j'oublie parfois d'y noter des mot de passes :p

neolao le 02/08/2006 :

moi au début, j'ai choisi 3 mots de passe qui correspond à 3 niveaux d'importance
même compliqué, 3 ca se retient quand on ne les change pas
après, j'ai commencé à noter dans un carnet les choses importantes comme des url, des identifiants (qu'on ne peut pas choisir) et donc des nouveaux mots de passe unique que je n'arrive meme pas à retenir.
Bref, maintenant je me demande si le mot de passe je vais m'en servir autre part que chez moi ou pas. Je mise tout sur mon carnet qui reste chez moi et donc je perd plein d'informations si je le perd.

giz404 le 02/08/2006 :

Pour ma part j'ai un mot de passe composé d'un radical, et un préfixe et suffixe qui changent selon les sites ou les types de services, avec un moyen mnémotechnique simple pour retenir ceux-ci.
Ainsi, je n'ai qu'un mot de passe à retenir, et pour le reste, je peux m'en rappeler facilement.

NiKo le 02/08/2006 :

Perso, j'applique avec succès une méthode depuis quelques années maintenant ; chacun de mes mots de passe est basé sur le nom du service utilisé, auxquels j'applique certaines règles particulières de transformation. Ainsi, je n'ai pas besoin de me souvenir des mots de passe mais uniquement des quelques règles qui l'ont généré ;)

Frederic de Villamil le 02/08/2006 :

Ce n'est pas idiot, et je fais ça depuis des années de manière intuitive sans jamais avoir posé ca sur un plan.
J'utilise 5 mots de passe que je change plus ou moins régulièrement :
– ma passphrase GnuPG
– mon mot de passe système
– mon mot de passe pour les services impliquant une transaction financière (amazon, paypal...)
– le mot de passe de mes comptes mail
– le reste
Donc je plussoie complètement l'idée, forcément.

Actinidia le 02/08/2006 :

Authentification SSH par échange de clé

J'écris rapidement ce billet en réaction à cet article de David de Biologeek au sujet de la sécurité des mots de passe et de leurs utilisations. David suggère d'avoir un mot de passe par catégorie, par exemple pour ses accès SSH. En très...

vdemeester le 02/08/2006 :

Hum effectivement, j'ai perdu il y a un certain temps mon mot de passe de ma clé PGP.. J'avais l'air bien malin..
SI on combine ton schéma freemind avec des mots de passe compliqué mais issu de phrase qu'on retiens (en gros : Windows ça coute la peau des Fesses environ 500$, ça nous donnerais WçclpdFe5$) +/- facilement, on peut arriver à quelquechose de pas mal..
Je vais essayer de mettre ça en application. J'ai tendance à oublié beaucoup de mots de passe..

Bloodshed le 02/08/2006 :

Je trouve ça intéressant de diviser les mots de passe par domaine, je vais peut-être essayer.
Pour ma part je fais un mix entre la méthode de neolao et de giz404. J'ai trois-quatre mots de passe qui correspondent à autant de niveaux de sécurité, à ceux-ci j'ajoute un préfix correspondant au nom du service que j'utilise. Ca marche plutôt bien. :)

Flipper le 03/08/2006 :

Ma gestion des mots de passe ressemble à celle définie par Frederic de Villamil:
– mot de passe système
– mon mot de passe pour les services impliquant une transaction financière
– le mot de passe de mes comptes mail
– le mot de passe pour les forums, etc...
– les mots de passes imposés (par mes profs pour accéder au réseau, etc)

Nano le 05/08/2006 :

Pour ma part, et je sais que ça va en intrigué plus d'un ;o, je mémorise mes passes par "sensation". Disons que lorsque je dois créer un passe, je fais le tout plus ou moins arbitrairement, par exemple je vais écrire sur une feuille "A3eFgh45!K" et je n'ai aucune difficulté à le retenir :) C'est un peu comme si je voyais une couleur a peu prés. Alors il est vrai qu'au bout d'un temps si je l'utilises pas je le perds de vu mais les 3 premières lettres me suffisent à le retrouver.

Steph le 06/08/2006 :

Si vous parlez anglais, cette solution peut peut-être vous intéresser : weblog.infoworld.com/udel...
C'est principalement valable pour les sites web mais ça doit être facilement adaptable à toutes les situations. Il s'agit de retenir un seul mot de passe et de le concaténer avec l'url du site pour lequel le mdp est utilisé et de s'en servir pour déterminer un mdp unique (avec une somme md5 ou qq chose comme ça). Du coup on a bien un mdp différent sur les différents sites mais un seul mdp à retenir. En utilisant une extension de firefox bien sentie, c'est diabement efficace.
Ca fait des lustres que je me dis qu'il faudrait que je fasse comme ça, mais je me suis toujours pas lancé :)

pimpeleu le 06/08/2006 :

Bonjour, me rappelle plus par quel chemin j'ai débarqué ici. Toujours est-il que ton site est très agréable, esthétique et confortable pour la navigation, et c'est une biologiste qui le dit. Voilà, ça, c'est fait.
Passons au mot de passe, puisque vous avez l'air tous de vous y connaître. Apparemment il exise des solutions techniques simples pour remédier à ce soucis de changement demot de passe, mais je me pose une question très naïve certainement... Pourquoi changer souvent de mot de passe? D'un point de vue technique, qui voudrait pénétrer votre boîte mail/compte/profil ou je ne sais quoi sur le web? Et aussi comment font-ils, ça n'est peut-être pas à la portée de chacun, si? Par exemple, gmail et autre donne un indice de "sécurité" concernant votre mot de passe, correspondant à une proba d'occurence j'imagine, donc effectivement, plus long=plus sécure, chiffre=plus de combinaisons possibles... Mais dans le fond, même un mot de passe très simple, qui peut le pirater?

NiKo le 06/08/2006 :

David, je n'applique pas de règles 1337 à mes mots de passe, mais des règles de transformations poussées, et une concaténation avec des prefixes et suffixes contextuels.
J'en dis pas plus, après je vais me faire hacker la gueule.

David Latapie le 07/08/2006 :

J’applique la méthode du commentaire #2 : 3 mots de passe blog.empyree.org/?43-reca... . Pour la question de la complexité, on se rend compte qu’entropie != complexité et que donc un mot de passe sur peut être (relativement) simple à retenir blog.empyree.org/?2332-ch...

poof65 le 17/04/2007 :

keepassx avec des mots de passe générés aléatoirement de 30 à 50 caractères. Le seul mot de passe à retenir est celui qui sert de clé à l'archive keepassx.
Il suffit de garder l'archive et le programme sur une clé usb et on a accès à tous ses mot de passe sur n'importe quel pc.

jdautz le 08/09/2007 :

Faire une méthode de mémorisation est toujours un point faible, donc si on utilise une méthode, il ne faut pas la diffuser ;c)*
Personnellement, j'ai renoncé à toute méthode, mais j'utilise un gestionnaire de mots de passe (en java pour la mobilité, gorilla marche aussi) et classe mes mots de passe dans une logique qui ressemble à celle de ton arbre.
Le gestionnaire de mot de passe permet de retenir des clé sur lesquelles tu n'a pas de pouvoir, ainsi que les informations associées (url, ip, user, notes, date de révocation etc).
Pour la sécurité: sauvegarde régulière du fichier sur mémoire flash en plusieurs endroits (une petite capacité ne coûte plus grand chose de nos jour, et on peut recycler une mémoire d'appareil photo obsolète, et c'est tellement petit que c'est stockable/dissimulable partout).

tintin le 21/11/2007 :

Pour moi c'est kwalletmanager,
il me propose de mémoriser tout mot de passe utilisé avec un logiciel kde, sur formulaires de sites notament (des forums aux serveurs ...)
Ne pas perdre le mot d'entrée du portefeuille pour y rentrer, assez facile, on le resaisit souvent en fait !
Ne pas perdre le fichier ou tout cela est enregistré ... dépends d'une bonne logique de sauvegarde de mon utilisateur, c'est automatisé.

Hubert le 26/02/2009 :

Bonjour,

cette question existentielle m'intéresse
Je suis venu ici car je n'ai pas de meilleur solution que le carnet.
Concernant le carnet le pb c'est de le perdre
Donc une solution : la page web secrete ou le googledocument.
L'une des astuces consiste donc à ne stockers dans ce carnet ou page ou document que des indices mnémotechniques.

Il existe une méthode d'illusioniste mentaliste qui consiste à associer (association bijective) aux 10 chiffres dix famille de son consonne. Les voyelles sont des liant n'ayant aucune conséquences.

Ainsi pour mémoriser un digicode : 75 31
7 <=> K (ou G)
5 <=> L
3 <=> M
1 <=> T (ou d)
J'ai mémorisé : Collé monté

C'est ainsi que les premières décimales de pi donnent "Mon doux roi à dit le bien ne choix les malins, vi bien combat mieux et ne me fait rage...
ce qui donne : 3.14159265358979323846...

Mais c'est bijectif
Par exemple : "Maitre corbeau sur un arbre perché"
Donne "31474902494940"

Je peu par exemple associer les deux
c'est a dire que les premieres sylabes sont un indice pour trouver la suite
Ca donne
"maitrecorbeau02494940"
Et inscrit dans le carnet
la solution tronqué où les caractères mystères sont remplacé par des points
"maitrecorbeau02494..."
ou "maitrecorbeau.......0"

A la place des petits points l'on peut aussi décider de finir tous les mots de passe mémorisé par un mot

Je puis expliquer plus en avant la methode. Et celles qui permettent 'sois disant' d'apprendre facilement tout le botin.
(Ca marche réellement, mais au prix de bcp bcp travail, notamment l'effort de lire tout le botin)
Faire des efforts pour tout mémoriser n'est pas sufisant... C'est pour cela que j'ai lu votre page.
Car meême mémorisé il n'est pas aisé de rapeler immediatement un mot de passe mémorisé. Bien souvent il faut une association d'idée.
Cette methode ne permet donc pas de se rappeler de tous les mots de passe (mais y contribue) elle permet de crypter facilement les dit mots de passe dans un simple fichier (en prenant la précaution de garder qq zonnes d'ombres qui vous sont personnelles)

A bientôt

Hub

Pashupati le 15/09/2010 :

C'est là que vous faites l'amour avec Susan Thunder et qu'elle vous vole votre carte sésamo-mémorielle !