Sans plus attendre, je vais laisser la parole à Arthur Pons, qui est notre architecte,
qui est donc au département urbanisation et conseil.
Voilà, donc c'est aussi l'occasion de voir des gens qu'on voit un peu moins souvent,
parfois, pour certains. Bonjour, je ne vais pas du tout parler d'architecture, je vais parler de mot de passe.
Pourquoi je pose la question ? Je pense qu'ici, une large majorité, si ce n'est tout le monde,
a une bonne intuition de ce qu'est un bon mot de passe et un mauvais mot de passe,
mais le but de la présentation, c'est d'y répondre de façon un peu plus analytique, de façon un peu plus certaine.
Le mot-clé, c'est bon. Dans une démarche de anti-clickbait, je réponds à la question dans la deuxième diapo.
Comme ça, après, vous pouvez ne plus écouter, vous pouvez répondre à vos mails.
Ça ne sera pas la fin de la présentation, quand même.
Il y a trois grands, si ce n'est que trois critères de qualité, lorsqu'on analyse un mot de passe.
Le premier, c'est la mémorabilité. C'est un mot, il est un peu barbare, mais c'est un mot.
À quel point on s'en souvient bien. Donc, deux exemples.
Le premier, on s'en souvient moins bien que le deuxième, parce que c'est un mot.
Deuxièmement, l'aisance d'utilisation. Donc, autrement dit, la plupart du temps, c'est à quel point il sera facile à taper.
C'est d'autant plus important qu'on a tendance à taper de plus en plus de mots de passe avec nos téléphones portables,
qui ont des claviers assez limités. Donc là, le premier mot de passe, je vous mets au défi de le taper facilement.
Le deuxième mot de passe, c'est beaucoup plus simple.
Et puis, troisième, le plus important, celui sur lequel on ne peut pas vraiment faire de compromis,
la robustesse, c'est à quel point il va être vraiment sécurisé.
On peut le quantifier de plein de façons différentes.
Dans la présentation, je vais généralement le quantifier en nombre de combinaisons possibles du mot de passe.
Il y a trois sous-variables, on va dire, qui ajustent la robustesse.
Il y a la longueur du mot de passe, on comprend bien.
La taille de l'alphabet, c'est les fameuses majuscules, minuscules, caractères spéciaux
que vous pouvez ajouter à votre mot de passe.
Et puis, l'aléatoirité, alors ça, par contre, ce n'est pas vraiment un mot, je crois.
C'est un néologisme, parce qu'il n'y a pas vraiment de mot en français pour dire ça.
En anglais, randomness. L'aléas ? Oui, bien vu. J'aurais dû faire relire ma présentation avant de la faire.
Qui détermine à quel point le mot de passe est proprement aléatoire.
Et ce n'est pas un terme technique proprement aléatoire, mais généralement, en gros, c'est à quel point ça se rapproche
d'un aléa qui est équiprobable et sans mémoire.
C'est ça qu'il faut retenir. Mais on va en reparler après.
Donc, quelques exemples pour situer. Celui-ci, Université Strasbourg ENT 2019.
On s'en souvient bien, plutôt facile à taper, mais bon, la robustesse, ce n'est pas ça, parce que la taille de l'alphabet est bof.
A la limite, ce n'est pas trop grave, parce qu'il est assez long, mais surtout, il n'est pas du tout aléatoire.
Surtout si c'est un mot de passe qui est utilisé pour un compte ENT à l'Université de Strasbourg.
Celui-ci, plutôt bonne mémorabilité aussi, parce qu'il est assez court, mais difficile à taper, parce qu'on n'a pas ces caractères-là sur nos claviers.
Et puis, la robustesse, c'est bof aussi, si ce n'est mauvaise, parce qu'il n'est pas assez long.
Et puis, si on met le paquet, on peut avoir ça, mais personne ne va s'en souvenir et personne ne va pouvoir le taper.
Bon, là, au début, j'enfonce des portes ouvertes.
Il y aura de l'enfonçage de portes ouvertes pendant tout le long.
On voit qu'il y a un peu un dilemme, ou en tout cas, on a le sentiment qu'il y a un dilemme.
C'est que plus on fait monter la robustesse, et plus on fait descendre l'aisance d'utilisation et la mémorabilité.
Du coup, le but, ça va être de résoudre, de lever ce dilemme-là, sachant qu'il n'y a pas de technique magique.
Il va falloir y réfléchir un peu. Alors, le...
Enfin, ce n'est pas très compliqué non plus, parce que ça tient en une demi-heure.
La démarche que je propose, c'est qu'on va écrire, réfléchir, penser un mot de passe, ou plutôt une source de mot de passe, en fait.
On ne va pas choisir un mot de passe en particulier, mais choisir une certaine longueur et un certain alphabet.
Et puis, les mots de passe seront tous ceux qui peuvent être générés par cet alphabet-là, avec cette longueur-là.
On y réfléchit, deux secondes, on se pose, on se dit, bon, quelle sécurité ça offre ?
Combien de combinaisons disponibles ? À quel point c'est facile de le craquer avec tel ou tel matériel ?
On apprend quelque chose, on a une idée, et puis on reboucle.
Et en itérant comme ça, il y a neuf étapes, on va arriver à un mot de passe qui n'est pas trop mal.
Et surtout, on va arriver à comprendre comment tout ça fonctionne.
Donc, premier mot de passe, une lettre. La lettre A, il y aura toujours, en haut et en bas, des caractéristiques sur le mot de passe.
Donc là, on a une longueur de 1, on a une taille d'alphabet de 1, c'est-à-dire que c'est toujours A.
Donc, on a une certitude sur le mot de passe, ça sera toujours A.
Et puis, l'aléatorité ici, bon, on s'en fiche parce que c'est toujours A.
On va dire qu'elle est nulle. Et puis, c'est évidemment extrêmement facile à casser,
parce que si on considère qu'on prend à peu près une seconde à, je ne sais pas,
le rentrer dans un système ou à réfléchir, à penser la lettre A, c'est instantané.
Donc, admettons, on agrandit l'alphabet, on fait passer à 26.
Du coup, notre mot de passe, ça va être A ou B ou C et ainsi de suite jusqu'à la lettre Z, minuscule.
Et ici, on assume un aléa, une aléatorité équiprobable et sans mémoire.
Sans mémoire, ici, on s'en fiche parce que la longueur, c'est de 1.
Mais équiprobable, il y a autant de chances que ce soit A, que B, que C et ainsi de suite.
Donc, le temps moyen pour casser ce mot de passe, si on le fait à la main et qu'on imagine un essai par seconde,
c'est 13 secondes parce qu'il y a 26 lettres, on le divise par 2.
Il va falloir tester 13 lettres. Et on est obligé de les tester dans un ordre aléatoire ou dans l'ordre en allant jusqu'à Z
parce qu'ils ont tous autant de chances d'apparaître.
Bon, clairement, une taille d'alphabet seul, c'est faible.
Mais ça, on s'en doute, personne n'utilise des mots de passe qui ont une longueur de 1.
Donc, là, on fait un petit aparté pour parler de l'aléatoirité, justement.
On va rester sur le même, donc un mot de passe d'une longueur de 1.
Mais cette fois-ci, on va supposer que ce qui génère nos mots de passe, entre guillemets,
c'est la fréquence d'apparition des lettres dans la langue française.
Donc, on sait qu'il y a plus de chances d'avoir un E qu'un A, qu'un I, un S, tout ça, on peut le calculer.
Du coup, si quelqu'un veut casser notre mot de passe, il a juste à tester les lettres en commençant par la première.
C'est comme lorsque vous jouez au pendu, vous testez le E d'abord et puis le A ensuite, etc.
Sachant que la ligne blanche, là, c'est 50%, en moyenne, on n'a que besoin de 7 essais
pour avoir une chance sur 2 d'avoir cassé le mot de passe.
Bon, ça, évidemment, c'est un exemple qui n'a pas lieu dans la vraie vie.
Mais ça nous informe que le fait que le mot de passe soit généré vraiment, aléatoirement,
c'est hyper important, c'est probablement d'ailleurs le plus important.
Si on ramène ça à des situations réelles, le problème, c'est qu'on a souvent recours
à des sources d'événements prévisibles pour créer nos mots de passe.
généralement, notre mémoire, notre cerveau.
À savoir que si quelqu'un, une dame, admettons, qui a un chat, qui a un nom et puis une date
d'anniversaire, comme tout le monde, elle va avoir, peut-être, si elle n'est pas trop
sensibilisée à tout ça, elle va avoir tendance à mettre le nom de son chat dans son mot de passe
ou sa date d'anniversaire, et ainsi de suite.
C'est peut-être pas le cas, mais c'est plus probable qu'elle le fasse.
Du coup, si moi, j'essaye de casser son mot de passe, je vais d'abord tester ça en premier.
En fait, c'est exactement analogue à la situation avec la langue française.
C'est parce que le nom du chat a plus de chances de sortir.
Bon, ça, c'est un cas où quelqu'un en voudrait à quelqu'un de particulier.
Au final, c'est assez rare. Enfin, j'espère que ça ne vous arrive pas.
Mais par contre, ce cas-là est beaucoup plus fréquent.
C'est qu'on prend plein de mots de passe qui ont déjà été cassés par le passé.
On vérifie lesquels sont les plus fréquents.
Donc, on sait que 123456, ça revient souvent.
QWERTY, AZERTY, tout ça. Et puis, pareil, on élabore les mêmes stratégies.
On va commencer par tester ces mots de passe-là.
Puis statistiquement, on sait que sur 10 000 comptes, on va bien en casser certains.
A l'opposé, il y a ce qu'il faut faire. C'est-à-dire se baser sur des sources d'événements non prévisibles.
Alors typiquement, il y en a un, enfin il y en a plein,
mais il y en a un qu'on a tous déjà utilisé, qu'on a probablement tous chez nous, c'est des dés.
Bon, s'il n'est pas trop pipé, s'il est à peu près correct,
c'est une bonne source d'événements prévisibles, non prévisibles.
Et là, si on arrive à mapper le résultat d'une façon ou d'une autre,
d'un dé à un mot de passe, le A aura autant de chances de sortir que le B ou le C,
ou quoi que ce soit, là je mets A, B, ça pourrait être autre chose.
Et de cette façon-là, si quelqu'un essaye d'attaquer votre mot de passe,
il sera obligé de passer par toutes les possibilités, il n'y aura pas d'autres stratégies.
Après, le but c'est d'avoir tellement de possibilités que ça sera trop difficile.
Et puis, autre avantage de se baser sur des sources d'événements non prévisibles,
c'est le calcul de la robustesse. Parce que, comment on peut savoir, de façon quantitative,
pas qualitative, mais quantitative, quelle est la robustesse de notre mot de passe qu'on a généré
avec juste notre cerveau comme ça à la volée ?
C'est plus ou moins impossible, parce que ça reviendrait
à devoir calculer la probabilité que je mette le nom de mon chat dans mon mot de passe.
Mais je ne sais pas, ça dépend de beaucoup trop de choses.
si mon chat est sur mes genoux au moment où je fais mon mot de passe,
j'aurais peut-être plus tendance à me mettre son nom que si je suis au boulot, par exemple.
Donc, si on veut vraiment juger de la qualité de notre mot de passe,
c'est en gros impossible de le faire précisément
si on s'est basé sur des sources d'événements prévisibles.
Alors que si on s'est basé sur une source d'événements non prévisibles
et qu'on a une aléatoirité comme on veut,
la robustesse, c'est juste la taille de l'alphabet, puissance, la longueur du mot de passe.
Ça, ça va être le nombre de combinaisons de notre mot de passe.
Alors, il y en a d'autres qui le calculent en fonction de l'entropie.
Généralement, c'est comme ça qu'on fait.
Mais ça inclut des maths et tout, donc on ne va pas le faire.
Et puis, ça n'a pas forcément d'intérêt ici.
Donc, c'est intéressant parce qu'après, on peut vraiment se poser la question
à l'instant T, à quel point c'est difficile ?
Combien de temps ça va prendre en moyenne pour casser mon mot de passe ?
Et vous pouvez le faire avec les vôtres.
Donc, revenons à tester nos mots de passe.
Prenons une longueur de 8 pour toujours une taille d'alphabet de 26.
26, toutes les lettres minuscules. Et la longueur de 8 parce que c'est souvent, sur Internet, encore,
lorsqu'on s'inscrit sur les services, la taille minimale des mots de passe.
Donc, on va juger à quel point c'est sécurisé.
Alors, ça peut sortir le premier, ça peut sortir le deuxième,
ça peut aussi sortir un mot. C'est peu probable que ça sorte un mot.
Mais vu que c'est parfaitement aléatoire, c'est possible.
Pour calculer, on calcule juste le nombre de combinaisons.
Donc, taille de l'alphabet, puissance, la longueur.
On divise par deux pour avoir la moyenne.
Parce qu'on n'est pas intéressé par savoir combien de temps,
au bout de combien de temps, on est sûr d'avoir cassé le mot de passe.
Mais en moyenne, au bout de combien de temps,
on a une chance sur deux d'avoir cassé le mot de passe.
On obtient 100 milliards de combinaisons.
Alors, ça fait beaucoup. À la main, ça prendrait 3 000 ans.
Parce qu'il y a 100 milliards de secondes dans 3 000 ans.
Si je ne me suis pas trompé dans mes calculs.
Mais bon, on est à la DNum, on aime bien les ordinateurs.
Donc, on fait ça avec un ordinateur. Et en prenant celui-ci,
donc le modèle que la plupart des gens ici ont,
et en téléchargeant hashcat, qui est un logiciel qui permet de craquer des mots de passe, entre autres.
Ça fait d'autres choses. Fondamentalement, ça ne craque pas les mots de passe,
mais ça peut servir à ça. On peut tester 21 millions de mots de passe en une seconde.
Donc, pour casser ce mot de passe-là, ça prendrait 1 heure et 20 minutes.
Tout ça, c'est un peu théorique. Dans la pratique, ce n'est pas nécessairement le cas,
mais c'est une idée. Pour avoir l'ordre de grandeur.
Et puis, si on prend un PC qui coûte entre 1 000 et 1 500 euros,
qui a une carte graphique un peu puissante,
on va pouvoir tester 2 milliards de mots de passe à la seconde, environ.
Avec une 1 070, GTX 1070. Du coup, ça descend à 50 secondes.
Et là, ça commence à devenir quand même...
Enfin, 50 secondes, c'est vraiment limite.
C'est un peu inquiétant, mais on voit bien,
la bonne nouvelle, c'est qu'on voit bien que c'est vraiment la combinaison,
le fait de monter à la fois la longueur et la taille de l'alphabet,
qui apporte vraiment une quantité significative de robustesse.
Donc, on sait qu'a priori, si on continue à les faire monter,
on devrait pouvoir s'en sortir. Alors, maintenant, si on inverse...
Excusez-moi, ça c'est la diapo d'après. Si on augmente la taille de l'alphabet,
comme c'est souvent fait, encore une fois, sur différents sites,
on vous dit, y compris à l'unistra, il faut mettre des caractères spéciaux,
il faut mettre des chiffres, etc., des majuscules, des minuscules.
Donc, là, j'ai été sympa, je l'ai vraiment fait monter haut à 96,
ça comprend des caractères un peu bizarres,
avec des accents et tout, que sur un clavier français on a,
mais qu'on n'a pas sur tous les claviers.
Donc, on va avoir ça, par exemple, ce genre de mot de passe.
Et si on fait exactement le même calcul,
96 puissance 8, tout ça, on trouve 3500 milliers de milliards de combinaisons.
Donc, à la main, je ne le calcule pas. Avec ce PC-là, ça prendrait 5 ans,
donc ce n'est plus vraiment faisable. Ce n'est pas non plus physiquement impossible,
mais pas trop faisable. Et puis, avec notre PC,
qui coûte un peu plus de 1000 euros, on en est à 21 jours.
Du coup, ça commence à devenir coûteux, à la fois en argent et en temps,
mais on n'est pas non plus hyper safe. Maintenant, pour comprendre un peu mieux
comment tout ça fonctionne, si on inverse la taille de l'alphabet et la longueur.
Autrement dit, si on se pose la question
« Qu'est-ce qui influe le plus sur la robustesse du mot de passe ? »
Est-ce que c'est la taille de l'alphabet
ou est-ce que c'est la longueur ? On va faire les calculs.
Du coup, ça donne ce genre de mot de passe.
Alors, là, on ne va même pas parler de mémorabilité et d'aisance d'utilisation.
On va juste s'inquiéter de la robustesse.
Parce que personne ne pourrait taper ça.
8 puissance 96 divisé par 2, ça fait 2,5 fois 10 puissance 86.
Donc, c'est vraiment très très gros. C'est même gigantesque.
À la main, ce n'est pas envisageable. Nos deux autres PC sont totalement à la ramasse.
10 puissance 71 années, 10 puissance 69 années.
Et puis, si on prend vraiment des gros PC,
des trucs que les particuliers ne peuvent pas trop s'offrir
ou il faudrait un peu économiser, on pourrait tester 36 milliards de mots de passe à la seconde.
En l'occurrence, ça, c'est un calcul fait
avec la configuration exacte que Guy emprunte à l'ESPE
lorsqu'il essaye de casser des mots de passe
en qualité de RSSI. Pour vous donner une idée.
Donc, prenez ce chiffre-là, notez-le et après, calculez combien de temps ça prendrait à Guy
pour casser votre mot de passe lorsqu'il s'amusera la prochaine fois.
En fait, ça prend 10 puissance 68 ans. Donc, en fait, ça ne change rien.
On se rend compte d'ailleurs que c'est un ordre de grandeur.
Il y a un seul ordre de grandeur qui sépare notre PC à 1000 balles
et celui-ci qui coûte au moins 8000 euros.
Un truc comme ça. Parce qu'il n'y a que ces 8 cartes graphiques.
Enfin, 8 1080 TI. Qu'est-ce que ça nous apprend, ça ?
Déjà, on va mettre un peu en perspective
à quel point ces chiffres sont gros. L'âge de l'univers, c'est 13,8 fois 10 puissance 9 ans.
Et là, on était sur du 10 puissance 70. Du coup, pour donner une idée,
si ça, c'est l'âge de l'univers, alors le graphique est un peu moche,
et qu'on prenait une tranche, ça, c'est une seconde, admettons,
pour casser notre mot de passe, pour que notre plus puissante machine
casse notre mot de passe, il aurait fallu qu'il existe depuis le tout début,
depuis le Big Bang, qu'il soit déjà là, déjà prêt,
en train de faire ses calculs, et que chaque seconde qui se soit passée
ait elle-même duré 4,3 fois l'âge de l'univers.
Donc, là, on rentre vraiment dans le domaine
du physiquement totalement impossible, même y compris demain, et après-demain,
et après-après-demain, avec la technologie qu'on a,
c'est impensable, à moins qu'il y ait vraiment une révolution,
je ne sais pas, les ordinateurs quantiques,
ou un truc comme ça. Et puis aussi, 10 puissance 80,
c'est le nombre d'atomes dans l'univers,
donc il y a plus de combinaisons de notre mot de passe
que d'atomes dans l'univers, ce qui fait que techniquement,
il y a plus d'informations, notre chiffre,
enfin notre mot de passe, contient, enfin le nombre des combinaisons
de notre mot de passe, contient plus d'informations
qu'il n'y a dans l'univers. Donc c'est impossible
de se le représenter, en fait. Bon, c'est pour donner une idée,
et apparemment, il y a des gens qui ont fait des calculs,
et si on arrivait à se le mettre dans le cerveau,
si on arrivait d'une façon ou d'une autre
à se représenter ce genre de chiffres, notre cerveau deviendrait tellement dense
qu'il s'effondrerait et deviendrait un trou noir.
Alors je ne sais pas trop comment ça fonctionne,
mais il paraît. Ça, c'était la diapo un peu marrante.
Mais qu'est-ce qu'on a appris de vraiment intéressant ?
C'est que la croissance de la robustesse,
en fonction de la longueur, on a beaucoup de chance
parce qu'elle augmente beaucoup plus vite
que la puissance de la machine en fonction de son coût.
Donc c'est beaucoup plus facile pour nous de rajouter
un à la longueur de nos mots de passe que c'est facile
pour l'adversaire, notre adversaire qui veut casser notre mot de passe,
d'augmenter sa puissance de calcul en mettant de la thune dedans.
Lorsque nous, on veut augmenter par deux
la robustesse de notre mot de passe, on le rajoute un de longueur
et on l'a largement fait parce que la courbe est exponentielle,
alors que lui, il va devoir doubler le prix de sa machine.
Ça, c'est un instant T, ça ne prend pas en compte
la loi de Moore, etc. Mais même avec la loi de Moore,
on est large. Donc ça, c'est rassurant, ça veut dire que les mots de passe,
ça peut fonctionner à l'avenir aussi. Et puis autre chose,
c'est qu'on a appris que la croissance de la robustesse
en fonction de la longueur du mot de passe,
elle est beaucoup, beaucoup plus rapide que celle en fonction
de la taille de l'alphabet. Bon ça, c'est des vrais calculs,
enfin plus ou moins pas très bien fait, mais les courbes
ressemblent vraiment à ça. Donc en bleu,
c'est en fonction de la taille de l'alphabet
et en orange, c'est la longueur. Et si on continue
vers la droite, on ne voit même plus la courbe bleue.
Alors si on veut rester dans l'échelle, la courbe bleue,
on a l'impression que c'est juste une...
Elle est totalement aplatie. Donc c'est beaucoup mieux
d'augmenter la longueur d'un mot de passe
si vous voulez augmenter sa robustesse. Ok.
Alors maintenant qu'on sait ça, on va prendre le truc
un peu à l'envers et on va choisir certains critères
qu'on veut dans un mot de passe et puis on va rétroactivement
choisir, enfin calculer quelle longueur il nous faut
pour satisfaire ces critères-là. Alors déjà,
on se dit, ok, moi je veux un alphabet comme celui-ci.
Je ne veux pas de caractère spéciaux, tout ça,
je m'autorise un espace, ce qui fait 53 lettres
dans notre alphabet. Et on veut que ça résiste
au moins 2000 ans à notre grosse machine
super puissante. Bon, du coup, et ça fait ça
sur les autres machines. Du coup, on calcule
combien de mots de passe une grosse machine
peut calculer sur 2000 ans. Donc 2,3 fois 10 puissance 21
mots de passe. Et puis on résout cette équation
pour X et on obtient une longueur d'à peu près 12,6.
Donc il faut que notre mot de passe fasse au moins 13 caractères
pour résister 2000 ans à cette machine-là.
Donc c'est pas mal parce que ça donne à peu près
ce genre de choses. Bon, ça n'a pas une très très bonne tête
mais c'est possible de s'en souvenir. C'est faisable.
Sauf qu'après coup, on réfléchit un peu et on apprend des trucs
genre bon, les machines, elles deviennent
plus puissantes et puis la NSA, ils sont très très forts
et très très méchants et ils ont des gros gros
ordinateurs et les Chinois, ils en ont encore plus.
donc on se sent avec nos 2000 ans, on ne se sent pas trop safe.
On se dit, il y a peut-être une entourloupe là-dedans.
Donc on va mettre 1000 milliards d'années.
On se dit, bon, on vise vraiment haut et on va faire
le même calcul. Donc on résout, c'est la même chose
sauf qu'on n'a pas le même nombre de combinaisons à droite
et puis on obtient 17,6 ce qui donne ce genre de choses.
Et là, ça commence à devenir un peu embêtant quand même.
Surtout si on doit se souvenir de plusieurs mots de passe.
Parce qu'on a différents, on a notre mot de passe
au boulot, on a notre mot de passe à la maison,
etc. Du coup, on va être un peu plus modeste
et on va faire quelques compromis. On va se dire,
bon, ok, on passe à 1 milliard d'années,
on va se dire, ok, ça sera suffisant. La longueur,
elle descend à 16. Puis on va ajouter des chiffres
et quelques symboles courants. Donc ça a fait monter
l'alphabet à 76, c'est correct. sur tous les claviers,
ça devrait passer. Et la longueur, elle descend à 14.
Donc après, ça commence à se ressembler à ce genre de choses.
Alors avec les symboles, c'est un peu moche.
Mais c'est peut-être un peu plus facile à souvenir.
En fait, ça dépend. Il y a des gens qui vont trouver
l'autre plus facile à mémoriser, celui-ci.
Mais ce qu'on voit, c'est que dans l'ensemble,
en fait, c'est un peu moyen tout ça. On a le sentiment
qu'on ne peut pas trop s'en sortir. Ça sera toujours
un peu décevant et on est un peu dans une impasse.
parce que si on fait monter la longueur du mot de passe,
on aura une mauvaise mémorabilité, quoi qu'il arrive.
Et ça, il n'y a pas de magie. Si on fait augmenter
sa longueur, on fait augmenter sa longueur,
c'est tout. Et si on fait augmenter l'alphabet,
on va forcément avoir des symboles obscurs.
C'est un peu ça, le problème. C'est que si on fait
augmenter l'alphabet, on va avoir des symboles
difficiles à taper et dont on ne se souvient
pas forcément. du coup, le truc, le déclic un peu,
c'est que on a repensé le problème et le truc à résoudre,
c'est d'essayer de trouver beaucoup, beaucoup,
beaucoup de symboles qu'on connaîtrait par cœur
et qui sont faciles à taper. Alors, dit comme ça,
c'est facile. Mais du coup, on peut chercher
dans ce qu'il y a à notre disposition, mais ce n'est pas si facile
que ça, parce que dans la dernière version d'Unicode,
il y a 137 439 symboles, c'est largement suffisant.
Si on pouvait taper là-dedans et les combiner
aléatoirement, ce serait suffisant. Il n'y aurait pas besoin
de longueur hallucinante, sauf qu'il y a genre ça,
je ne sais pas ce que c'est, on dirait une sorte
de pieuvre, je ne sais pas, et ça non plus,
je ne sais pas ce que c'est, et ça, on dirait une moustache,
je ne sais pas si c'est dans un, je ne vais pas chercher
si c'était une langue en particulier, on dirait que c'est
deux symboles, ça n'est qu'un, et ça, si un jour,
vous avez besoin de l'écrire à la main, c'est un peu difficile.
Et il y a tous les emojis, il y a genre le koala,
tout ça. En plus, je ne suis pas sûr que les sites acceptent
ces caractères-là, forcément, donc il y a des sites
où on peut mettre des emojis dans les mots de passe,
ça existe, mais ce n'est pas une majorité.
Du coup, c'est mort. On pourrait apprendre le chinois,
parce qu'ils ont beaucoup, beaucoup, beaucoup de symboles,
mais apprendre une langue entière pour avoir un mot de passe
décent, c'est mort aussi. D'ailleurs,
dans les 137 000 symboles, il y en a beaucoup
qui sont chinois, et puis d'autres langues
qui ont des idéogrammes comme ça. Et le truc,
c'est qu'en fait, on peut se dire, depuis le début,
on pense, et je l'ai un peu forcé parce que je ne vous ai jamais dit
que ça pouvait ne pas être le cas, mais on pense toujours
le symbole comme un seul symbole, alors qu'en fait,
ça peut être plusieurs symboles. Genre notre symbole,
ça peut être un mot, et notre alphabet, ça peut être un dictionnaire.
Vous voyez où je vous emmène, je pense. Un adulte connaît
environ 20 000 mots, donc en fait, on peut faire péter l'alphabet
si nos symboles, c'est des mots. Et mis bout à bout,
il forme des phrases de passe. Et c'est pour ça,
en fait, que les phrases de passe, ça fonctionne.
C'est parce que les mots, chaque mot est un symbole
qui, depuis qu'on est tout petit, notre apprentissage de la langue
fait que tous ces symboles-là, on les apprend par cœur
sans s'en rendre compte depuis qu'on est tout petit.
Et on est capable de les reconnaitre parmi des dizaines de milliers,
alors qu'eux, ils font plusieurs lettres.
Et on s'en souvient très très très bien.
C'est pour ça que les phrases de passe, ça marche.
C'est pour ça que ça résout ce dilemme-là,
en fait. Alors, il reste une question, c'est comment on les génère
de façon aléatoire ? Et là aussi, vous me voyez venir,
il y a une méthode qui s'appelle méthode Diceware
qui propose d'utiliser des dés, comme j'ai dit au début.
Alors, avec un dés, on peut identifier six mots.
Avec deux dés, on peut identifier six puissance
six mots, donc 36. et on a dit tout à l'heure
qu'un adulte connaissait environ 20 000 mots.
Du coup, on va, mais admettons que, bon,
il faut aussi que ça marche pour des enfants
et il faut aussi que ça marche pour des gens dont c'est peut-être
pas la langue natale. Du coup, on va s'arrêter,
genre là, 46 000 mots, ça va faire trop.
46 000 mots, il y a forcément des mots qu'on ne connaît pas.
Du coup, avec 5 dés, on identifie 7776 mots,
c'est pas mal. et à côté, il suffit de se munir
d'une liste où il y a 7776 mots qui sont identifiés
de façon unique par 5 jets de dés. Par exemple, la liste ici.
Et si on met quatre mots, c'est exactement
les mêmes calculs qu'on a fait lorsqu'on avait
un seul symbole. C'est la même chose, donc là,
je vous ai épargné le calcul, mais c'est 7776 puissance 4.
On voit combien de combinaisons ça fait et on vérifie
combien de temps ça prend pour casser avec
notre ordinateur le plus puissant. On a 14 heures
avec quatre mots, clairement pas suffisant.
5-13 ans, c'est mieux. 6-100 000 ans, ça commence à être pas mal.
7, c'est clairement correct, 800 millions d'années.
Et puis après, c'est un peu trop, mais on peut toujours s'amuser.
Et 7, en fait, ça peut paraître impressionnant
comme ça, mais c'est hyper facile à mémoriser.
Si là, vous le lisez trois ou quatre fois,
vous l'aurez dans la tête directement. Même si la phrase
ne veut rien dire. Bon. Alors maintenant
qu'on sait tout ça, ça c'était un peu, c'est un peu,
on va dire, la fin de la présentation, la fin du cours,
on apprend des choses. Maintenant, à quoi ça va nous servir ?
J'ai rajouté ça en bonus il n'y a pas très longtemps.
En fait, à l'Unistra, qu'est-ce qu'on fait ?
Parce que maintenant qu'on comprend un peu
comment les mots de passe, ça fonctionne,
regardons ce qu'on fait à l'Unistra. je suis allé vérifier
sur Pandore et il y a ce texte-là qui dit
le mot de passe comporte au minimum huit caractères.
Donc je mets à jour les caractéristiques en haut,
on a une longueur de huit, il est obligatoirement
composé de ces trois éléments, alors des lettres,
d'un accentué, majuscule, minuscule, un chiffre au minimum,
un caractère spécial dans cette liste-là
et il n'a pas d'espace et il doit être sans lien
avec votre identité. Du coup, pour l'aléatoirité,
c'est bien, il y a un petit message qui est censé dire
que ça doit être un peu aléatoire quand même.
Ça ne doit pas avoir trop de lien avec vous
mais on ne peut pas non plus garantir que ce soit le cas.
On fait le calcul et on arrive à ça. Bon, après,
chacun se fera un avis. Moi, je trouve que c'est
insatisfaisant. 16 heures, c'est franchement short.
Puis 12 jours sur un PC que n'importe quel joueur
a chez lui, enfin n'importe quel joueur qui a un peu d'argent
a chez lui, c'est un peu limite. Du coup,
peut-être qu'on pourrait le changer, peut-être qu'on pourrait
augmenter un peu la longueur et éventuellement
faire un peu de pédagogie sur le caractère
aléatoire des mots de passe et que si votre caractère
si votre mot de passe n'est pas aléatoire,
vous prenez quand même de sérieux risques.
Merci. Y a-t-il des questions sur cette présentation
où on apprend que c'est la taille du mot de passe
qui compte ? Alors, cette histoire de mot de passe,
ça revient toujours. On voit un mot de passe
long, c'est mieux, OK, mais il faut voir
qu'il y a des gens qui sont non-informaticiens
et le mot de passe, ça ne va pas du tout.
Moi, j'ai une vie avec quelqu'un qui n'est pas du tout
en fait avec les outils informatiques et le mot de passe,
même court, mais ce n'est juste pas possible.
Et je me suis aussi posé la question pour ces utilisateurs-là,
qu'est-ce qu'on pourrait faire ? Et moi,
ce qui me paraît être une solution, c'est mettre en place
du PSK. Donc, ils n'ont pas de mot de passe,
on leur file une clé, une clé énorme, je veux dire,
une clé de RSA de 4048 caractères, un truc vraiment monstrueux,
impossible à casser, encore beaucoup plus
que ce que tu dis là. Et ça réglerait le problème
en partie. Mais ça implique qu'il faut déployer
un serveur Kerberos, ça veut dire qu'il faut être capable
de redéployer des clés aux gens et tout ça.
Je suis bien conscient que c'est ultra difficile,
mais ça pourrait être une solution. Parce que les gens,
ils n'arrivent pas. Je suis désolé, moi, ma copine,
j'ai dit, mais mets un mot de passe plus long.
Non, mets pas le prénom de notre fils. Mais ils n'arrivent pas.
Tu mets le doigt sur un truc que j'aurais peut-être
dû commencer par ça. C'est qu'en fait, les mots de passe
comme système d'authentification, c'est probablement
l'un des pires systèmes d'authentification
possibles. De base, on est parti là-dessus.
Sûrement pour des raisons techniques, j'en sais rien.
Il y a très longtemps, je pense que les premiers
qui ont pensé aux mots de passe, c'était,
je ne sais pas quand, avant l'informatique
sûrement même. Enfin oui, clairement, avant l'informatique,
bien sûr. Mais c'est nul. Parce que c'est très facile
à casser pour une machine et c'est très facile
à mémoriser pour un humain. Donc ça maximise
les inconvénients et ça diminue au maximum
les avantages. Donc c'est vrai, tu as raison,
c'est nul, mais on est obligé de faire avec,
encore jusqu'à maintenant, je ne sais pas
pour combien de temps. Et en attendant, autant essayer
d'en avoir de bons. Mais tu as raison, les mots de passe,
ce n'est pas bien. Est-ce que tu t'es documenté
sur XKCD pour ta présentation ? La première fois
que j'ai vu ça, parce que c'est un très vieux
celui-ci, je crois. Oui, alors il y en a plusieurs.
Je pense à celui avec le cheval. Oui, le cheval,
mais je pense à l'autre. Il y a la première vignette
qui dit qu'il y a le délire des crypto-nerds
qui dit que ça prend beaucoup trop de temps
pour calculer le mot de passe. Et la deuxième vignette
qui dit qu'en réalité, il faut le torturer
et puis il faut le droguer et le frapper
avec une clé anglaise. Bien sûr, bien sûr.
Et le mot de passe est facile à obtenir.
C'est pour ça que le mot de passe qui est long de 96
ou qui a une longueur de 96 ou la phrase de passe
qui fait neuf mots, ça n'a pas vraiment d'intérêt
à moins que genre t'ai une milice ou un truc comme ça.
Mais ça, c'est pareil. C'est juste un principe
de sécurité. Ça ne sert à rien d'avoir un chaînon
extrêmement sécure et pas les autres. Effectivement.
On n'a pas parlé d'authentification deux facteurs,
par exemple. J'aimerais quand même rassurer un peu tout le monde
parce que dire qu'il faut un chiffre au minimum
dans le mot de passe, qu'il n'y ait pas d'espace,
qu'il faut au moins un caractère spécial,
en fait, ça force certains caractères à réduire la taille
de l'alphabet et en fait, c'est beaucoup plus court
à casser que ça. Ça, c'est vraiment dans le cas
et ça a été... C'est vrai pour toute la présentation.
C'est vraiment dans un cas vraiment très théorique
et toujours dans... Comment dire ? J'élimine tous les facteurs sociaux,
etc. Tu as le truc, je prends le truc vraiment
juste de base. Parce qu'après, on peut parler de placement
des caractères spéciaux. Quelqu'un d'intelligent
sait que les caractères spéciaux, généralement,
ils sont à la fin. La majuscule est souvent au début.
Donc, quelqu'un qui est un peu malin aura une heuristique
qui va diminuer ça par au moins deux. Oui, deux questions.
Pour maximiser la mémorisabilité par les gens normaux,
est-ce que, vu qu'il faut qu'on tape
dans les dictionnaires qui ont 20 000 mots
est-ce qu'il existe des dictionnaires qu'on 20 000 noms de chats
par exemple ? Pour qu'elle soit plus facile
à retenir. Bon, ça, c'était pour la connerie.
Sinon, je ne sais pas, est-ce qu'à tout hasard,
tous les trucs biométriques, on n'est pas encore dedans,
mais est-ce que la complexité, elle est suffisante ?
Les pouces, les yeux, ce genre de trucs ?
Je n'en sais rien. Ce n'est pas le sujet
de la présentation. Je ne sais pas du tout.
Je ne me suis pas trop posé la question.
Les empreintes, il paraît que, il paraît que,
si tu prends une photo avec une définition suffisante,
que des gens bien équipés peuvent reproduire l'empreinte.
Il paraît. Les gens qui ont un iPhone, cachez un peu vos mains
lorsqu'on prend des photos. C'est un peu de la paranoïa,
mais c'est le seul truc que j'ai entendu là-dessus.
Une dernière. À l'unistra, on met au minimum
8 caractères, mais on peut aller jusqu'à combien ?
Je ne sais pas. Je suis allé vérifier dans le code
et je crois qu'il n'y a pas de limite. Il n'y a peut-être pas de limite,
parce que dans les conditions de la fonction,
il n'y a pas de condition qui pose une limite.
Donc, on peut faire une phrase de passe actuellement.
Donc, on peut rajouter autant de caractères
qu'on le souhaite. la seule raison avec laquelle on ne peut pas
mettre une phrase de passe, c'est que malgré la longueur
que tu mets quand tu mets une phrase, l'algorithme te fait quand même
suer pour que tu mettes un symbole et un symbole.
D'accord. Du coup, tu peux faire une phrase de passe
et rajouter un symbole et un chiffre à la fin
parce qu'il te fait chier. Mais c'est vrai
que ce n'est pas utile si tu as déjà 7 mots
dans ta phrase. Ça ne sert à rien de rajouter un chiffre.
Enfin, ça ne sert à rien. Ça ne changera pas grand-chose.
Mais disons qu'on peut rallonger si on le souhaite
pour augmenter le... Oui. Oui, mais combien le font ?
Je ne suis pas sûr parce que Pandore n'est pas le seul utilisateur.
En fait, les informations du mot de passe
sont déversées dans d'autres systèmes qui, eux,
ont... Et potentiellement, on pourrait être face
à des systèmes qui ont plus de limitations
que le LDAP. D'accord. D'où le problème, par exemple,
des espaces qui n'est pas autorisé parce que tous les systèmes
consommateurs n'autorisent pas l'espace.
D'accord. On peut faire une tentative...
Tu peux...
Ça appellera le support. C'est ça. Bien.
Histoire de rester dans le programme, je vais remercier Arthur
et je vais convier Romaric. Applaudissements.
Applaudissements. Applaudissements. Applaudissements.
36:59.720 --> Applaudissements.