Ton mot de passe, clé de ton compte
Un mot de passe est la clé d'un compte : celui qui le connaît devient toi aux yeux du site. Dans cette leçon, tu apprends à choisir un mot de passe solide et à ajouter une deuxième protection, la double authentification.
Pense à ta messagerie ou à ton compte de jeu. S'il est volé, un inconnu lit tes messages et parle à ta place.
À la fin de cette leçon
Remarque
Je peux choisir et vérifier de bonnes règles pour protéger un compte.
Mots clés
| Mot | Ce que ça veut dire |
|---|---|
| Mot de passe | un secret que seul le propriétaire du compte connaît |
| Double authentification | une deuxième preuve que tu es bien toi, en plus du mot de passe |
| Hachage | un calcul à sens unique qui transforme un texte en empreinte |
| Fuite de données | des informations privées qui se retrouvent publiques |
| Hameçonnage | un faux message qui te pousse à donner ton mot de passe |
| Gestionnaire de mots de passe | un coffre qui retient tous tes mots de passe |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Comment un mot de passe est-il volé ?
Il y a quatre grandes façons. On peut le deviner en essayant des milliers de mots. On peut le retrouver dans une fuite de données, puis l'essayer sur d'autres sites.
On peut te le demander avec un faux message : c'est l'hameçonnage. Enfin, on peut le lire sur un post-it ou dans un fichier mal rangé.
Les attaques et la bonne défense
| Attaque | Exemple | Défense |
|---|---|---|
| Deviner | Un programme essaie 123456, azerty, motdepasse | Un mot de passe long et au hasard |
| Réutiliser une fuite | Le mot de passe d'un vieux forum est essayé sur ta messagerie | Un mot de passe différent par site |
| Hameçonner | Un faux SMS de ta banque te mène vers un faux site | Vérifier l'adresse, et la double authentification |
| Lire par-dessus l'épaule | Un mot de passe écrit sur un post-it collé à l'écran | Un gestionnaire de mots de passe |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Pourquoi un mot de passe long est solide
Chaque caractère de plus multiplie le nombre d'essais à faire. Un mot de passe de huit lettres minuscules a déjà plus de 200 milliards de possibilités.
Quatre mots pris au hasard dans une liste de 2 000 mots en ont encore bien plus. Et une petite phrase se retient mieux qu'un code bizarre.
Compter les possibilités
# Chaque position multiplie le nombre de choix.
print("Six chiffres :", 10 ** 6)
print("Huit lettres minuscules :", 26 ** 8)
# Change l'exposant 8 en 12 et compare.
print("Quatre mots au hasard :", 2000 ** 4)Exemple : trois mots de passe comparés
| Mot de passe | Ce qu'il est | Possibilités environ |
|---|---|---|
| 482913 | Six chiffres | Un million |
| jmcpnxwa | Huit lettres au hasard | 208 milliards |
| Quatre mots tirés au sort | Quatre mots dans une liste de 2 000 | 16 000 milliards |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Une erreur fréquente
Attention
Beaucoup pensent que P@ssw0rd est solide, parce qu'il mélange lettres, chiffres et symboles. Les pirates connaissent ces remplacements et les essaient en premier. Un mot de passe est solide s'il est long et unique.
Pourquoi ajouter une double authentification ?
Même un bon mot de passe peut fuiter. La double authentification demande une deuxième preuve, que le voleur n'a pas.
Elle utilise deux choses de familles différentes : ce que tu sais, ce que tu as, ou ce que tu es. Un code envoyé sur ton téléphone ou une application de codes est une preuve de la famille « ce que tu as ».
Les trois familles de preuves
| Famille | Exemple | Point faible |
|---|---|---|
| Ce que tu sais | Un mot de passe, un code PIN | Il peut être deviné ou volé |
| Ce que tu as | Ton téléphone, une clé de sécurité | Il peut être perdu ou volé |
| Ce que tu es | Ton empreinte digitale, ton visage | Tu ne peux pas la changer |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
La règle du lab
Important
Travaille seulement sur ta propre machine du lab, et seulement avec la permission de ton enseignant. Essayer d'entrer dans le compte de quelqu'un d'autre est une infraction. Ici, tu regardes comment une machine garde les comptes, pour mieux les défendre.
Regarde qui lit les deux fichiers de comptes
ls -l /etc/passwd /etc/shadowAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Lis la ligne d'un compte
getent passwd internAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Vois le début de l'empreinte du compte
sudo grep '^intern:' /etc/shadow | cut -c1-14Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Vois la durée de vie par défaut
grep '^PASS_MAX_DAYS' /etc/login.defsAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Demande l'état du compte intern
sudo passwd -S internAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Un site garde une empreinte, pas ton secret
Dans la première commande, /etc/passwd peut être lu par tous, et /etc/shadow seulement par le système. Dans /etc/passwd, le x veut dire : « le mot de passe est rangé ailleurs ».
Dans /etc/shadow, tu as vu le début d'une empreinte. Le système calcule le hachage de ton mot de passe, puis compare les empreintes. Personne ne peut refaire le mot de passe à partir d'elle, sauf en essayant des mots un par un.