Prouver qui vous êtes
L’authentification est la vérification qu’une personne est bien celle qu’elle dit être. Un mot de passe, une carte ou une empreinte digitale en sont des preuves.
Sans elle, n’importe qui peut se faire passer pour un étudiant ou pour un administrateur. Le serveur de l’université doit donc savoir qui se connecte avant de lui donner quoi que ce soit.
À la fin de cette leçon
Remarque
Je peux comparer les façons de prouver qui je suis et dire pourquoi un mot de passe long protège mieux.
Mots-clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Authentification | la preuve qu’on est bien la personne annoncée | |
| Facteur | une sorte de preuve : ce qu’on sait, ce qu’on a, ce qu’on est | |
| Authentification multifacteur | une connexion qui demande des preuves de deux sortes au moins | mot de passe et code reçu |
| Force brute | essayer toutes les combinaisons une par une | |
| Empreinte | un résultat de calcul qui représente un mot de passe sans le révéler | |
| Identifiant | le nom du compte, qui dit qui prétend se connecter |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Trois sortes de preuves
On peut prouver son identité de trois façons. Par ce qu’on sait : un mot de passe, un code secret. Par ce qu’on a : une carte, un téléphone, une clé de sécurité. Par ce qu’on est : une empreinte digitale, un visage.
Chaque sorte est un facteur. Chacune a une faiblesse différente.
Exemple travaillé : les trois facteurs
| Facteur | Exemple | Faiblesse |
|---|---|---|
| Ce qu’on sait | Un mot de passe | Il peut être deviné, volé ou réutilisé |
| Ce qu’on a | Un téléphone avec un code | Il peut être perdu ou volé |
| Ce qu’on est | Une empreinte digitale | On ne peut pas la changer si elle fuit |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Deux facteurs valent mieux qu’un
L’authentification multifacteur demande au moins deux sortes de preuves. Un voleur qui connaît votre mot de passe a encore besoin de votre téléphone.
Il faut deux sortes différentes. Un mot de passe et une question secrète sont deux fois « ce qu’on sait » : ce n’est qu’un facteur.
Erreur fréquente
Attention
Beaucoup de gens pensent qu’un mot de passe suivi d’une question secrète fait deux facteurs. Les deux sont des choses qu’on sait, et quelqu’un qui connaît votre vie peut deviner la réponse. Choisissez deux sortes différentes : un mot de passe et un code reçu sur le téléphone.
La longueur compte plus que les symboles
Une attaque par force brute essaie toutes les combinaisons. Le nombre de combinaisons est le nombre de caractères possibles, élevé à la puissance de la longueur.
Le tableau montre que huit lettres minuscules donnent déjà plus de deux cents milliards de combinaisons. Ajouter des majuscules et des chiffres les multiplie par plus de mille.
Exemple travaillé : combien de combinaisons ?
| Mot de passe | Caractères possibles | Combinaisons |
|---|---|---|
| Code de 4 chiffres | 10 | 10 000 |
| Code de 6 chiffres | 10 | 1 000 000 |
| 8 lettres minuscules | 26 | 208 827 064 576 |
| 8 lettres et chiffres | 62 | 218 340 105 584 896 |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Huit lettres minuscules
python3 -c "print(26 ** 8)"Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Huit lettres et chiffres
python3 -c "print(62 ** 8)"Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Un serveur garde une empreinte
Un serveur bien fait ne stocke pas votre mot de passe. Il stocke son empreinte : un calcul à sens unique. À la connexion, il calcule l’empreinte de ce que vous tapez et compare.
Sur Linux, le fichier /etc/passwd montre un x à la place du mot de passe. Les empreintes sont dans /etc/shadow, que vous avez vu refusé à la leçon 1.
Chercher le x de root
cut -d: -f1,2 /etc/passwd | grep '^root:'Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Empreinte de abc
printf 'abc' | sha256sumAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Empreinte de abd
printf 'abd' | sha256sumAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Trois choses font une bonne règle
Une règle utile demande d’abord une longueur d’au moins 12 caractères. Elle refuse ensuite les mots de passe trop courants, comme ceux des listes volées. Elle refuse enfin ceux qui contiennent le nom du compte.
Exiger une majuscule et un symbole pousse souvent à écrire Soleil1!. La longueur protège mieux.