Mots de passe & hygiène numérique

Avant de commencer

Pourquoi ça compte (vraiment)

La majorité des piratages commencent par un mot de passe : trop court, réutilisé partout, ou volé dans une fuite. Karim, chez GSB, a donné le sien sans le savoir. Maîtriser les mots de passe, c'est verrouiller la porte d'entrée — pour tes comptes et pour les services que tu administreras. C'est l'un des réflexes les plus rentables de toute la cybersécurité.

Ce que tu sauras faire à la fin

0. Le pire mot de passe du monde

Chaque année, des analyses de fuites publient le palmarès des mots de passe les plus utilisés. En tête, toujours les mêmes :

123456
123456789
azerty / qwerty
password / motdepasse
000000

1. Ce qui fait la force

La force d'un mot de passe se résume à une idée : le nombre de combinaisons possibles qu'un attaquant doit essayer. Plus il y en a, plus c'est long à deviner. Deux leviers :

La phrase de passe : mémorisable ET solide

L'astuce qui résout tout : enchaîne 4 mots ou plus, sans lien logique, séparés par un signe. C'est long (donc fort), et imagé (donc facile à retenir).

lampe-tigre-banquise-7-pizza

2. L'entropie : mesurer la force en bits

Les pros ne disent pas « ce mot de passe a l'air fort ». Ils le mesurent, avec une grandeur : l'entropie, exprimée en bits. C'est le concept-clé de tout le chapitre — prenons le temps.

L'idée : compter les combinaisons

L'entropie répond à : « combien de mots de passe différents auraient pu être choisis avec les mêmes règles ? » Plus ce nombre est gigantesque, plus l'attaquant doit faire d'essais.

On le mesure en bits parce que chaque bit double le nombre de possibilités :

D'où viennent les bits : la longueur les fait exploser

Pour un mot de passe aléatoire, l'entropie = longueur × (bits par caractère). Et les bits par caractère dépendent du jeu de caractères :

Calculons ensemble (une fois, pour voir)

Comparons deux mots de passe aléatoires. On multiplie la longueur par les bits/caractère du tableau :

Le temps de crack par longueur

Traduisons l'entropie en temps réel. Voici, pour un mot de passe aléatoire avec tout le clavier, le temps qu'il faut pour le casser par force brute hors-ligne (l'attaquant a volé la base et essaie sur sa propre machine, très vite) :

Mot de passe aléatoire, jeu complet de caractères, attaque hors-ligne sur hash rapide. Chaque palier de longueur fait exploser le temps. Ordres de grandeur (les chiffres exacts dépendent de l'algo et du matériel).

3. Comment les pirates les craquent

Comprendre l'attaque aide à mieux se défendre. Trois grandes méthodes.

En ligne vs hors-ligne : une différence énorme

Vitesses réelles : ce que font les attaquants (GPU)

Quand une base de données fuite, l'attaquant ne passe pas par le formulaire de connexion : il lance Hashcat ou John the Ripper sur ses propres GPU et attaque les hashes directement. Voici des ordres de grandeur représentatifs :

4. Comment les sites les stockent : le hashage

Question cruciale pour un futur développeur : un site ne doit JAMAIS stocker ton mot de passe en clair. Il en garde une empreinte calculée : le hash.

password  →  (fonction de hashage MD5)  →  5f4dcc3b5aa765d61d8327deb882cf99

Tous les algos de hashage ne se valent pas

5. Le sel (salt) : contre les tables toutes prêtes

Le hashage seul a une faiblesse. Comme il est déterministe, le mot de passe password donne toujours 5f4dcc3b…. Les attaquants en profitent.

L'attaque : les rainbow tables

Un attaquant pré-calcule, une fois pour toutes, le hash de milliards de mots de passe courants et range tout dans un énorme annuaire : la rainbow table. Quand il vole une base, il ne « craque » plus rien : il cherche le hash volé dans son annuaire et lit le mot de passe en face. Instantané.

Pire : si 2 utilisateurs ont le même mot de passe, ils ont le même hash → l'attaquant les repère d'un coup d'œil.

La parade : ajouter un sel

Le sel (salt) est une valeur aléatoire et unique, générée par le serveur pour chaque utilisateur. On la colle au mot de passe avant de hasher :

Alice : hash( "password" + "x9$Kf2" )  →  3a7b...   (sel x9$Kf2)
Bob   : hash( "password" + "Lp0!aZ" )  →  e41c...   (sel Lp0!aZ)

Anatomie d'un hash bcrypt (lire ce que la lib produit)

Quand bcrypt hash un mot de passe, la chaîne renvoyée contient tout ce dont le serveur a besoin pour re-vérifier — algo, coût, sel, et empreinte — en 60 caractères fixes :

$2b$12$LfHRLMDgBJJHXkjPHmBuYOhElxSiVnCLXxaIbqKT5q5YKEjZYZFaX
↑↑ ↑↑ ←────────────────────────────────────────────────────→
1  2           22 chars (SEL)   +   31 chars (HASH)  = 53 chars

6. Côté dev (SLAM) : ce qu'on code, ce qu'on ne code jamais

Tu es en SLAM : un jour (très vite, sur GSB), c'est toi qui codes la connexion d'une appli. Voici les règles non négociables.

À quoi ça ressemble (illustration)

Tu n'as pas à mémoriser ce code aujourd'hui — observe juste à quel point c'est court quand on utilise la bonne lib :

// Node.js — au moment de l'inscription
const hash = await bcrypt.hash(motDePasse, 12);   // 12 = coût (lenteur)
// → on enregistre 'hash' en base, jamais 'motDePasse'

// Au moment de la connexion
const ok = await bcrypt.compare(motDePasseSaisi, hash);   // true / false

GSB Ordonnances (1A — C#) : le même principe avec BCrypt.Net

Pour le projet fil rouge en C#, la lib s'appelle BCrypt.Net-Next (NuGet). L'usage est identique :

// GSB Ordonnances — inscription d'un médecin (Program.cs / MedecinService.cs)
using BCrypt.Net;

// À l'inscription : on NE stocke jamais motDePasse en BDD
string hash = BCrypt.HashPassword(motDePasse, workFactor: 12);
// hash vaut quelque chose comme "$2b$12$LfHRLMDg..."
// → insère 'hash' dans la colonne mot_de_passe VARCHAR(255)

// À la connexion : on compare
bool ok = BCrypt.Verify(motDePasseSaisi, hashDepuisBDD);
// ok == true → connexion autorisée
// ok == false → affiche "Identifiants incorrects" (message VAGUE intentionnellement)

Tableau des coûts bcrypt — choisir selon le contexte

Le rate limiting : freiner la brute force en ligne

Côté serveur, on limite le nombre de tentatives de connexion. Sans cela, un attaquant peut tenter des milliers de combinaisons par seconde sur le formulaire. Avec rate limiting :

7. L'arme absolue : le gestionnaire

« Un mot de passe long, unique, par site… impossible à retenir ! » Exact — et personne n'y arrive. C'est pourquoi on utilise un gestionnaire de mots de passe : un coffre-fort qui les crée, les stocke chiffrés et les remplit pour toi.

8. La double authentification (2FA / MFA)

Même le meilleur mot de passe peut être volé (fuite, phishing). La double authentification ajoute une 2e preuve : même avec ton mot de passe, un pirate est bloqué. C'est la protection la plus efficace contre le vol de compte.

Les trois facteurs d'authentification

Une preuve d'identité peut reposer sur trois familles. La 2FA en combine au moins deux de familles différentes.

Mot de passe seul = 1 seul facteur. On ajoute « ce que tu as » (le téléphone) → deux facteurs, deux barrières indépendantes.

9. Bien choisir son 2e facteur

Toutes les 2FA ne se valent pas. Du moins sûr au plus sûr :

Le SMS et le piège du SIM swap

Le code SMS arrive sur ton numéro, pas sur ton téléphone. Or un numéro peut être détourné : un escroc appelle ton opérateur, se fait passer pour toi, et fait transférer ta ligne sur sa carte SIM (le SIM swap). Tous tes SMS, dont les codes 2FA, arrivent alors chez lui.

L'appli TOTP : comment ça marche vraiment (RFC 6238)

TOTP = Time-based One-Time Password (RFC 6238). À l'activation, le site et ton appli partagent un secret aléatoire de 80 bits (affiché sous forme de QR code ou d'une clé base32). Ce secret ne quitte jamais l'appli et n'est jamais retransmis ensuite.

À chaque connexion, l'appli calcule localement :

TOTP = HMAC-SHA1( secret, ⌊timestamp / 30⌋ ) → tronqué à 6 chiffres (mod 10⁶)

10. Fuites & hygiène numérique

As-tu été dans une fuite ?

Des milliards de comptes ont fuité. Le site haveibeenpwned.com (« t'es-tu fait avoir ? ») te dit si ton adresse mail apparaît dans des fuites connues et publiques. Il ne te demande jamais ton mot de passe — juste ton adresse mail.

L'hygiène numérique au quotidien

Cadre légal et références officielles

11. Mini-projet : audit de tes comptes

La mission

Tu fais le ménage dans ta vie numérique, exactement comme un pro auditerait un système d'information. C'est la synthèse de tout le playbook.

1. Liste 5 de tes comptes importants (mail, réseaux, école, banque…).
2. Pour chacun, évalue 3 critères : ton mot de passe est-il long (12+) ? est-il unique (jamais réutilisé) ? la 2FA est-elle active ?
3. Identifie les 2-3 comptes les plus à risque (réponses « non ») et écris un plan d'action : changer le mot de passe, activer la 2FA, le ranger dans le gestionnaire.

Pour finir

Ton antisèche

Vérifie tes acquis

1. Qu'est-ce qui compte le plus : la longueur ou la complexité ? Pourquoi (avec le mot « entropie ») ?
2. Cite 3 méthodes pour craquer un mot de passe, et une parade pour chacune.
3. Pourquoi ne jamais réutiliser un mot de passe ? (nomme l'attaque)
4. Qu'est-ce que le hashage, et en quoi diffère-t-il du chiffrement ?
5. À quoi sert le sel (salt) ? Que casse-t-il ?
6. Pourquoi une appli TOTP est-elle plus sûre qu'un code SMS ?
7. Qu'apporte la 2FA même si ton mot de passe est volé ?
8. En tant que dev, que ne dois-tu jamais faire avec les mots de passe ?

Corrigé du quiz — auto-vérification

Glossaire