«Minimum de huit caractères, au moins une majuscule, un chiffre, un symbole spécial, et sans espaces». Voici un exemple des restrictions classiques que de nombreux sites imposent lors de la création de mots de passe. Leur origine remonte au document «NIST Special Publication 800-63 Appendix A.», rédigé par Bill Burr en 2003. Quatorze ans plus tard, la sécurité informatique a beaucoup changé, et Burr reconnaît en quelque sorte que ses règles n'ont fait que compliquer la vie des utilisateurs, aussi a-t-il décidé de s'excuser publiquement.
Notre recommandation d'utiliser des gestionnaires de mots de passe reste intacte. Leurs générateurs internes sont capables de créer des combinaisons bien plus complexes que ce que l'on peut imaginer, et le meilleur, c'est que nous n'avons pas besoin de les mémoriser. Cependant, le véritable problème pour les responsables de la sécurité est ce groupe d'utilisateurs qui, en plus de ne pas adopter de gestionnaire, utilisent également des mots de passe très faibles.
En 2003, le NIST américain a publié un document connu sous le nom de «NIST Special Publication 800-63. Appendix A.», qui a subi plusieurs modifications, mais dont la version originale était dirigée par un administrateur de l'institut nommé Bill Burr.
Le texte de Burr définit les exigences pour la création d'un mot de passe sécurisé, qui imposent essentiellement l'utilisation de lettres majuscules, de symboles et de chiffres, ainsi que leur remplacement tous les 90 jours. Ces exigences ont été adoptées par des millions de services et de sites Web, et, pour être honnête, elles n'ont pas disparu. Ses intentions étaient bonnes, mais quatorze ans plus tard, Burr est arrivé à la conclusion qu'il avait fourni des informations incorrectes. Les utilisateurs ont rencontré de sérieuses difficultés pour se souvenir et saisir les mots de passe, ce qui a conduit à l'utilisation de chaînes très courtes et non sécurisées, dont le « renouvellement » tous les trois mois se limitait au simple remplacement d'un chiffre par un autre.
Pourquoi cela s'est-il produit ? Tout d'abord, Burr n'est pas un expert en sécurité informatique, et deuxièmement, ses sources d'information dataient des années 1980, avant que le Web tel que nous le connaissons n'existe. Aujourd'hui retraité et âgé de 72 ans, Burr a décidé de s'excuser publiquement pour les désagréments causés, mais nous ne pouvons pas lui en vouloir pour tout. En 2003, on n'insistait pas autant sur la sécurité. Les études disponibles étaient limitées en nombre et en qualité, tandis que le monde utilisait Windows XP SP1, un véritable passoire s'il en était.
