Même si le ransomware a fait la une des médias spécialisés, le vol de mots de passe sur le Web reste aussi problématique que jamais. Chaque fois que cela se produit, l'utilisateur doit s'empresser de changer les mots de passe de ses services les plus importants, mais une question demeure : savoir s'ils ont vraiment été divulgués. L'excellent portail Have I Been Pwned vient d'intégrer une base de données de plus de 300 millions de mots de passe compromis. Si l'un de vos mots de passe s'est retrouvé dans des listes malveillantes, cela vous aidera à le savoir.
Un fléau qui persiste
La relation entre les utilisateurs et les mots de passe ne s'est améliorée sur aucun point. Les appareils et systèmes d'exploitation les plus importants du marché offrent des alternatives comme la lecture d'empreintes digitales et la reconnaissance faciale, mais le reste du Web continue de dépendre de la combinaison « user-password ». Si l'on ajoute à cela l'augmentation notable des cyberattaques et l'ampleur des fuites, la situation est plutôt préoccupante. La recommandation d'utiliser des gestionnaires locaux à la manière de KeePass reste ferme pour deux raisons : l'utilisateur n'est pas obligé de mémoriser les mots de passe, et cela évite la réutilisation.
Comment vérifier si un mot de passe est compromis ?
Nous comprenons tous que réutiliser des mots de passe est pratique, mais du point de vue de la sécurité, c'est une très mauvaise idée, et s'ils viennent à être exposés, ils affecteront plusieurs services d'un seul coup. Le portail Have I Been Pwned propose de vérifier si l'un de nos mots de passe flotte déjà sur le Web ou non. Son responsable Troy Hunt nous a toujours permis de rechercher des noms d'utilisateur et des adresses e-mail sans référence aux mots de passe, mais maintenant il inverse ce mécanisme. La nouvelle base de données contient plus de 300 millions de mots de passe obtenus lors de dizaines d'attaques au cours des dernières années. Si vous voulez rechercher un mot de passe, Have I Been Pwned suggère que ce ne soit pas un mot de passe en activité, ou que vous le remplaciez quel que soit le résultat.
Télécharger la base de données
Un aspect très intéressant est que nous pouvons télécharger la base de données complète. Le fichier original et sa mise à jour immédiate dépassent les 5,5 Go compressés et plus de 12 Go en texte brut. L'idée est que les principaux fournisseurs transforment cette base de données en une liste noire automatique pour rejeter tout mot de passe ayant déjà été compromis.
