Reprise du message précédent :
Bien soulé de ce Lundi avec un max de retours de congés et de mdp oubliés.
Le mdp doit contenir maj, min et chiffre.
 
"Ca marche pas, j'ai pourtant bien mis les chiffres en majuscule   "
 
 

mais c'est chiant aussi, ptain
est ce qu'il y a vraiment des hackeurs qui sont là à visiter notre fessebouk en permanence pour tenter ensuite d'accéder à notre cogip avec des combinaisons débiles à base de "nom de son chien+année de naissance de sa fille" tout ça pour piquer le tableau excel recapitulatif de la comptabilité 2015 de l'entreprise Berthier Travaux public ???
je veux bien qu'on sécurise mais peut etre faut il aussi adapter le niveau de sécurité au niveau réel de risque que subit une boite. Une banque internationale, je dis pas qu'il faut sécuriser au taquet mais tu as des boites qui pourraient se contenter de trucs bien plus simple et ça irait tout aussi bien

Je suis pas du métier mais si un chinois (nationalité du hacker choisie au hasard, j'aurais tout aussi bien pu dire russe) veut craquer mon compte où qu'il soit, je doute qu'il s'interesse de savoir si mon mdp est Juliette1206 ou [D4rkVad0Rl3R0x0R], il utilise j'imagine des trucs bien plus compliqués qu'un simple script qui teste toutes les possibilités de mdp une à une (j'imagine que ça doit se voir quand un ordi externe fait ce genre de truc non ?) et quand bien meme, en quoi ce serait plus facile pour un bot de trouver le premier mdp et pas le deuxième ?

je vois maintenant que le truc de saisi de mdp de certains sites ou appli ne tolèrent plus les "suites de plus de 3 caractères" donc exit les 1234 ou même les "azer"
impossible de se souvenir par des moyens mnémotechniques simples les mdp.

Les sysadmin veulent qu'on choisissent des bons gros trucs incraquables genre G6&gfOo0l1!15%h2$ mais râlent ensuite parce que :
1 - les gens s'en souviennent pas et donc demandent des reset de mdp et génèrent du taf débile pour les helpdesk
2 - les gens les notent sur un post it collés sur leur ordi pour s'en souvenir et donc sécurité 0 vu que n'importe qui voyant le postit peut s'en servir...

Toutes tes assomption sur le "hacking"  prouve que tu ne connais pas le sujet.
Ce type d'attaque sont justement les plus répandu et le meilleur rapport efforts/efficacité.

Le point ou les politiques sont débile c'est sur la fréquence de modification des mot de passe qui est trop élevé, ça entraîne un phénomène de schémas chez l'utilisateur ou un de ses anciens mot de passe permet de servir de base pour un brut force.

la sécurité informatique commence par l'éducation des users, pas l'inverse.

je le revendique    
 

 
soit, mais donc en quoi mon mdp très perso genre SylvieLove69 est plus facile à trouver qu'un truc hyper chiadé pour notre ami chinois d'autant plus qu'il n'est pas intime avec Sylvie ?
 
 

 
tu insinues que le hacker connait l'ancien ou les anciens mdp ? s'il a déjà ce niveau d'information, c'est qu'il est déjà rentré dans le système. alors à quoi pourrait bien lui servir mon nouveau mdp.

 
c'est certain mais d'un coté on te propose de sécuriser tes achats CB avec un bête code à 4 chiffre et de l'autre, pour protéger des disques pro dont le contenu abscon et hérmetique n’intéressent bien souvent que les gens qui les remplissent, on a des parcours du combattant virtuel pour entrer dans les systèmes.
alors soit il y en a un qui ne fait pas assez d'effort pour la sécurité, soit un qui en fait trop.
 

beaucoup plus rapide d'utiliser des combinaison de mots du dictionnaire que de tester toutes les combinaisons en suivant l'arbre des combinaisons de l'alphabet. pour un hacker chaque cycle seconde compte.
si le mot de passe est "trop long" à trouver, il passe à autre chose ou une autre proie  
 
il est parfois "plus simple" de téléphoner à un secrétariat et simplement demander le mot de passe  

 
On a eu un cas chez nous. On a intercepté le traffic via le PAN, le gars est actuellement en procès.
 
 

 
Si ton mdp du mois dernier était SylvieLove68, devine.
 
L'avantage du mdp compliqué qui change tout le temps est qu'il y a peu de chances que l'employé le réutilise pour facebook et autres conneries.
 
 

 
C'est pas forcément des hackers chinois inconnus.
Plutot des anciens employés, ou des employés actuels sous couverture (non je ne plaisante pas, je n'invente pas. En tant que société US cotée en bourse, ça nous est arrivé). En tant qu'employé, à discuter avec du collegue, à laisser trainer l'oreille etc, c'est facile de toper du mot de passe, malgré toutes les campagnes de sensibilisation qu'on fait.

Je vois

   
 
C'est un peu plus complexe que ça.
Tu n'y connais vraiment rien en sécurité toi

ça rigole pas à la cogip

mais comment connaîtrait il mon mot de passe du mois dernier ?

là d'accord, je comprends, mais du coup ça se heurte à l'autre truc qui est le mdp en post it sur l'écran à cause du fait que les gens ne retiennent pas leurs mots de passe.
Si on laisse aux gens la possibilité de mettre un mdp compliqué mais dont on puisse se souvenir quand même et surtout qu'on ne change pas toutes les 3 semaines avec plein d'interdiction ou d'obligation, ça irait mieux.

le pire truc je trouve c'est l'obligation d'utiliser "un caractère spécial"

les gens se souviennent de leurs mot de passe parce qu'ils "l'entendent" en général et se le répètent dans la tête, mais comment "entendre" un caractère qui n'a pas de son associé. donc il faut mélanger souvenir visuel et oral, ça devient chiant, ou faire des count as genre le ! est un i à l'envers mais l'ai-je utiliser pour le premier ou le second i de mon mot de passe ?

bref, les mdp c'est chiant, mettez nous de la reconnaissance phéromonale partout, problème solved.

ah si toi tu t'y connais, je m'incline. Je reconnais mes torts de suite.  
(je parlais des achats dans la vraie vie, pas sur internet)

mots du dictionnaire français  les hackers font des stats des mots les plus utilisés. le "bot" utilise ceux là en 1er.

tout le monde sait que le paiement sans contact c'est mieux sécurisé

 
Voir mon édit.
 
Si on laisse à l'utilisateur des mots de passe simples/qui n'expirent pas, ce seront les mêmes mots de passe que facebook, gmail et co qui seront utilisés. Même pas besoin d'une stat à ce niveau.
 
Et récuperer un mdp facebook, c'est tellement simple. "clique ici pour des machin pokémongo gratuits". Et voila, le mot de passe "classique" de l'utilisateur entre les mains.
 
Donc coller du mdp compliqué/qui expire est le meilleur moyen de s'en prémunir.

Ton achat par CB n'est pas sécurisé que par un code PIN à 4 chiffres.
Pour lire la carte, il y a toute une chaîne de confiance du commerçant à la banque (n'importe quel appareil n'est pas en mesure de lire une CB).
Il n'y a qu'un tout petit nombre d'essais (3) pour trouver le-dit code PIN
Tu ne peux pas automatiser à grande vitesse la recherche du code PIN
Tu as la possibilité de  faire opposition sur ta carte quand tu t’aperçois que tu ne l'a plus.

Bref, ta phrase concernant les achats CB sécurisé par un code à 4 chiffres n'a juste pas de sens en fait, du moins dans le contexte.

 
ok, je comprend mieux
 
vous m'enervez à avoir raison  

Il a pas totalement tord....
Perso depuis 18 ans que je suis sur internet, j'ai toujours eu des mots de passe assez simples, voir très simples. Et 0 problème.
En tant que particulier, s'emmerder avec des mots de passe de 30 caractères tordus, c'est useless.
Qu'on me prouve le contraire avec des exemples concrets de piratages autre que des mots de passe hackés avec un keylogger et autre truc dans le genre.
De toutes façons sur pas mal de sites, au bout de quelques essais le site bloque le compte. Alors à part les keylogger, je vois pas...

Bon courage avec vos mots de passe à rallonge.
Si les mots de passe simples sont aussi faciles à pirater, je vous laisse pirater mon compte hfr. Good luck!

#motdepassefacebookCOGIP201609    
 
Caractère spécial    
Majuscule    
Minuscule    
Chiffre    
Facile à retenir  

 
Tu n'as pas tout compris/tu ne vois le truc qu'avec ton prisme d'utilisation perso.
 
Que tu utilises des mdps simples pour facebook et co, on s'en fout.
 
Ce qu'on veut pas, c'est que tu utilises ces mêmes mdps au boulot. Parceque justement le hacking de mot de passes sur ce genre de machins, (que ce soit du vrai hacking, ou le plus courant, du social engineering) , ça c'est très courant.
 
Et le mdp compliqué qui expire regulièrement est encore la meilleure solution.

Ah mais je suis entièrement d'accord.
De même que j'ai des mots de passe différents. Mais jamais de mot de passe compliqué.
Mon mot de passe sur PayPal fait 8 caractère. Mon compte doit avoir bien 7 ou 8 ans, et aucun problème.
Et mes mots de passe, je les retiens, ça fait travailler la mémoire.

Ok pour toi, mais en entreprise on peut pas compter sur la bonne volonté des gens hein.

Entièrement d'accord.
Ni de certains admins
Des admins avec des mots de passe du genre 0000, c'est du déjà vu !

Un peu comme XFS c'est de la merde par rapport à ext4

Trop gros, passera pas.

 
tout à fait!
On y vient : le fait que le piratage de mot de passe soit le fait d'un programme genre keylogger, soit le piratage d'une base de données. Donc qu'un mot de passe fasse 6 caractères basiques ou 30 caractères tordus, ça sera pareil!
 
Par contre le fail serait d'avoir le même mot de passe sur dropbox / steam / and co que sur son adresse mail. Sachant que le piratage d'un compte dropbox and co donne généralement aussi l'adresse email, il vaut mieux avoir un mot de passe différent pour l'adresse mail....
 
Je fonctionne avec disons une grosse douzaine de mots de passe (forum, banques, paypal, mail...), aucun de très compliqués, la plupart ultra simples, et tous en mémoire dans ma tête.

dans l'exemple donné oui, mais par exemple si un de tes comptes ce fait pirater sur une plateforme web ( y'a une quantité de moyen phénoménal je vais pas m'étendre ça va de la base de donnée compromise chez un éditeur/hébergeur à toi qui crée un compte sur un site web de pishing) ça consisté déjà en une base pour orienté un logiciel de brut force.

Ensuite tu a toute la branche du social engineering qui consiste à attaquer d’abord l'utilisateur par un mélange de tromperie et de psychologie afin de lui soutiré des informations qui vont préparer voir constituer la totalité de l'attaque.

Si je reprend ton exemple de sylvie, c'est probablement quelqu'un de proche de toi, ta femme, ta fille, ta mère,... autant de personne qu'un hacker qui observe tes publications sur des réseaux sociaux pourra connaitre ainsi qu'établir une probabilité que son nom ou surnom sois une partie de ton mot de passe.

ben la tu a bien raison, mais puisqu'on ne peut pas faire confiance à tout les utilisateurs pour faire l'effort d'avoir un mot de passe de ce type ( et encore le tien est une phrase réel donc pas si Secure que ça) ben on est obligé de mettre des limites arbitraire.

Regardes la série Mr Robot, ca te donnera une idée de comment on récupère un mot de passe

 
et encore dans Mr robot il sort les truc ou faut quand même savoir un peu ce que tu fait  

et cela ne concerne pas que l'informatique.  
le mot de passe d'alarme de l'ex ecole de ma femme : 1234a cad le pass par defaut du systeme du jour de l'installation.
avec une belle etiquette pub "ce site est surveillé par xcogip"
le pass de son ecole actuelle : 1212
   
 
sachant que les modes d'emploi de ces engins qui hurlent la nuit est quasiment en libre service, je vous laisse deviner la facilité d'entrer

MonC4n4rdBl4ncMeC4sseLesCou1lles!
 
t'as même un caractère spécial !! et c'est tout aussi facile à retenir

 
ouai sauf que pour du brute force c'est la même chose que la phrase écrite en normal  

 
sinon plus simple :  
 
maisputaincestquoimonmotdemessagedeja?123456?
 
 
   

https://howsecureismypassword.net/

Pour "verifier" si votre password se ferai flinguer rapidement en bruteforce

[Le PW pour ma COGIP serait cassable < 1 heure]

   
Et hop directement dans mon dico pour le brute force, allez-y, merci.

Je suis le seul à être légèrement parano devant ce site?