Générez un mot de passe fort avec le générateur aléatoire

Un générateur de mots de passe aléatoire pour la sécurité des entreprises

Selon le rapport 2023 du CESIN, le phishing, qui consiste à récupérer des identifiants, en particulier des mots de passe, reste le principal vecteur d’attaque contre les entreprises. Près de 75% des attaques subies commencent par du phishing car même un mot de passe, à première vue sans impact pour la sécurité, peut mener à de lourdes conséquences si des hackers l'utilisent habilement.

Dans ce contexte, l'utilisation d'un coffre-fort de mots de passe est non seulement une solution pratique mais est aussi un impératif de sécurité.

Pourquoi les identifiants sont cruciaux pour la sécurité des entreprises ?

Le nombre de mots de passe à gérer explose

Avec la digitalisation forte de nos organisations, qui a d’ailleurs connu un second boom lors du COVID, le nombre d’outils et d’applications numériques permettant aux collaborateurs de gérer, partager ou accéder à de l’information a fortement augmenté.

Les solutions SaaS (software as a service) sont par exemple passées de 16 par collaborateur en 2017 à plus de 130 en 2022 (Etude Better Cloud). Cette multiplication d’outils a mécaniquement augmenté le nombre de mots de passe à gérer par personne, provoquant l’apparition de mauvaises pratiques bien connues : 

• Mots de passe identiques pour toutes les applications.
• Mots de passe stockés dans les navigateurs web.
• Mots de passe écrit dans des carnets ou sur des post-it.
• Mots de passe conservés dans un fichier csv sur le bureau.

En effet, pour chacun de nos outils, un mot de passe unique doit être créé, géré, stocké et même renouvelé afin de limiter le risque de fuites.

Mots de passe : l'enjeu pour les entreprises

Les mots de passe sont donc la porte d’entrée à une multitude de ressources numériques. Ils sécurisent les accès à des données comme : 

• Les données personnelles des collaborateurs ou des clients (CRM par exemple)
• Des accès aux outils internes de l’entreprise (Back-Office par exemple)
• Les réseaux sociaux de l’entreprise
• Des comptes appartenant à des clients (pour les agences)
• Les accès aux ressources de la DSI
• Des bilans financiers ou comptables (par les outils de trésorerie).
  

Il est donc évident que confier la création de ces accès à chaque collaborateur peut engendrer un risque considérable de cyberattaque. Les employés, pour des raisons de commodité, tendent souvent à créer des mots de passe simples et mémorisables ou à utiliser le même mot de passe partout, une porte ouverte pour les cyber attaquants. 

Un projet nommé Projet Richelieu a d’ailleurs été développé en 2019 afin d’aider les responsables de la sécurité des données au sein des entreprises à mieux protéger les accès dont voici la genèse : 

Les attaques par dictionnaire sont souvent utilisées en cryptanalyse pour tester la robustesse des accès. Elles consistent simplement à tester tous les mots de passe présent dans un "dictionnaire" (une liste d'identifiants couramment utilisés) afin de vérifier si l'accès utilisé est bien unique et robuste et que sa longueur est suffisante. 

Mots de passe faibles : une porte d’entrée pour les cyberattaques

Tout le monde a utilisé au moins une fois : "1234" comme mot de passe. On pourrait penser que ces mots de passe faibles sont uniquement utilisés pour des comptes inutiles et que tout le monde se sert de chaines de caractères plus complexe, contenant des majuscules, des minuscules, des chiffres et même des caractères spéciaux afin de sécuriser au mieux ses comptes en ligne.

Cependant, l'importance de protéger ses données n'est pas encore ancrée pour tous et beaucoup utilisent des identifiants simplistes ou basés sur des informations personnelles comme leur date de naissance donc peu robustes.

Les statistiques sont d'ailleurs alarmantes : une étude récente de Verizon montre qu'une large majorité des violations de données sont dues à des mots de passe faibles ou volés. Ces chiffres illustrent l'ampleur du danger que représentent les mots de passe peu robustes pour la sécurité des entreprises.

Il faut donc réussir à bannir les mauvaises pratiques des collaborateurs afin de permettre de protéger efficacement toutes vos données, tout en instaurant des méthodes et politiques de sécurité claires pouvant être appliquées simplement par l’ensemble des collaborateurs.

Pourquoi utiliser un generateur de mot de passe aléatoire ?

L’avantage de générer des mots de passe aléatoires

L'utilisation d'un générateur de mots de passe aléatoires offre une double garantie : la robustesse et l'unicité. Chaque accès devient imprévisible et différent des autres, ce qui ferme la porte aux attaques les plus courantes.

• Robustesse : Vous êtes certains que vos mots de passe seront forts et sécurisés.
• Unicité : Tous vos accès seront générés de la même manière, aucun ne peut donc représenter une faiblesse.

Un mot de passe généré aléatoirement est presque impossible à deviner, car il ne suit aucun schéma logique ou prévisible. Attention cependant, si la longueur de l'identifiant est insuffisante où s'il n'utilise qu'un seul type de caractères (uniquement des chiffres ou des minuscules), il pourra quand même être sensible à une attaque de brute force bien qu'étant à priori robuste.

Mais un autre défi demeure : la gestion et le stockage de ces mots de passe. Noter ces mots de passe sur un post-it un fichier Excel ou sur son téléphone n'est clairement pas la solution, compte tenu des risques de perte ou de vol. C’est pourtant un comportement souvent observé par les RSSI ou responsable cyber au sein des entreprises.

Malheureusement, il est parfois complexe de changer les habitudes des collaborateurs les moins techniques concernant la gestion de leurs mots de passe. Ces derniers ne sont pas opposés à l’idée d’adopter des pratiques plus sécurisées mais cela doit rester rapide et simple d’utilisation pour ne pas nuire à leur productivité. 

Nous verrons plus tard comment bien gérer ses mots de passe, une fois générés aléatoirement.

Générateur et conformité ANSSI, CNIL et ISO 27001 : respect des règles de cybersécurité

Plusieurs référentiels existent aujourd’hui autour des mots de passe et de leur génération. Ces derniers permettent de donner un cadre aux organisations quant à la sécurisation de leurs accès. 

Nous vous en partageons trois ci-dessous : 

• Les recommandations de l’ANSSI (Agence nationale de la sécurité des systèmes d'information) ;
• Les recommandations de la CNIL (Commission nationale de l'informatique et des libertés);
• La norme ISO27001.

L'ANSSI recommande des mots de passe longs et à forte entropie (minimum 12 caractères, mélanger majuscules, minuscules, chiffres et caractères spéciaux), la CNIL encadre la protection des accès aux données personnelles, et l'ISO 27001 exige de maîtriser « qui a accès à quoi ». Pour le détail, consultez les recommandations de l'ANSSI sur les mots de passe.

L’un des points importants quand on choisit de générer des mots de passe aléatoires, c’est que l’on peut plus simplement faire respecter les recommandations de l’ANSSI au sein de son entreprise. Bien que ces règles puissent être respectées sans l'aide d'un générateur, les utilisateurs ont tendance à créer des mots de passe prévisibles. Pour mieux s’en souvenir, ils incorporent des chiffres et des symboles, par exemple en transformant "password" en "p@ssw0rd. Ces versions à priori robustes de mots de passe sont bien connues des hackers et ne représentent pas une sécurité fiable face à eux.

En plus de réduire les risques de cyberattaques, l’utilisation d’un générateur de mots de passe permet de s’aligner avec les directives de la CNIL. Bien que cette dernière conseille l’utilisation d’une double authentification plutôt qu’un seul mot de passe, elle admet que le seul mot de passe sécurisé est suffisant pour de nombreux cas d’usages notamment ceux n’impliquant pas de données personnelles.

Enfin, que vous cherchiez à obtenir ou renouveler la certification ISO 27001, cette dernière pose un cadre autour du : qui a accès à quoi ? Cette question fait en effet partie intégrante de la norme et doit donc aussi orienter vos réflexions et travaux. Plus précisément, l’annexe A.9 de la norme aborde l’enjeu du contrôle d’accès logique à travers 4 sous-sections que nous avons synthétisées ci-dessous :

• A.9.1 Exigences métier du contrôle d’accès : Définir les processus détaillant qui doit avoir accès à quoi.
• A.9.2 Gestion des accès utilisateurs : Définir les processus permettant de gérer les accès aux informations par les collaborateurs dans le temps (attribution et révocation de droits d’accès).
• A.9.3 Responsabilité de l’utilisateur : Définir les processus permettant aux collaborateurs de générer des accès suffisamment robustes (générateur de mots de passe) et de les partager aux bonnes personnes (gestionnaire centralisé).
• A.9.4 Responsabilité d’accès aux systèmes et aux applications : Définir les habilitations de chacun au sein de l’organisation.

Alors, un outil type générateur, couplé à une politique de mots de passe transforme ces exigences en réflexe quotidien : des combinaisons imprévisibles, complexes et donc plus sécurisées.

Comment créer un mot de passe fort avec un générateur ?

Bien utiliser un générateur de mots de passe aléatoire : 2 paramètres

Vous vous êtes sans doute déjà posé la question. En réalité c'est assez simple. Il existe deux paramètres principaux influant sur la robustesse d’un mot de passe :

• le nombre de caractères utilisés, tout simplement la longueur du mot de passe.
• le jeu de caractères (l'éventail dans lequel on pioche)

Allonger le mot de passe et diversifier les types de caractères augmente l'effort de cassage de façon exponentielle.

Quelle longueur de mot de passe choisir ?

Chez LockSelf, nous vous dirons que la bonne longueur dépend de la sensibilité du compte. Voici les seuils de référence que vous pouvez appliquer :

Avec les outils adéquats, rien ne vous empêche d'opter pour des longueurs bien plus importantes afin de toujours proposer des accès plus robustes. En effet, selon une étude de Hive Systems, un mot de passe de 18 caractères augmente exponentiellement le temps nécessaire à un potentiel piratage, renforçant ainsi considérablement la barrière de sécurité face aux pirates.

Mot de passe aléatoire ou phrase de passe (passphrase) ?

Pour terminer sur les bonnes pratiques autour de la génération de mots de passe aléatoire, une des méthodes existante est la phrase de passe ou passphrase. C'est une suite de mots formant une phrase, alternative plus facile à mémoriser et souvent très longue, donc robuste.

Cependant, les passphrases ne sont pas exemptes de failles. Leur génération n'est pas toujours aléatoire, et elles peuvent manquer de diversité en termes de caractères, limitant ainsi leur efficacité. Par exemple, toujours selon une étude de hive système, le simple fait de combiner des chiffres avec des lettres minuscules peut multiplier la robustesse d’un mot de passe par 100 et bien plus.

C’est pourquoi les passphrases souvent uniquement composées de lettres peuvent être problématiques.

Stockage : que faire de vos mots de passe une fois générés ?

Nous l’évoquions plus haut dans cet article, mais l'un des écueils les plus courants dans la gestion des mots de passe est leur stockage inadéquat. Un mot de passe généré ne vaut que s'il est stocké en lieu sûr.

"Avoir un verrou difficile à forcer est un excellent début, mais si la clé est laissée à la vue de tous, les efforts sont vains."

Nous avons souvent rencontré des DSI inquiets sur les sujets des mots de passe car leurs collaborateurs stockaient ces derniers sur : 

• Des posts-its laissés à la vue de tous
• Des fichiers excel échangés par drive
• Directement dans des messageries instantanées (Slack par exemple)
• Dans des mails échangés parfois depuis plusieurs mois
• Dans leur téléphone sur une note.

Des pratiques qui annulent instantanément le bénéfice du générateur. La bonne pratique tient en une phrase : enregistrez chaque mot de passe directement dans un gestionnaire chiffré, qui le stocke, le partage de façon contrôlée et trace les accès = utilisation conjointe de générateur de mots de passe et de gestionnaire de mot de passe.

Et pour encore plus de rapidité et de simplicité, les gestionnaires de mots de passe proposent des outils d'auto remplissage des champs avec des plugins / extensions navigateurs pour vous connecter en deux clics ou pour enregistrer vos nouveaux accès lors de la création d’un compte. Une fonctionnalité très pratique quand on connait le nombre de mot de passe qu'une seule personne doit gérer chaque jour.

Pour aller plus loin sur les limites du stockage navigateur, lisez notre article sur la gestion des mots de passe dans le navigateur.

Déployer le générateur de mot de passe à l'échelle de l'entreprise

Utiliser un générateur de mots de passe aléatoire de manière individuelle est un bon début pour réduire le risque de cyberattaques et doit devenir une habitude. Pour autant, l'idéal est que cette pratique devienne une habitude pour un maximum de personnes au sein des équipes : un réflexe collectif.

Plusieurs leviers peuvent être mise en place et doivent, dans l’idéal, être activés conjointement :

• Mettre à disposition un générateur aléatoire de mots de passe à l’ensemble des collaborateurs.
  
  
• Définir une ou plusieurs politiques de mots de passe et l’imposer en fonction des droits et du niveau de privilège de chacun.
  
  Avec un gestionnaire comme LockPass, vous paramétrez ces politiques directement dans l'outil : longueur et complexité minimales par groupe d'utilisateurs.
  
  💡 Exemple : votre équipe finance partage un outil de facturation. Plutôt qu'un mot de passe choisi par un collaborateur, le générateur produit Xk#9mP2$vL7qRn4@ : 16 caractères. Stocké dans un coffre partagé, il reste invisible pour le reste de l'organisation et révocable au départ d'un membre.
  
  
• Communiquer sur les bonnes pratiques à intégrer et sur les outils de cybersécurité à utiliser.
  
  Le levier "communication" est indispensable afin d’ancrer les bons réflexes dans le quotidien de l’ensemble des collaborateurs : "Utilisez un générateur de mots de passe aléatoire pour créer et/ou vos mots de passe", "Générez des mots de passe avec le générateur : il respecte automatiquement la politique de mots de passe de l’entreprise", "Utilisez un gestionnaire centralisé de mots de passe pour accéder directement aux bonnes ressources".

En déployant un générateur de mots de passe aléatoires à chaque niveau de l'entreprise avec une politique de mot de passe adaptée, on assure ainsi une uniformité de la sécurité autour des mots de passes. Cette unicité est essentielle en cybersécurité car, rappelons le, même un accès qui parait, à l’origine, anodin peut simplifier la latéralisation d'un attaquant au sein du système d'information de l'entreprise et la récupération d'informations critiques.
Une attaque type phishing réussie auprès d'un collaborateur au sein d’une équipe peut permettre à terme d’atteindre un dirigeant et de lui extorquer des données confidentielles. Cela s’appelle la fraude par ingénierie sociale.

Si vous comparez plusieurs solutions, notre guide détaille comment choisir un gestionnaire de mots de passe adapté à votre organisation.

Combiner le générateur avec d'autres mesures de sécurité

Il est impératif de rappeler à vos collaborateurs et à vos directions que, bien que les mots de passe robustes soient essentiels, ils ne constituent qu'une facette de la stratégie globale de sécurité. En effet les mots de passe peuvent être volés avec des attaques de phishing par exemple et dans ce cas, leur robustesse importe peu.

L'ANSSI recommande donc l'utilisation de l'authentification multifacteur (MFA) pour renforcer la protection des comptes. La combinaison de mots de passe forts générés aléatoirement avec d'autres formes d'authentification, telles que la validation par téléphone ou les clés de sécurité, forment un rempart bien plus solide contre les tentatives d'intrusion.

Ce qu'il faut retenir d'un générateur de mot de passe

Comme nous l’avons évoqué précédemment pour sécuriser au mieux vos accès, il est nécessaire d’utiliser un générateur de mots de passe aléatoires.

Ensuite, afin d’éviter tout problème de stockage, il faut coupler ce générateur avec un gestionnaire de mots de passe qui permet de les conserver en lieu sûr.

Enfin, vis-à-vis de la gestion des accès, la réponse à la question : “qui a accès à quoi ?”, il faut également faire attention à sélectionner un gestionnaire pensé pour les entreprises qui facilitera votre travail en tant qu’administrateur et responsable de la sécurité.

Si l’on résume ces trois points, on obtient : 

• Une génération de mots de passe robuste, avec un ou des politiques adaptées et imposées
• Un coffre-fort numérique sécurisé pour stocker chaque compte de votre entreprise
• Une gestion du coffre pour bien attribuer et suivre l’utilisation des accès.

LockPass, le coffre-fort de mots de passe de LockSelf répond à ces trois attentes en incluant un générateur de mot de passe dont vous pouvez tester une version adaptée sur cette page.