Comment créer des mots de passe vraiment forts

L’une des principales faiblesses dans le domaine de la cybersécurité réside dans la mise en place de mots de passe simples ou non sécurisés. Dans de nombreux cas, les utilisateurs qui doivent définir un mot de passe ont tendance à opter instinctivement pour des combinaisons de chiffres et de lettres faciles à mémoriser, souvent basées sur des informations personnelles, telles que les dates de naissance, les anniversaires, les noms des membres de la famille ou les noms d'animaux.

L'utilisation de mots comme « mot de passe » et de séquences de chiffres sans grande complexité comme « 123456789 » est également récurrente. De même, une autre erreur courante consiste à réutiliser les mots de passe à des fins différentes, ce qui facilite grandement le travail des cybercriminels.

À cet égard, les cyberattaquants disposent d'une grande variété de tactiques et de techniques pour voler des mots de passe, telles que l'utilisation de logiciels espions , d'enregistreurs de frappe et d'autres types de logiciels malveillants (logiciels malveillants), ainsi que des attaques de phishing.

Hillstone Networks , une société de cybersécurité, a indiqué qu'il existe également des « dictionnaires de mots de passe courants ». Si un mot de passe fréquemment utilisé est trouvé dans ces dictionnaires, l'attaquant n'a qu'à attendre qu'ils correspondent dans un processus automatisé et aura accès au compte ou au système ; C’est ce qu’on appelle une « attaque par force brute ».

Si cette stratégie échoue, ce que l’on appelle des « attaques d’ingénierie sociale » peuvent être mises en pratique, où l’on tente de manipuler la victime en se faisant passer pour des entités de confiance.

L'utilisation d'un seul facteur d'authentification augmente la vulnérabilité et rend le succès d'une attaque fortement dépendant des compétences du cybercriminel et de l'efficacité des mesures de sécurité mises en œuvre sur les appareils ou le réseau. Dans le cas où le cybercriminel possède une expérience considérable dans ce type d’attaques et où sa cible est un utilisateur ordinaire, la réalisation de l’objectif pourrait être considérée comme relativement simple.

Au niveau de l'entreprise, la conformité réglementaire encourage l'utilisation de l'authentification multifacteur ( MFA ) pour accroître la sécurité lors de l'accès aux données ou aux systèmes. L'objectif est de réduire le risque d'exposition et de vol de données sensibles, car si les attaquants parvenaient à obtenir le mot de passe, ils auraient toujours besoin du deuxième ou du troisième facteur pour y accéder.

Dans ce type d'environnement d'entreprise, les cyberattaquants utilisent des techniques telles que le Whaling, qui est un type d'attaque de phishing visant les cadres supérieurs, les dégâts sont donc généralement importants, tant sur le plan économique que sur le plan de la réputation.

Comment s’applique l’AMF

L'authentification multifacteur ou MFA (pour son acronyme en anglais) fonctionne sur la base de trois facteurs :

- Quelque chose que l'utilisateur connaît (mots de passe, code PIN, questions de sécurité).

- Quelque chose que la personne possède ou possède (téléphone portable, tablette, jeton).

- Quelque chose qui le compose (empreinte, voix, reconnaissance faciale, etc.).

L'entreprise de cybersécurité affirme que l'on peut en déduire qu'en appliquant les trois niveaux de facteurs, la sécurité sera plus grande, même s'il est essentiel de prendre en compte la facilité d'utilisation et le confort de l'utilisateur. En ce sens, l'équilibre a été trouvé en utilisant seulement deux facteurs (2FA), cependant, le facteur clé qui offre une plus grande sécurité est celui lié à « Quelque chose qui le compose », car la biométrie change rarement. difficile à simuler.

L'authentification multifacteur ( MFA ) représente une avancée majeure en matière de protection des données, mais cette pratique ne peut à elle seule garantir la sécurité. Dans un sens, cela peut être comparé à la sécurité d'un bâtiment : utiliser plusieurs clés pour ouvrir une porte peut la rendre plus sécurisée, mais s'il n'existe aucun autre mécanisme pour empêcher ou détecter les tentatives non autorisées, les criminels finiront par trouver un moyen de la surmonter. .

Pour protéger les organisations contre d’éventuelles failles de sécurité, il est essentiel de mettre en œuvre une approche de « défense en profondeur ». Cela implique de créer plusieurs niveaux de sécurité avec des solutions spécifiques cohérentes et apportant une réelle valeur à l'organisation. Ces couches de sécurité peuvent inclure, en plus de la MFA, des pare-feu, des systèmes de détection et de prévention des intrusions (IDPS), des antivirus, des contrôles d'accès, le cryptage des données et des audits de sécurité, entre autres.