Systèmes de management & Qualité

Le titre n’est pas une invitation à une introspection méditative et philosophique. Il s’agit d’une réflexion sur la sécurité informatique ou plus particulièrement sur l’identification.

Il y a schématiquement deux façons de frauder un système informatique. La première consiste à attaquer l’infrastructure, en général en piratant les programmes ou en utilisant des failles de sécurité. La seconde manière vise à falsifier l’identité de quelqu’un dûment autorisé à entrer dans le système. En réalité, la falsification d’identité ne va pas plus loin que connaître l’identifiant de la personne et son mot de passe. Que faire ?

Le mot de passe, bien que très utilisé, n’est que rarement un élément de protection efficace. La plupart des mots de passe ne comptent que quelques caractères et sont très souvent triviaux à découvrir. Les fameux 123456, querty, les dates de naissance, le nom du fiston ou du chien représentent l’immense majorité des mots de passe choisis. Par ailleurs, remarquons l’incurie des informaticiens qui n’exigent pas des mots de passe plus complexes. Nota bene, la bouffonnerie que représente un mot de passe à quatre chiffres pour protéger nos cartes d’identité et nos cartes bancaires. Hallucinant !

Conseil pratique: choisissez un mot de passe contenant des minuscules, des majuscules, des chiffres, des caractères accentués et des caractères spéciaux (?.:/=+()!…). Le mot de passe doit avoir au minimum 12 caractères. Changez de mot de passe régulièrement et n’utilisez pas les mêmes mots de passe partout (un identifiant = un mot de passe).

Le mot de passe est un premier élément de sécurité, mais il n’est pas le seul. Il convient de combiner les méthodes. Il est également important de posséder quelque chose. L’exemple le plus simple est une carte à puce qui vous est propre, en l’occurrence cartes d’identité et cartes bancaires. Ces cartes contiennent une clé de cryptage. Bonne idée, mais malheureusement les cryptages ont tendance à se faire casser. Les protections ne sont donc plus valables le cas échéant.

La biométrie – bien que n’en pense pas que du bien (lire mon précédent billet sur le sujet) – devrait également faire partie de la combinaison gagnante pour une bonne protection.

Il s’agit donc de connaître (mot de passe), avoir (carte à puce) et être (biométrie). J’attends avec impatience que les différentes personnes chargées des systèmes numériques exigent d’avoir ces trois éléments d’identification. Je pense notamment à l’administration publique, mais aussi les fabricants d’ordinateurs ou les créateurs de sites web.