Le site arthur.bebou.netlib.re - retour accueil
git clone git://bebou.netlib.re/arthur.bebou
Log | Files | Refs |
bon-mdp.vtt (52302B)
1 WEBVTT
2
3 00:00.000 --> 00:16.600
4 Sans plus attendre, je vais laisser la parole à Arthur Pons, qui est notre architecte,
5
6 00:16.680 --> 00:21.020
7 qui est donc au département urbanisation et conseil.
8
9 00:21.820 --> 00:25.660
10 Voilà, donc c'est aussi l'occasion de voir des gens qu'on voit un peu moins souvent,
11
12 00:25.660 --> 00:40.320
13 parfois, pour certains. Bonjour, je ne vais pas du tout parler d'architecture, je vais parler de mot de passe.
14
15 00:41.700 --> 00:45.420
16 Pourquoi je pose la question ? Je pense qu'ici, une large majorité, si ce n'est tout le monde,
17
18 00:45.680 --> 00:51.440
19 a une bonne intuition de ce qu'est un bon mot de passe et un mauvais mot de passe,
20
21 00:52.660 --> 00:58.440
22 mais le but de la présentation, c'est d'y répondre de façon un peu plus analytique, de façon un peu plus certaine.
23
24 00:58.440 --> 01:08.760
25 Le mot-clé, c'est bon. Dans une démarche de anti-clickbait, je réponds à la question dans la deuxième diapo.
26
27 01:09.500 --> 01:12.280
28 Comme ça, après, vous pouvez ne plus écouter, vous pouvez répondre à vos mails.
29
30 01:13.120 --> 01:15.000
31 Ça ne sera pas la fin de la présentation, quand même.
32
33 01:15.000 --> 01:24.300
34 Il y a trois grands, si ce n'est que trois critères de qualité, lorsqu'on analyse un mot de passe.
35
36 01:24.960 --> 01:30.080
37 Le premier, c'est la mémorabilité. C'est un mot, il est un peu barbare, mais c'est un mot.
38
39 01:30.700 --> 01:34.420
40 À quel point on s'en souvient bien. Donc, deux exemples.
41
42 01:34.580 --> 01:37.900
43 Le premier, on s'en souvient moins bien que le deuxième, parce que c'est un mot.
44
45 01:37.900 --> 01:45.500
46 Deuxièmement, l'aisance d'utilisation. Donc, autrement dit, la plupart du temps, c'est à quel point il sera facile à taper.
47
48 01:46.300 --> 01:50.720
49 C'est d'autant plus important qu'on a tendance à taper de plus en plus de mots de passe avec nos téléphones portables,
50
51 01:51.200 --> 01:56.660
52 qui ont des claviers assez limités. Donc là, le premier mot de passe, je vous mets au défi de le taper facilement.
53
54 01:57.060 --> 01:58.400
55 Le deuxième mot de passe, c'est beaucoup plus simple.
56
57 02:00.080 --> 02:04.520
58 Et puis, troisième, le plus important, celui sur lequel on ne peut pas vraiment faire de compromis,
59
60 02:04.520 --> 02:07.580
61 la robustesse, c'est à quel point il va être vraiment sécurisé.
62
63 02:08.440 --> 02:11.560
64 On peut le quantifier de plein de façons différentes.
65
66 02:12.280 --> 02:18.560
67 Dans la présentation, je vais généralement le quantifier en nombre de combinaisons possibles du mot de passe.
68
69 02:19.740 --> 02:24.220
70 Il y a trois sous-variables, on va dire, qui ajustent la robustesse.
71
72 02:24.620 --> 02:27.000
73 Il y a la longueur du mot de passe, on comprend bien.
74
75 02:27.600 --> 02:32.920
76 La taille de l'alphabet, c'est les fameuses majuscules, minuscules, caractères spéciaux
77
78 02:32.920 --> 02:35.100
79 que vous pouvez ajouter à votre mot de passe.
80
81 02:35.700 --> 02:38.580
82 Et puis, l'aléatoirité, alors ça, par contre, ce n'est pas vraiment un mot, je crois.
83
84 02:38.820 --> 02:42.860
85 C'est un néologisme, parce qu'il n'y a pas vraiment de mot en français pour dire ça.
86
87 02:42.980 --> 02:54.280
88 En anglais, randomness. L'aléas ? Oui, bien vu. J'aurais dû faire relire ma présentation avant de la faire.
89
90 02:55.560 --> 02:59.140
91 Qui détermine à quel point le mot de passe est proprement aléatoire.
92
93 02:59.140 --> 03:04.660
94 Et ce n'est pas un terme technique proprement aléatoire, mais généralement, en gros, c'est à quel point ça se rapproche
95
96 03:04.660 --> 03:10.640
97 d'un aléa qui est équiprobable et sans mémoire.
98
99 03:11.460 --> 03:14.360
100 C'est ça qu'il faut retenir. Mais on va en reparler après.
101
102 03:15.680 --> 03:22.680
103 Donc, quelques exemples pour situer. Celui-ci, Université Strasbourg ENT 2019.
104
105 03:22.680 --> 03:29.200
106 On s'en souvient bien, plutôt facile à taper, mais bon, la robustesse, ce n'est pas ça, parce que la taille de l'alphabet est bof.
107
108 03:29.280 --> 03:33.040
109 A la limite, ce n'est pas trop grave, parce qu'il est assez long, mais surtout, il n'est pas du tout aléatoire.
110
111 03:33.360 --> 03:37.300
112 Surtout si c'est un mot de passe qui est utilisé pour un compte ENT à l'Université de Strasbourg.
113
114 03:40.060 --> 03:48.060
115 Celui-ci, plutôt bonne mémorabilité aussi, parce qu'il est assez court, mais difficile à taper, parce qu'on n'a pas ces caractères-là sur nos claviers.
116
117 03:48.060 --> 03:53.680
118 Et puis, la robustesse, c'est bof aussi, si ce n'est mauvaise, parce qu'il n'est pas assez long.
119
120 03:54.000 --> 03:59.540
121 Et puis, si on met le paquet, on peut avoir ça, mais personne ne va s'en souvenir et personne ne va pouvoir le taper.
122
123 04:01.500 --> 04:04.780
124 Bon, là, au début, j'enfonce des portes ouvertes.
125
126 04:05.100 --> 04:07.940
127 Il y aura de l'enfonçage de portes ouvertes pendant tout le long.
128
129 04:08.880 --> 04:14.380
130 On voit qu'il y a un peu un dilemme, ou en tout cas, on a le sentiment qu'il y a un dilemme.
131
132 04:14.380 --> 04:21.760
133 C'est que plus on fait monter la robustesse, et plus on fait descendre l'aisance d'utilisation et la mémorabilité.
134
135 04:22.340 --> 04:29.280
136 Du coup, le but, ça va être de résoudre, de lever ce dilemme-là, sachant qu'il n'y a pas de technique magique.
137
138 04:29.500 --> 04:32.380
139 Il va falloir y réfléchir un peu. Alors, le...
140
141 04:33.340 --> 04:35.880
142 Enfin, ce n'est pas très compliqué non plus, parce que ça tient en une demi-heure.
143
144 04:35.880 --> 04:44.820
145 La démarche que je propose, c'est qu'on va écrire, réfléchir, penser un mot de passe, ou plutôt une source de mot de passe, en fait.
146
147 04:44.920 --> 04:48.760
148 On ne va pas choisir un mot de passe en particulier, mais choisir une certaine longueur et un certain alphabet.
149
150 04:49.360 --> 04:55.120
151 Et puis, les mots de passe seront tous ceux qui peuvent être générés par cet alphabet-là, avec cette longueur-là.
152
153 04:56.420 --> 05:00.520
154 On y réfléchit, deux secondes, on se pose, on se dit, bon, quelle sécurité ça offre ?
155
156 05:00.520 --> 05:05.880
157 Combien de combinaisons disponibles ? À quel point c'est facile de le craquer avec tel ou tel matériel ?
158
159 05:05.880 --> 05:11.260
160 On apprend quelque chose, on a une idée, et puis on reboucle.
161
162 05:11.720 --> 05:16.400
163 Et en itérant comme ça, il y a neuf étapes, on va arriver à un mot de passe qui n'est pas trop mal.
164
165 05:16.640 --> 05:19.680
166 Et surtout, on va arriver à comprendre comment tout ça fonctionne.
167
168 05:20.800 --> 05:29.620
169 Donc, premier mot de passe, une lettre. La lettre A, il y aura toujours, en haut et en bas, des caractéristiques sur le mot de passe.
170
171 05:29.620 --> 05:34.740
172 Donc là, on a une longueur de 1, on a une taille d'alphabet de 1, c'est-à-dire que c'est toujours A.
173
174 05:35.120 --> 05:38.000
175 Donc, on a une certitude sur le mot de passe, ça sera toujours A.
176
177 05:38.380 --> 05:42.600
178 Et puis, l'aléatorité ici, bon, on s'en fiche parce que c'est toujours A.
179
180 05:43.060 --> 05:48.260
181 On va dire qu'elle est nulle. Et puis, c'est évidemment extrêmement facile à casser,
182
183 05:48.480 --> 05:51.580
184 parce que si on considère qu'on prend à peu près une seconde à, je ne sais pas,
185
186 05:51.620 --> 05:57.980
187 le rentrer dans un système ou à réfléchir, à penser la lettre A, c'est instantané.
188
189 05:57.980 --> 06:02.500
190 Donc, admettons, on agrandit l'alphabet, on fait passer à 26.
191
192 06:03.160 --> 06:08.840
193 Du coup, notre mot de passe, ça va être A ou B ou C et ainsi de suite jusqu'à la lettre Z, minuscule.
194
195 06:08.840 --> 06:17.160
196 Et ici, on assume un aléa, une aléatorité équiprobable et sans mémoire.
197
198 06:17.220 --> 06:19.080
199 Sans mémoire, ici, on s'en fiche parce que la longueur, c'est de 1.
200
201 06:19.360 --> 06:23.220
202 Mais équiprobable, il y a autant de chances que ce soit A, que B, que C et ainsi de suite.
203
204 06:23.700 --> 06:30.440
205 Donc, le temps moyen pour casser ce mot de passe, si on le fait à la main et qu'on imagine un essai par seconde,
206
207 06:30.780 --> 06:33.700
208 c'est 13 secondes parce qu'il y a 26 lettres, on le divise par 2.
209
210 06:33.700 --> 06:42.380
211 Il va falloir tester 13 lettres. Et on est obligé de les tester dans un ordre aléatoire ou dans l'ordre en allant jusqu'à Z
212
213 06:42.380 --> 06:45.140
214 parce qu'ils ont tous autant de chances d'apparaître.
215
216 06:47.840 --> 06:50.040
217 Bon, clairement, une taille d'alphabet seul, c'est faible.
218
219 06:50.160 --> 06:53.300
220 Mais ça, on s'en doute, personne n'utilise des mots de passe qui ont une longueur de 1.
221
222 06:53.300 --> 07:03.380
223 Donc, là, on fait un petit aparté pour parler de l'aléatoirité, justement.
224
225 07:04.480 --> 07:07.440
226 On va rester sur le même, donc un mot de passe d'une longueur de 1.
227
228 07:07.800 --> 07:11.300
229 Mais cette fois-ci, on va supposer que ce qui génère nos mots de passe, entre guillemets,
230
231 07:11.420 --> 07:14.260
232 c'est la fréquence d'apparition des lettres dans la langue française.
233
234 07:14.260 --> 07:22.740
235 Donc, on sait qu'il y a plus de chances d'avoir un E qu'un A, qu'un I, un S, tout ça, on peut le calculer.
236
237 07:23.900 --> 07:29.980
238 Du coup, si quelqu'un veut casser notre mot de passe, il a juste à tester les lettres en commençant par la première.
239
240 07:29.980 --> 07:34.720
241 C'est comme lorsque vous jouez au pendu, vous testez le E d'abord et puis le A ensuite, etc.
242
243 07:35.360 --> 07:40.920
244 Sachant que la ligne blanche, là, c'est 50%, en moyenne, on n'a que besoin de 7 essais
245
246 07:40.920 --> 07:43.360
247 pour avoir une chance sur 2 d'avoir cassé le mot de passe.
248
249 07:44.260 --> 07:50.000
250 Bon, ça, évidemment, c'est un exemple qui n'a pas lieu dans la vraie vie.
251
252 07:50.940 --> 07:57.300
253 Mais ça nous informe que le fait que le mot de passe soit généré vraiment, aléatoirement,
254
255 07:57.460 --> 08:00.260
256 c'est hyper important, c'est probablement d'ailleurs le plus important.
257
258 08:01.920 --> 08:08.460
259 Si on ramène ça à des situations réelles, le problème, c'est qu'on a souvent recours
260
261 08:08.460 --> 08:11.520
262 à des sources d'événements prévisibles pour créer nos mots de passe.
263
264 08:11.520 --> 08:14.300
265 généralement, notre mémoire, notre cerveau.
266
267 08:15.380 --> 08:24.980
268 À savoir que si quelqu'un, une dame, admettons, qui a un chat, qui a un nom et puis une date
269
270 08:24.980 --> 08:29.640
271 d'anniversaire, comme tout le monde, elle va avoir, peut-être, si elle n'est pas trop
272
273 08:29.640 --> 08:35.800
274 sensibilisée à tout ça, elle va avoir tendance à mettre le nom de son chat dans son mot de passe
275
276 08:35.800 --> 08:37.340
277 ou sa date d'anniversaire, et ainsi de suite.
278
279 08:37.420 --> 08:40.420
280 C'est peut-être pas le cas, mais c'est plus probable qu'elle le fasse.
281
282 08:40.880 --> 08:44.400
283 Du coup, si moi, j'essaye de casser son mot de passe, je vais d'abord tester ça en premier.
284
285 08:44.580 --> 08:47.960
286 En fait, c'est exactement analogue à la situation avec la langue française.
287
288 08:48.360 --> 08:50.120
289 C'est parce que le nom du chat a plus de chances de sortir.
290
291 08:51.380 --> 08:54.260
292 Bon, ça, c'est un cas où quelqu'un en voudrait à quelqu'un de particulier.
293
294 08:54.400 --> 08:58.360
295 Au final, c'est assez rare. Enfin, j'espère que ça ne vous arrive pas.
296
297 08:58.940 --> 09:02.360
298 Mais par contre, ce cas-là est beaucoup plus fréquent.
299
300 09:02.520 --> 09:05.780
301 C'est qu'on prend plein de mots de passe qui ont déjà été cassés par le passé.
302
303 09:06.200 --> 09:07.720
304 On vérifie lesquels sont les plus fréquents.
305
306 09:08.160 --> 09:10.760
307 Donc, on sait que 123456, ça revient souvent.
308
309 09:11.000 --> 09:16.060
310 QWERTY, AZERTY, tout ça. Et puis, pareil, on élabore les mêmes stratégies.
311
312 09:16.140 --> 09:17.640
313 On va commencer par tester ces mots de passe-là.
314
315 09:17.640 --> 09:22.020
316 Puis statistiquement, on sait que sur 10 000 comptes, on va bien en casser certains.
317
318 09:22.020 --> 09:31.580
319 A l'opposé, il y a ce qu'il faut faire. C'est-à-dire se baser sur des sources d'événements non prévisibles.
320
321 09:32.080 --> 09:35.140
322 Alors typiquement, il y en a un, enfin il y en a plein,
323
324 09:35.580 --> 09:39.840
325 mais il y en a un qu'on a tous déjà utilisé, qu'on a probablement tous chez nous, c'est des dés.
326
327 09:40.320 --> 09:42.680
328 Bon, s'il n'est pas trop pipé, s'il est à peu près correct,
329
330 09:43.040 --> 09:45.540
331 c'est une bonne source d'événements prévisibles, non prévisibles.
332
333 09:46.680 --> 09:50.920
334 Et là, si on arrive à mapper le résultat d'une façon ou d'une autre,
335
336 09:50.920 --> 09:55.880
337 d'un dé à un mot de passe, le A aura autant de chances de sortir que le B ou le C,
338
339 09:56.020 --> 09:58.960
340 ou quoi que ce soit, là je mets A, B, ça pourrait être autre chose.
341
342 09:59.860 --> 10:02.340
343 Et de cette façon-là, si quelqu'un essaye d'attaquer votre mot de passe,
344
345 10:02.800 --> 10:07.760
346 il sera obligé de passer par toutes les possibilités, il n'y aura pas d'autres stratégies.
347
348 10:08.960 --> 10:11.420
349 Après, le but c'est d'avoir tellement de possibilités que ça sera trop difficile.
350
351 10:12.260 --> 10:15.140
352 Et puis, autre avantage de se baser sur des sources d'événements non prévisibles,
353
354 10:15.140 --> 10:22.280
355 c'est le calcul de la robustesse. Parce que, comment on peut savoir, de façon quantitative,
356
357 10:22.600 --> 10:27.340
358 pas qualitative, mais quantitative, quelle est la robustesse de notre mot de passe qu'on a généré
359
360 10:27.340 --> 10:30.600
361 avec juste notre cerveau comme ça à la volée ?
362
363 10:30.600 --> 10:32.300
364 C'est plus ou moins impossible, parce que ça reviendrait
365
366 10:32.300 --> 10:37.280
367 à devoir calculer la probabilité que je mette le nom de mon chat dans mon mot de passe.
368
369 10:37.940 --> 10:39.480
370 Mais je ne sais pas, ça dépend de beaucoup trop de choses.
371
372 10:39.480 --> 10:41.920
373 si mon chat est sur mes genoux au moment où je fais mon mot de passe,
374
375 10:42.020 --> 10:46.000
376 j'aurais peut-être plus tendance à me mettre son nom que si je suis au boulot, par exemple.
377
378 10:47.100 --> 10:51.800
379 Donc, si on veut vraiment juger de la qualité de notre mot de passe,
380
381 10:52.380 --> 10:56.100
382 c'est en gros impossible de le faire précisément
383
384 10:56.100 --> 10:58.060
385 si on s'est basé sur des sources d'événements prévisibles.
386
387 10:58.520 --> 11:01.880
388 Alors que si on s'est basé sur une source d'événements non prévisibles
389
390 11:01.880 --> 11:05.340
391 et qu'on a une aléatoirité comme on veut,
392
393 11:05.340 --> 11:12.680
394 la robustesse, c'est juste la taille de l'alphabet, puissance, la longueur du mot de passe.
395
396 11:13.160 --> 11:15.340
397 Ça, ça va être le nombre de combinaisons de notre mot de passe.
398
399 11:16.520 --> 11:19.020
400 Alors, il y en a d'autres qui le calculent en fonction de l'entropie.
401
402 11:19.120 --> 11:20.080
403 Généralement, c'est comme ça qu'on fait.
404
405 11:20.620 --> 11:24.260
406 Mais ça inclut des maths et tout, donc on ne va pas le faire.
407
408 11:24.340 --> 11:25.640
409 Et puis, ça n'a pas forcément d'intérêt ici.
410
411 11:27.160 --> 11:29.320
412 Donc, c'est intéressant parce qu'après, on peut vraiment se poser la question
413
414 11:29.320 --> 11:32.280
415 à l'instant T, à quel point c'est difficile ?
416
417 11:32.280 --> 11:35.320
418 Combien de temps ça va prendre en moyenne pour casser mon mot de passe ?
419
420 11:35.320 --> 11:37.640
421 Et vous pouvez le faire avec les vôtres.
422
423 11:39.560 --> 11:42.600
424 Donc, revenons à tester nos mots de passe.
425
426 11:43.520 --> 11:49.200
427 Prenons une longueur de 8 pour toujours une taille d'alphabet de 26.
428
429 11:49.440 --> 11:54.560
430 26, toutes les lettres minuscules. Et la longueur de 8 parce que c'est souvent, sur Internet, encore,
431
432 11:55.080 --> 11:58.880
433 lorsqu'on s'inscrit sur les services, la taille minimale des mots de passe.
434
435 11:59.400 --> 12:02.560
436 Donc, on va juger à quel point c'est sécurisé.
437
438 12:02.560 --> 12:05.100
439 Alors, ça peut sortir le premier, ça peut sortir le deuxième,
440
441 12:05.200 --> 12:08.240
442 ça peut aussi sortir un mot. C'est peu probable que ça sorte un mot.
443
444 12:08.800 --> 12:11.280
445 Mais vu que c'est parfaitement aléatoire, c'est possible.
446
447 12:13.580 --> 12:16.040
448 Pour calculer, on calcule juste le nombre de combinaisons.
449
450 12:16.220 --> 12:18.080
451 Donc, taille de l'alphabet, puissance, la longueur.
452
453 12:18.160 --> 12:19.420
454 On divise par deux pour avoir la moyenne.
455
456 12:19.860 --> 12:22.460
457 Parce qu'on n'est pas intéressé par savoir combien de temps,
458
459 12:22.880 --> 12:24.760
460 au bout de combien de temps, on est sûr d'avoir cassé le mot de passe.
461
462 12:24.760 --> 12:27.040
463 Mais en moyenne, au bout de combien de temps,
464
465 12:27.160 --> 12:29.140
466 on a une chance sur deux d'avoir cassé le mot de passe.
467
468 12:29.260 --> 12:30.560
469 On obtient 100 milliards de combinaisons.
470
471 12:30.960 --> 12:34.260
472 Alors, ça fait beaucoup. À la main, ça prendrait 3 000 ans.
473
474 12:34.460 --> 12:36.580
475 Parce qu'il y a 100 milliards de secondes dans 3 000 ans.
476
477 12:36.920 --> 12:38.240
478 Si je ne me suis pas trompé dans mes calculs.
479
480 12:40.500 --> 12:42.860
481 Mais bon, on est à la DNum, on aime bien les ordinateurs.
482
483 12:43.140 --> 12:46.260
484 Donc, on fait ça avec un ordinateur. Et en prenant celui-ci,
485
486 12:46.580 --> 12:48.640
487 donc le modèle que la plupart des gens ici ont,
488
489 12:49.140 --> 12:54.100
490 et en téléchargeant hashcat, qui est un logiciel qui permet de craquer des mots de passe, entre autres.
491
492 12:55.100 --> 12:57.660
493 Ça fait d'autres choses. Fondamentalement, ça ne craque pas les mots de passe,
494
495 12:57.740 --> 13:02.100
496 mais ça peut servir à ça. On peut tester 21 millions de mots de passe en une seconde.
497
498 13:02.980 --> 13:05.320
499 Donc, pour casser ce mot de passe-là, ça prendrait 1 heure et 20 minutes.
500
501 13:05.740 --> 13:08.240
502 Tout ça, c'est un peu théorique. Dans la pratique, ce n'est pas nécessairement le cas,
503
504 13:08.380 --> 13:10.560
505 mais c'est une idée. Pour avoir l'ordre de grandeur.
506
507 13:11.280 --> 13:17.020
508 Et puis, si on prend un PC qui coûte entre 1 000 et 1 500 euros,
509
510 13:17.160 --> 13:18.580
511 qui a une carte graphique un peu puissante,
512
513 13:19.120 --> 13:21.700
514 on va pouvoir tester 2 milliards de mots de passe à la seconde, environ.
515
516 13:22.180 --> 13:27.660
517 Avec une 1 070, GTX 1070. Du coup, ça descend à 50 secondes.
518
519 13:27.780 --> 13:29.720
520 Et là, ça commence à devenir quand même...
521
522 13:29.720 --> 13:31.020
523 Enfin, 50 secondes, c'est vraiment limite.
524
525 13:33.900 --> 13:36.020
526 C'est un peu inquiétant, mais on voit bien,
527
528 13:36.300 --> 13:39.000
529 la bonne nouvelle, c'est qu'on voit bien que c'est vraiment la combinaison,
530
531 13:39.100 --> 13:40.940
532 le fait de monter à la fois la longueur et la taille de l'alphabet,
533
534 13:41.360 --> 13:43.420
535 qui apporte vraiment une quantité significative de robustesse.
536
537 13:43.420 --> 13:46.460
538 Donc, on sait qu'a priori, si on continue à les faire monter,
539
540 13:46.780 --> 13:53.420
541 on devrait pouvoir s'en sortir. Alors, maintenant, si on inverse...
542
543 13:55.240 --> 13:59.160
544 Excusez-moi, ça c'est la diapo d'après. Si on augmente la taille de l'alphabet,
545
546 13:59.540 --> 14:02.420
547 comme c'est souvent fait, encore une fois, sur différents sites,
548
549 14:02.480 --> 14:07.540
550 on vous dit, y compris à l'unistra, il faut mettre des caractères spéciaux,
551
552 14:07.540 --> 14:11.020
553 il faut mettre des chiffres, etc., des majuscules, des minuscules.
554
555 14:11.940 --> 14:15.040
556 Donc, là, j'ai été sympa, je l'ai vraiment fait monter haut à 96,
557
558 14:15.460 --> 14:18.000
559 ça comprend des caractères un peu bizarres,
560
561 14:18.060 --> 14:20.120
562 avec des accents et tout, que sur un clavier français on a,
563
564 14:20.180 --> 14:21.260
565 mais qu'on n'a pas sur tous les claviers.
566
567 14:22.320 --> 14:25.480
568 Donc, on va avoir ça, par exemple, ce genre de mot de passe.
569
570 14:26.380 --> 14:27.840
571 Et si on fait exactement le même calcul,
572
573 14:28.100 --> 14:33.320
574 96 puissance 8, tout ça, on trouve 3500 milliers de milliards de combinaisons.
575
576 14:34.320 --> 14:40.380
577 Donc, à la main, je ne le calcule pas. Avec ce PC-là, ça prendrait 5 ans,
578
579 14:40.660 --> 14:45.260
580 donc ce n'est plus vraiment faisable. Ce n'est pas non plus physiquement impossible,
581
582 14:45.560 --> 14:49.560
583 mais pas trop faisable. Et puis, avec notre PC,
584
585 14:49.720 --> 14:53.040
586 qui coûte un peu plus de 1000 euros, on en est à 21 jours.
587
588 14:53.800 --> 14:57.820
589 Du coup, ça commence à devenir coûteux, à la fois en argent et en temps,
590
591 14:58.220 --> 15:05.120
592 mais on n'est pas non plus hyper safe. Maintenant, pour comprendre un peu mieux
593
594 15:05.120 --> 15:11.740
595 comment tout ça fonctionne, si on inverse la taille de l'alphabet et la longueur.
596
597 15:11.980 --> 15:13.320
598 Autrement dit, si on se pose la question
599
600 15:13.320 --> 15:17.160
601 « Qu'est-ce qui influe le plus sur la robustesse du mot de passe ? »
602
603 15:17.160 --> 15:18.780
604 Est-ce que c'est la taille de l'alphabet
605
606 15:18.780 --> 15:22.320
607 ou est-ce que c'est la longueur ? On va faire les calculs.
608
609 15:22.420 --> 15:23.940
610 Du coup, ça donne ce genre de mot de passe.
611
612 15:24.780 --> 15:28.600
613 Alors, là, on ne va même pas parler de mémorabilité et d'aisance d'utilisation.
614
615 15:28.780 --> 15:30.120
616 On va juste s'inquiéter de la robustesse.
617
618 15:30.120 --> 15:33.400
619 Parce que personne ne pourrait taper ça.
620
621 15:35.900 --> 15:41.980
622 8 puissance 96 divisé par 2, ça fait 2,5 fois 10 puissance 86.
623
624 15:43.440 --> 15:47.300
625 Donc, c'est vraiment très très gros. C'est même gigantesque.
626
627 15:47.300 --> 15:53.640
628 À la main, ce n'est pas envisageable. Nos deux autres PC sont totalement à la ramasse.
629
630 15:53.840 --> 15:56.760
631 10 puissance 71 années, 10 puissance 69 années.
632
633 15:58.480 --> 16:01.560
634 Et puis, si on prend vraiment des gros PC,
635
636 16:01.680 --> 16:03.460
637 des trucs que les particuliers ne peuvent pas trop s'offrir
638
639 16:03.460 --> 16:11.700
640 ou il faudrait un peu économiser, on pourrait tester 36 milliards de mots de passe à la seconde.
641
642 16:11.880 --> 16:14.400
643 En l'occurrence, ça, c'est un calcul fait
644
645 16:14.400 --> 16:18.280
646 avec la configuration exacte que Guy emprunte à l'ESPE
647
648 16:18.280 --> 16:20.780
649 lorsqu'il essaye de casser des mots de passe
650
651 16:20.780 --> 16:23.200
652 en qualité de RSSI. Pour vous donner une idée.
653
654 16:23.820 --> 16:27.240
655 Donc, prenez ce chiffre-là, notez-le et après, calculez combien de temps ça prendrait à Guy
656
657 16:27.240 --> 16:30.820
658 pour casser votre mot de passe lorsqu'il s'amusera la prochaine fois.
659
660 16:32.940 --> 16:35.720
661 En fait, ça prend 10 puissance 68 ans. Donc, en fait, ça ne change rien.
662
663 16:35.880 --> 16:38.260
664 On se rend compte d'ailleurs que c'est un ordre de grandeur.
665
666 16:39.520 --> 16:42.480
667 Il y a un seul ordre de grandeur qui sépare notre PC à 1000 balles
668
669 16:42.480 --> 16:44.640
670 et celui-ci qui coûte au moins 8000 euros.
671
672 16:44.880 --> 16:47.260
673 Un truc comme ça. Parce qu'il n'y a que ces 8 cartes graphiques.
674
675 16:48.080 --> 16:52.880
676 Enfin, 8 1080 TI. Qu'est-ce que ça nous apprend, ça ?
677
678 16:52.880 --> 16:55.500
679 Déjà, on va mettre un peu en perspective
680
681 16:55.500 --> 17:01.680
682 à quel point ces chiffres sont gros. L'âge de l'univers, c'est 13,8 fois 10 puissance 9 ans.
683
684 17:02.120 --> 17:06.300
685 Et là, on était sur du 10 puissance 70. Du coup, pour donner une idée,
686
687 17:06.500 --> 17:09.040
688 si ça, c'est l'âge de l'univers, alors le graphique est un peu moche,
689
690 17:09.680 --> 17:13.840
691 et qu'on prenait une tranche, ça, c'est une seconde, admettons,
692
693 17:14.480 --> 17:17.120
694 pour casser notre mot de passe, pour que notre plus puissante machine
695
696 17:17.120 --> 17:21.320
697 casse notre mot de passe, il aurait fallu qu'il existe depuis le tout début,
698
699 17:21.600 --> 17:24.020
700 depuis le Big Bang, qu'il soit déjà là, déjà prêt,
701
702 17:24.100 --> 17:28.020
703 en train de faire ses calculs, et que chaque seconde qui se soit passée
704
705 17:28.020 --> 17:32.900
706 ait elle-même duré 4,3 fois l'âge de l'univers.
707
708 17:32.900 --> 17:37.200
709 Donc, là, on rentre vraiment dans le domaine
710
711 17:37.200 --> 17:41.300
712 du physiquement totalement impossible, même y compris demain, et après-demain,
713
714 17:41.420 --> 17:45.340
715 et après-après-demain, avec la technologie qu'on a,
716
717 17:46.020 --> 17:48.680
718 c'est impensable, à moins qu'il y ait vraiment une révolution,
719
720 17:48.840 --> 17:50.080
721 je ne sais pas, les ordinateurs quantiques,
722
723 17:50.140 --> 17:54.740
724 ou un truc comme ça. Et puis aussi, 10 puissance 80,
725
726 17:54.860 --> 17:55.860
727 c'est le nombre d'atomes dans l'univers,
728
729 17:56.420 --> 17:58.640
730 donc il y a plus de combinaisons de notre mot de passe
731
732 17:58.640 --> 18:01.240
733 que d'atomes dans l'univers, ce qui fait que techniquement,
734
735 18:01.340 --> 18:03.360
736 il y a plus d'informations, notre chiffre,
737
738 18:03.560 --> 18:07.180
739 enfin notre mot de passe, contient, enfin le nombre des combinaisons
740
741 18:07.180 --> 18:08.980
742 de notre mot de passe, contient plus d'informations
743
744 18:08.980 --> 18:12.500
745 qu'il n'y a dans l'univers. Donc c'est impossible
746
747 18:12.500 --> 18:15.820
748 de se le représenter, en fait. Bon, c'est pour donner une idée,
749
750 18:15.940 --> 18:18.240
751 et apparemment, il y a des gens qui ont fait des calculs,
752
753 18:18.240 --> 18:19.760
754 et si on arrivait à se le mettre dans le cerveau,
755
756 18:19.820 --> 18:21.400
757 si on arrivait d'une façon ou d'une autre
758
759 18:21.400 --> 18:24.520
760 à se représenter ce genre de chiffres, notre cerveau deviendrait tellement dense
761
762 18:24.520 --> 18:26.240
763 qu'il s'effondrerait et deviendrait un trou noir.
764
765 18:26.380 --> 18:27.360
766 Alors je ne sais pas trop comment ça fonctionne,
767
768 18:27.940 --> 18:36.780
769 mais il paraît. Ça, c'était la diapo un peu marrante.
770
771 18:38.700 --> 18:41.280
772 Mais qu'est-ce qu'on a appris de vraiment intéressant ?
773
774 18:41.280 --> 18:43.380
775 C'est que la croissance de la robustesse,
776
777 18:43.500 --> 18:45.480
778 en fonction de la longueur, on a beaucoup de chance
779
780 18:45.480 --> 18:47.680
781 parce qu'elle augmente beaucoup plus vite
782
783 18:47.680 --> 18:50.560
784 que la puissance de la machine en fonction de son coût.
785
786 18:51.120 --> 18:53.680
787 Donc c'est beaucoup plus facile pour nous de rajouter
788
789 18:53.680 --> 18:57.700
790 un à la longueur de nos mots de passe que c'est facile
791
792 18:57.700 --> 19:00.640
793 pour l'adversaire, notre adversaire qui veut casser notre mot de passe,
794
795 19:01.180 --> 19:04.060
796 d'augmenter sa puissance de calcul en mettant de la thune dedans.
797
798 19:04.480 --> 19:05.960
799 Lorsque nous, on veut augmenter par deux
800
801 19:05.960 --> 19:09.300
802 la robustesse de notre mot de passe, on le rajoute un de longueur
803
804 19:09.300 --> 19:12.140
805 et on l'a largement fait parce que la courbe est exponentielle,
806
807 19:12.540 --> 19:14.360
808 alors que lui, il va devoir doubler le prix de sa machine.
809
810 19:14.820 --> 19:16.420
811 Ça, c'est un instant T, ça ne prend pas en compte
812
813 19:16.420 --> 19:19.600
814 la loi de Moore, etc. Mais même avec la loi de Moore,
815
816 19:19.660 --> 19:22.540
817 on est large. Donc ça, c'est rassurant, ça veut dire que les mots de passe,
818
819 19:22.840 --> 19:26.700
820 ça peut fonctionner à l'avenir aussi. Et puis autre chose,
821
822 19:26.880 --> 19:28.800
823 c'est qu'on a appris que la croissance de la robustesse
824
825 19:28.800 --> 19:30.180
826 en fonction de la longueur du mot de passe,
827
828 19:30.600 --> 19:32.640
829 elle est beaucoup, beaucoup plus rapide que celle en fonction
830
831 19:32.640 --> 19:36.000
832 de la taille de l'alphabet. Bon ça, c'est des vrais calculs,
833
834 19:36.120 --> 19:41.000
835 enfin plus ou moins pas très bien fait, mais les courbes
836
837 19:41.000 --> 19:43.720
838 ressemblent vraiment à ça. Donc en bleu,
839
840 19:43.820 --> 19:47.460
841 c'est en fonction de la taille de l'alphabet
842
843 19:47.460 --> 19:50.700
844 et en orange, c'est la longueur. Et si on continue
845
846 19:50.700 --> 19:53.880
847 vers la droite, on ne voit même plus la courbe bleue.
848
849 19:54.200 --> 19:55.900
850 Alors si on veut rester dans l'échelle, la courbe bleue,
851
852 19:55.960 --> 19:57.700
853 on a l'impression que c'est juste une...
854
855 19:58.500 --> 20:00.280
856 Elle est totalement aplatie. Donc c'est beaucoup mieux
857
858 20:00.280 --> 20:01.420
859 d'augmenter la longueur d'un mot de passe
860
861 20:01.420 --> 20:04.840
862 si vous voulez augmenter sa robustesse. Ok.
863
864 20:05.880 --> 20:07.780
865 Alors maintenant qu'on sait ça, on va prendre le truc
866
867 20:07.780 --> 20:14.440
868 un peu à l'envers et on va choisir certains critères
869
870 20:14.440 --> 20:17.020
871 qu'on veut dans un mot de passe et puis on va rétroactivement
872
873 20:17.020 --> 20:18.980
874 choisir, enfin calculer quelle longueur il nous faut
875
876 20:18.980 --> 20:21.200
877 pour satisfaire ces critères-là. Alors déjà,
878
879 20:21.300 --> 20:23.440
880 on se dit, ok, moi je veux un alphabet comme celui-ci.
881
882 20:23.860 --> 20:25.720
883 Je ne veux pas de caractère spéciaux, tout ça,
884
885 20:25.840 --> 20:30.360
886 je m'autorise un espace, ce qui fait 53 lettres
887
888 20:30.360 --> 20:34.320
889 dans notre alphabet. Et on veut que ça résiste
890
891 20:34.320 --> 20:36.240
892 au moins 2000 ans à notre grosse machine
893
894 20:36.240 --> 20:39.960
895 super puissante. Bon, du coup, et ça fait ça
896
897 20:39.960 --> 20:42.960
898 sur les autres machines. Du coup, on calcule
899
900 20:42.960 --> 20:44.800
901 combien de mots de passe une grosse machine
902
903 20:44.800 --> 20:48.820
904 peut calculer sur 2000 ans. Donc 2,3 fois 10 puissance 21
905
906 20:48.820 --> 20:51.180
907 mots de passe. Et puis on résout cette équation
908
909 20:51.180 --> 20:59.240
910 pour X et on obtient une longueur d'à peu près 12,6.
911
912 20:59.760 --> 21:05.460
913 Donc il faut que notre mot de passe fasse au moins 13 caractères
914
915 21:05.460 --> 21:08.060
916 pour résister 2000 ans à cette machine-là.
917
918 21:08.060 --> 21:10.240
919 Donc c'est pas mal parce que ça donne à peu près
920
921 21:10.240 --> 21:14.700
922 ce genre de choses. Bon, ça n'a pas une très très bonne tête
923
924 21:14.700 --> 21:17.540
925 mais c'est possible de s'en souvenir. C'est faisable.
926
927 21:18.980 --> 21:24.120
928 Sauf qu'après coup, on réfléchit un peu et on apprend des trucs
929
930 21:24.120 --> 21:27.420
931 genre bon, les machines, elles deviennent
932
933 21:27.420 --> 21:29.480
934 plus puissantes et puis la NSA, ils sont très très forts
935
936 21:29.480 --> 21:31.920
937 et très très méchants et ils ont des gros gros
938
939 21:31.920 --> 21:34.100
940 ordinateurs et les Chinois, ils en ont encore plus.
941
942 21:34.100 --> 21:38.600
943 donc on se sent avec nos 2000 ans, on ne se sent pas trop safe.
944
945 21:38.720 --> 21:41.500
946 On se dit, il y a peut-être une entourloupe là-dedans.
947
948 21:42.500 --> 21:44.000
949 Donc on va mettre 1000 milliards d'années.
950
951 21:44.300 --> 21:48.540
952 On se dit, bon, on vise vraiment haut et on va faire
953
954 21:48.540 --> 21:51.280
955 le même calcul. Donc on résout, c'est la même chose
956
957 21:51.280 --> 21:53.780
958 sauf qu'on n'a pas le même nombre de combinaisons à droite
959
960 21:53.780 --> 21:57.800
961 et puis on obtient 17,6 ce qui donne ce genre de choses.
962
963 21:57.940 --> 21:59.520
964 Et là, ça commence à devenir un peu embêtant quand même.
965
966 21:59.960 --> 22:03.740
967 Surtout si on doit se souvenir de plusieurs mots de passe.
968
969 22:04.700 --> 22:06.800
970 Parce qu'on a différents, on a notre mot de passe
971
972 22:06.800 --> 22:08.380
973 au boulot, on a notre mot de passe à la maison,
974
975 22:08.500 --> 22:15.700
976 etc. Du coup, on va être un peu plus modeste
977
978 22:15.700 --> 22:19.640
979 et on va faire quelques compromis. On va se dire,
980
981 22:19.700 --> 22:21.240
982 bon, ok, on passe à 1 milliard d'années,
983
984 22:21.560 --> 22:23.980
985 on va se dire, ok, ça sera suffisant. La longueur,
986
987 22:24.020 --> 22:27.160
988 elle descend à 16. Puis on va ajouter des chiffres
989
990 22:27.160 --> 22:29.280
991 et quelques symboles courants. Donc ça a fait monter
992
993 22:29.280 --> 22:32.820
994 l'alphabet à 76, c'est correct. sur tous les claviers,
995
996 22:32.900 --> 22:35.560
997 ça devrait passer. Et la longueur, elle descend à 14.
998
999 22:35.640 --> 22:37.280
1000 Donc après, ça commence à se ressembler à ce genre de choses.
1001
1002 22:37.400 --> 22:38.560
1003 Alors avec les symboles, c'est un peu moche.
1004
1005 22:39.180 --> 22:41.400
1006 Mais c'est peut-être un peu plus facile à souvenir.
1007
1008 22:41.540 --> 22:43.160
1009 En fait, ça dépend. Il y a des gens qui vont trouver
1010
1011 22:43.160 --> 22:46.080
1012 l'autre plus facile à mémoriser, celui-ci.
1013
1014 22:46.960 --> 22:49.100
1015 Mais ce qu'on voit, c'est que dans l'ensemble,
1016
1017 22:49.200 --> 22:51.560
1018 en fait, c'est un peu moyen tout ça. On a le sentiment
1019
1020 22:51.560 --> 22:55.540
1021 qu'on ne peut pas trop s'en sortir. Ça sera toujours
1022
1023 22:55.540 --> 22:59.320
1024 un peu décevant et on est un peu dans une impasse.
1025
1026 22:59.320 --> 23:03.340
1027 parce que si on fait monter la longueur du mot de passe,
1028
1029 23:03.420 --> 23:05.100
1030 on aura une mauvaise mémorabilité, quoi qu'il arrive.
1031
1032 23:05.180 --> 23:06.740
1033 Et ça, il n'y a pas de magie. Si on fait augmenter
1034
1035 23:06.740 --> 23:09.280
1036 sa longueur, on fait augmenter sa longueur,
1037
1038 23:09.360 --> 23:13.860
1039 c'est tout. Et si on fait augmenter l'alphabet,
1040
1041 23:14.000 --> 23:15.720
1042 on va forcément avoir des symboles obscurs.
1043
1044 23:16.060 --> 23:17.880
1045 C'est un peu ça, le problème. C'est que si on fait
1046
1047 23:17.880 --> 23:21.100
1048 augmenter l'alphabet, on va avoir des symboles
1049
1050 23:21.100 --> 23:23.320
1051 difficiles à taper et dont on ne se souvient
1052
1053 23:23.320 --> 23:31.200
1054 pas forcément. du coup, le truc, le déclic un peu,
1055
1056 23:31.300 --> 23:39.080
1057 c'est que on a repensé le problème et le truc à résoudre,
1058
1059 23:39.300 --> 23:41.700
1060 c'est d'essayer de trouver beaucoup, beaucoup,
1061
1062 23:41.760 --> 23:43.260
1063 beaucoup de symboles qu'on connaîtrait par cœur
1064
1065 23:43.260 --> 23:45.600
1066 et qui sont faciles à taper. Alors, dit comme ça,
1067
1068 23:45.660 --> 23:48.700
1069 c'est facile. Mais du coup, on peut chercher
1070
1071 23:48.700 --> 23:52.620
1072 dans ce qu'il y a à notre disposition, mais ce n'est pas si facile
1073
1074 23:52.620 --> 23:54.880
1075 que ça, parce que dans la dernière version d'Unicode,
1076
1077 23:54.960 --> 23:58.040
1078 il y a 137 439 symboles, c'est largement suffisant.
1079
1080 23:58.540 --> 24:00.200
1081 Si on pouvait taper là-dedans et les combiner
1082
1083 24:00.200 --> 24:02.980
1084 aléatoirement, ce serait suffisant. Il n'y aurait pas besoin
1085
1086 24:02.980 --> 24:05.920
1087 de longueur hallucinante, sauf qu'il y a genre ça,
1088
1089 24:07.280 --> 24:10.060
1090 je ne sais pas ce que c'est, on dirait une sorte
1091
1092 24:10.060 --> 24:12.480
1093 de pieuvre, je ne sais pas, et ça non plus,
1094
1095 24:12.540 --> 24:14.940
1096 je ne sais pas ce que c'est, et ça, on dirait une moustache,
1097
1098 24:15.680 --> 24:17.800
1099 je ne sais pas si c'est dans un, je ne vais pas chercher
1100
1101 24:17.800 --> 24:19.260
1102 si c'était une langue en particulier, on dirait que c'est
1103
1104 24:19.260 --> 24:22.760
1105 deux symboles, ça n'est qu'un, et ça, si un jour,
1106
1107 24:22.820 --> 24:24.880
1108 vous avez besoin de l'écrire à la main, c'est un peu difficile.
1109
1110 24:27.520 --> 24:31.340
1111 Et il y a tous les emojis, il y a genre le koala,
1112
1113 24:31.540 --> 24:38.420
1114 tout ça. En plus, je ne suis pas sûr que les sites acceptent
1115
1116 24:38.420 --> 24:43.360
1117 ces caractères-là, forcément, donc il y a des sites
1118
1119 24:43.360 --> 24:44.700
1120 où on peut mettre des emojis dans les mots de passe,
1121
1122 24:44.880 --> 24:48.140
1123 ça existe, mais ce n'est pas une majorité.
1124
1125 24:48.140 --> 24:52.640
1126 Du coup, c'est mort. On pourrait apprendre le chinois,
1127
1128 24:53.480 --> 24:55.140
1129 parce qu'ils ont beaucoup, beaucoup, beaucoup de symboles,
1130
1131 24:55.820 --> 24:57.900
1132 mais apprendre une langue entière pour avoir un mot de passe
1133
1134 24:57.900 --> 25:02.780
1135 décent, c'est mort aussi. D'ailleurs,
1136
1137 25:02.940 --> 25:04.680
1138 dans les 137 000 symboles, il y en a beaucoup
1139
1140 25:04.680 --> 25:07.300
1141 qui sont chinois, et puis d'autres langues
1142
1143 25:07.300 --> 25:12.680
1144 qui ont des idéogrammes comme ça. Et le truc,
1145
1146 25:13.040 --> 25:15.860
1147 c'est qu'en fait, on peut se dire, depuis le début,
1148
1149 25:16.080 --> 25:20.400
1150 on pense, et je l'ai un peu forcé parce que je ne vous ai jamais dit
1151
1152 25:20.400 --> 25:23.440
1153 que ça pouvait ne pas être le cas, mais on pense toujours
1154
1155 25:23.440 --> 25:25.320
1156 le symbole comme un seul symbole, alors qu'en fait,
1157
1158 25:25.380 --> 25:29.140
1159 ça peut être plusieurs symboles. Genre notre symbole,
1160
1161 25:29.440 --> 25:32.520
1162 ça peut être un mot, et notre alphabet, ça peut être un dictionnaire.
1163
1164 25:32.720 --> 25:37.160
1165 Vous voyez où je vous emmène, je pense. Un adulte connaît
1166
1167 25:37.160 --> 25:39.580
1168 environ 20 000 mots, donc en fait, on peut faire péter l'alphabet
1169
1170 25:39.580 --> 25:44.720
1171 si nos symboles, c'est des mots. Et mis bout à bout,
1172
1173 25:45.120 --> 25:48.220
1174 il forme des phrases de passe. Et c'est pour ça,
1175
1176 25:48.300 --> 25:50.660
1177 en fait, que les phrases de passe, ça fonctionne.
1178
1179 25:50.840 --> 25:55.540
1180 C'est parce que les mots, chaque mot est un symbole
1181
1182 25:55.540 --> 26:00.740
1183 qui, depuis qu'on est tout petit, notre apprentissage de la langue
1184
1185 26:00.740 --> 26:03.400
1186 fait que tous ces symboles-là, on les apprend par cœur
1187
1188 26:03.400 --> 26:04.720
1189 sans s'en rendre compte depuis qu'on est tout petit.
1190
1191 26:05.020 --> 26:08.040
1192 Et on est capable de les reconnaitre parmi des dizaines de milliers,
1193
1194 26:08.220 --> 26:09.440
1195 alors qu'eux, ils font plusieurs lettres.
1196
1197 26:09.780 --> 26:10.880
1198 Et on s'en souvient très très très bien.
1199
1200 26:11.340 --> 26:12.860
1201 C'est pour ça que les phrases de passe, ça marche.
1202
1203 26:13.220 --> 26:14.480
1204 C'est pour ça que ça résout ce dilemme-là,
1205
1206 26:14.480 --> 26:17.120
1207 en fait. Alors, il reste une question, c'est comment on les génère
1208
1209 26:17.120 --> 26:19.640
1210 de façon aléatoire ? Et là aussi, vous me voyez venir,
1211
1212 26:20.600 --> 26:22.280
1213 il y a une méthode qui s'appelle méthode Diceware
1214
1215 26:22.280 --> 26:26.060
1216 qui propose d'utiliser des dés, comme j'ai dit au début.
1217
1218 26:26.600 --> 26:28.140
1219 Alors, avec un dés, on peut identifier six mots.
1220
1221 26:29.020 --> 26:30.860
1222 Avec deux dés, on peut identifier six puissance
1223
1224 26:30.860 --> 26:34.700
1225 six mots, donc 36. et on a dit tout à l'heure
1226
1227 26:34.700 --> 26:36.840
1228 qu'un adulte connaissait environ 20 000 mots.
1229
1230 26:37.580 --> 26:40.100
1231 Du coup, on va, mais admettons que, bon,
1232
1233 26:40.180 --> 26:41.620
1234 il faut aussi que ça marche pour des enfants
1235
1236 26:41.620 --> 26:43.960
1237 et il faut aussi que ça marche pour des gens dont c'est peut-être
1238
1239 26:43.960 --> 26:46.840
1240 pas la langue natale. Du coup, on va s'arrêter,
1241
1242 26:47.600 --> 26:49.220
1243 genre là, 46 000 mots, ça va faire trop.
1244
1245 26:50.580 --> 26:52.300
1246 46 000 mots, il y a forcément des mots qu'on ne connaît pas.
1247
1248 26:53.020 --> 26:55.800
1249 Du coup, avec 5 dés, on identifie 7776 mots,
1250
1251 26:56.160 --> 26:59.620
1252 c'est pas mal. et à côté, il suffit de se munir
1253
1254 26:59.620 --> 27:03.560
1255 d'une liste où il y a 7776 mots qui sont identifiés
1256
1257 27:03.560 --> 27:08.460
1258 de façon unique par 5 jets de dés. Par exemple, la liste ici.
1259
1260 27:10.340 --> 27:12.840
1261 Et si on met quatre mots, c'est exactement
1262
1263 27:12.840 --> 27:17.140
1264 les mêmes calculs qu'on a fait lorsqu'on avait
1265
1266 27:17.140 --> 27:18.880
1267 un seul symbole. C'est la même chose, donc là,
1268
1269 27:18.920 --> 27:22.340
1270 je vous ai épargné le calcul, mais c'est 7776 puissance 4.
1271
1272 27:22.780 --> 27:25.460
1273 On voit combien de combinaisons ça fait et on vérifie
1274
1275 27:25.460 --> 27:26.940
1276 combien de temps ça prend pour casser avec
1277
1278 27:26.940 --> 27:30.460
1279 notre ordinateur le plus puissant. On a 14 heures
1280
1281 27:30.460 --> 27:32.500
1282 avec quatre mots, clairement pas suffisant.
1283
1284 27:32.940 --> 27:35.820
1285 5-13 ans, c'est mieux. 6-100 000 ans, ça commence à être pas mal.
1286
1287 27:36.820 --> 27:38.460
1288 7, c'est clairement correct, 800 millions d'années.
1289
1290 27:38.820 --> 27:41.840
1291 Et puis après, c'est un peu trop, mais on peut toujours s'amuser.
1292
1293 27:42.900 --> 27:47.940
1294 Et 7, en fait, ça peut paraître impressionnant
1295
1296 27:47.940 --> 27:50.320
1297 comme ça, mais c'est hyper facile à mémoriser.
1298
1299 27:51.160 --> 27:52.920
1300 Si là, vous le lisez trois ou quatre fois,
1301
1302 27:53.640 --> 27:57.400
1303 vous l'aurez dans la tête directement. Même si la phrase
1304
1305 27:57.400 --> 28:01.180
1306 ne veut rien dire. Bon. Alors maintenant
1307
1308 28:01.180 --> 28:04.360
1309 qu'on sait tout ça, ça c'était un peu, c'est un peu,
1310
1311 28:04.620 --> 28:08.160
1312 on va dire, la fin de la présentation, la fin du cours,
1313
1314 28:08.300 --> 28:12.320
1315 on apprend des choses. Maintenant, à quoi ça va nous servir ?
1316
1317 28:12.320 --> 28:14.320
1318 J'ai rajouté ça en bonus il n'y a pas très longtemps.
1319
1320 28:14.860 --> 28:16.980
1321 En fait, à l'Unistra, qu'est-ce qu'on fait ?
1322
1323 28:16.980 --> 28:18.200
1324 Parce que maintenant qu'on comprend un peu
1325
1326 28:18.200 --> 28:19.140
1327 comment les mots de passe, ça fonctionne,
1328
1329 28:19.260 --> 28:23.520
1330 regardons ce qu'on fait à l'Unistra. je suis allé vérifier
1331
1332 28:23.520 --> 28:25.900
1333 sur Pandore et il y a ce texte-là qui dit
1334
1335 28:25.900 --> 28:27.800
1336 le mot de passe comporte au minimum huit caractères.
1337
1338 28:29.000 --> 28:31.780
1339 Donc je mets à jour les caractéristiques en haut,
1340
1341 28:32.120 --> 28:34.380
1342 on a une longueur de huit, il est obligatoirement
1343
1344 28:34.380 --> 28:36.900
1345 composé de ces trois éléments, alors des lettres,
1346
1347 28:37.480 --> 28:40.360
1348 d'un accentué, majuscule, minuscule, un chiffre au minimum,
1349
1350 28:41.360 --> 28:43.180
1351 un caractère spécial dans cette liste-là
1352
1353 28:43.180 --> 28:46.660
1354 et il n'a pas d'espace et il doit être sans lien
1355
1356 28:46.660 --> 28:49.240
1357 avec votre identité. Du coup, pour l'aléatoirité,
1358
1359 28:51.120 --> 28:53.680
1360 c'est bien, il y a un petit message qui est censé dire
1361
1362 28:53.680 --> 28:55.740
1363 que ça doit être un peu aléatoire quand même.
1364
1365 28:55.900 --> 28:57.400
1366 Ça ne doit pas avoir trop de lien avec vous
1367
1368 28:57.400 --> 29:00.140
1369 mais on ne peut pas non plus garantir que ce soit le cas.
1370
1371 29:01.280 --> 29:08.500
1372 On fait le calcul et on arrive à ça. Bon, après,
1373
1374 29:08.860 --> 29:10.780
1375 chacun se fera un avis. Moi, je trouve que c'est
1376
1377 29:10.780 --> 29:16.440
1378 insatisfaisant. 16 heures, c'est franchement short.
1379
1380 29:17.140 --> 29:20.580
1381 Puis 12 jours sur un PC que n'importe quel joueur
1382
1383 29:20.580 --> 29:23.880
1384 a chez lui, enfin n'importe quel joueur qui a un peu d'argent
1385
1386 29:23.880 --> 29:27.060
1387 a chez lui, c'est un peu limite. Du coup,
1388
1389 29:28.540 --> 29:31.220
1390 peut-être qu'on pourrait le changer, peut-être qu'on pourrait
1391
1392 29:31.220 --> 29:35.040
1393 augmenter un peu la longueur et éventuellement
1394
1395 29:35.040 --> 29:39.420
1396 faire un peu de pédagogie sur le caractère
1397
1398 29:39.420 --> 29:42.960
1399 aléatoire des mots de passe et que si votre caractère
1400
1401 29:42.960 --> 29:45.120
1402 si votre mot de passe n'est pas aléatoire,
1403
1404 29:45.720 --> 29:47.760
1405 vous prenez quand même de sérieux risques.
1406
1407 29:49.160 --> 30:01.880
1408 Merci. Y a-t-il des questions sur cette présentation
1409
1410 30:01.880 --> 30:05.700
1411 où on apprend que c'est la taille du mot de passe
1412
1413 30:05.700 --> 30:10.380
1414 qui compte ? Alors, cette histoire de mot de passe,
1415
1416 30:10.460 --> 30:14.060
1417 ça revient toujours. On voit un mot de passe
1418
1419 30:14.060 --> 30:17.460
1420 long, c'est mieux, OK, mais il faut voir
1421
1422 30:17.460 --> 30:19.140
1423 qu'il y a des gens qui sont non-informaticiens
1424
1425 30:19.140 --> 30:20.800
1426 et le mot de passe, ça ne va pas du tout.
1427
1428 30:21.080 --> 30:25.000
1429 Moi, j'ai une vie avec quelqu'un qui n'est pas du tout
1430
1431 30:25.000 --> 30:28.740
1432 en fait avec les outils informatiques et le mot de passe,
1433
1434 30:28.880 --> 30:30.760
1435 même court, mais ce n'est juste pas possible.
1436
1437 30:32.120 --> 30:36.860
1438 Et je me suis aussi posé la question pour ces utilisateurs-là,
1439
1440 30:36.860 --> 30:39.740
1441 qu'est-ce qu'on pourrait faire ? Et moi,
1442
1443 30:39.800 --> 30:43.720
1444 ce qui me paraît être une solution, c'est mettre en place
1445
1446 30:43.720 --> 30:46.920
1447 du PSK. Donc, ils n'ont pas de mot de passe,
1448
1449 30:46.980 --> 30:50.960
1450 on leur file une clé, une clé énorme, je veux dire,
1451
1452 30:51.380 --> 30:58.980
1453 une clé de RSA de 4048 caractères, un truc vraiment monstrueux,
1454
1455 30:59.060 --> 31:01.000
1456 impossible à casser, encore beaucoup plus
1457
1458 31:01.000 --> 31:03.940
1459 que ce que tu dis là. Et ça réglerait le problème
1460
1461 31:03.940 --> 31:07.940
1462 en partie. Mais ça implique qu'il faut déployer
1463
1464 31:07.940 --> 31:10.220
1465 un serveur Kerberos, ça veut dire qu'il faut être capable
1466
1467 31:10.220 --> 31:12.120
1468 de redéployer des clés aux gens et tout ça.
1469
1470 31:13.140 --> 31:15.560
1471 Je suis bien conscient que c'est ultra difficile,
1472
1473 31:16.400 --> 31:21.160
1474 mais ça pourrait être une solution. Parce que les gens,
1475
1476 31:21.460 --> 31:24.000
1477 ils n'arrivent pas. Je suis désolé, moi, ma copine,
1478
1479 31:24.080 --> 31:25.420
1480 j'ai dit, mais mets un mot de passe plus long.
1481
1482 31:26.140 --> 31:31.120
1483 Non, mets pas le prénom de notre fils. Mais ils n'arrivent pas.
1484
1485 31:31.120 --> 31:33.140
1486 Tu mets le doigt sur un truc que j'aurais peut-être
1487
1488 31:33.140 --> 31:34.700
1489 dû commencer par ça. C'est qu'en fait, les mots de passe
1490
1491 31:34.700 --> 31:36.920
1492 comme système d'authentification, c'est probablement
1493
1494 31:36.920 --> 31:38.940
1495 l'un des pires systèmes d'authentification
1496
1497 31:38.940 --> 31:40.840
1498 possibles. De base, on est parti là-dessus.
1499
1500 31:41.960 --> 31:43.780
1501 Sûrement pour des raisons techniques, j'en sais rien.
1502
1503 31:43.900 --> 31:44.980
1504 Il y a très longtemps, je pense que les premiers
1505
1506 31:44.980 --> 31:46.260
1507 qui ont pensé aux mots de passe, c'était,
1508
1509 31:47.020 --> 31:48.800
1510 je ne sais pas quand, avant l'informatique
1511
1512 31:48.800 --> 31:50.860
1513 sûrement même. Enfin oui, clairement, avant l'informatique,
1514
1515 31:50.960 --> 31:56.020
1516 bien sûr. Mais c'est nul. Parce que c'est très facile
1517
1518 31:56.020 --> 31:58.700
1519 à casser pour une machine et c'est très facile
1520
1521 31:58.700 --> 32:02.420
1522 à mémoriser pour un humain. Donc ça maximise
1523
1524 32:02.420 --> 32:05.840
1525 les inconvénients et ça diminue au maximum
1526
1527 32:05.840 --> 32:07.660
1528 les avantages. Donc c'est vrai, tu as raison,
1529
1530 32:07.860 --> 32:09.580
1531 c'est nul, mais on est obligé de faire avec,
1532
1533 32:09.700 --> 32:11.060
1534 encore jusqu'à maintenant, je ne sais pas
1535
1536 32:11.060 --> 32:13.760
1537 pour combien de temps. Et en attendant, autant essayer
1538
1539 32:13.760 --> 32:17.260
1540 d'en avoir de bons. Mais tu as raison, les mots de passe,
1541
1542 32:17.320 --> 32:23.340
1543 ce n'est pas bien. Est-ce que tu t'es documenté
1544
1545 32:23.340 --> 32:27.740
1546 sur XKCD pour ta présentation ? La première fois
1547
1548 32:27.740 --> 32:31.180
1549 que j'ai vu ça, parce que c'est un très vieux
1550
1551 32:31.180 --> 32:33.020
1552 celui-ci, je crois. Oui, alors il y en a plusieurs.
1553
1554 32:34.160 --> 32:36.800
1555 Je pense à celui avec le cheval. Oui, le cheval,
1556
1557 32:36.900 --> 32:39.600
1558 mais je pense à l'autre. Il y a la première vignette
1559
1560 32:39.600 --> 32:41.720
1561 qui dit qu'il y a le délire des crypto-nerds
1562
1563 32:41.720 --> 32:43.820
1564 qui dit que ça prend beaucoup trop de temps
1565
1566 32:43.820 --> 32:47.680
1567 pour calculer le mot de passe. Et la deuxième vignette
1568
1569 32:47.680 --> 32:49.960
1570 qui dit qu'en réalité, il faut le torturer
1571
1572 32:49.960 --> 32:52.560
1573 et puis il faut le droguer et le frapper
1574
1575 32:52.560 --> 32:54.500
1576 avec une clé anglaise. Bien sûr, bien sûr.
1577
1578 32:54.760 --> 32:56.240
1579 Et le mot de passe est facile à obtenir.
1580
1581 32:56.240 --> 32:59.300
1582 C'est pour ça que le mot de passe qui est long de 96
1583
1584 32:59.300 --> 33:03.600
1585 ou qui a une longueur de 96 ou la phrase de passe
1586
1587 33:03.600 --> 33:05.740
1588 qui fait neuf mots, ça n'a pas vraiment d'intérêt
1589
1590 33:05.740 --> 33:09.580
1591 à moins que genre t'ai une milice ou un truc comme ça.
1592
1593 33:11.980 --> 33:14.500
1594 Mais ça, c'est pareil. C'est juste un principe
1595
1596 33:14.500 --> 33:17.220
1597 de sécurité. Ça ne sert à rien d'avoir un chaînon
1598
1599 33:17.220 --> 33:19.980
1600 extrêmement sécure et pas les autres. Effectivement.
1601
1602 33:19.980 --> 33:23.900
1603 On n'a pas parlé d'authentification deux facteurs,
1604
1605 33:23.960 --> 33:27.980
1606 par exemple. J'aimerais quand même rassurer un peu tout le monde
1607
1608 33:27.980 --> 33:30.560
1609 parce que dire qu'il faut un chiffre au minimum
1610
1611 33:30.560 --> 33:33.960
1612 dans le mot de passe, qu'il n'y ait pas d'espace,
1613
1614 33:34.400 --> 33:35.600
1615 qu'il faut au moins un caractère spécial,
1616
1617 33:36.100 --> 33:38.540
1618 en fait, ça force certains caractères à réduire la taille
1619
1620 33:38.540 --> 33:40.260
1621 de l'alphabet et en fait, c'est beaucoup plus court
1622
1623 33:40.260 --> 33:44.420
1624 à casser que ça. Ça, c'est vraiment dans le cas
1625
1626 33:44.420 --> 33:48.400
1627 et ça a été... C'est vrai pour toute la présentation.
1628
1629 33:48.840 --> 33:51.300
1630 C'est vraiment dans un cas vraiment très théorique
1631
1632 33:51.300 --> 33:57.080
1633 et toujours dans... Comment dire ? J'élimine tous les facteurs sociaux,
1634
1635 33:57.260 --> 33:59.360
1636 etc. Tu as le truc, je prends le truc vraiment
1637
1638 33:59.360 --> 34:03.400
1639 juste de base. Parce qu'après, on peut parler de placement
1640
1641 34:03.400 --> 34:05.120
1642 des caractères spéciaux. Quelqu'un d'intelligent
1643
1644 34:05.120 --> 34:06.360
1645 sait que les caractères spéciaux, généralement,
1646
1647 34:06.420 --> 34:08.680
1648 ils sont à la fin. La majuscule est souvent au début.
1649
1650 34:09.040 --> 34:11.720
1651 Donc, quelqu'un qui est un peu malin aura une heuristique
1652
1653 34:11.720 --> 34:17.220
1654 qui va diminuer ça par au moins deux. Oui, deux questions.
1655
1656 34:17.620 --> 34:20.380
1657 Pour maximiser la mémorisabilité par les gens normaux,
1658
1659 34:20.560 --> 34:22.560
1660 est-ce que, vu qu'il faut qu'on tape
1661
1662 34:22.560 --> 34:23.720
1663 dans les dictionnaires qui ont 20 000 mots
1664
1665 34:24.040 --> 34:26.000
1666 est-ce qu'il existe des dictionnaires qu'on 20 000 noms de chats
1667
1668 34:26.080 --> 34:27.420
1669 par exemple ? Pour qu'elle soit plus facile
1670
1671 34:27.420 --> 34:29.380
1672 à retenir. Bon, ça, c'était pour la connerie.
1673
1674 34:29.740 --> 34:31.440
1675 Sinon, je ne sais pas, est-ce qu'à tout hasard,
1676
1677 34:31.540 --> 34:33.800
1678 tous les trucs biométriques, on n'est pas encore dedans,
1679
1680 34:34.040 --> 34:37.060
1681 mais est-ce que la complexité, elle est suffisante ?
1682
1683 34:37.060 --> 34:39.260
1684 Les pouces, les yeux, ce genre de trucs ?
1685
1686 34:39.260 --> 34:40.580
1687 Je n'en sais rien. Ce n'est pas le sujet
1688
1689 34:40.580 --> 34:41.900
1690 de la présentation. Je ne sais pas du tout.
1691
1692 34:42.700 --> 34:44.320
1693 Je ne me suis pas trop posé la question.
1694
1695 34:45.460 --> 34:48.000
1696 Les empreintes, il paraît que, il paraît que,
1697
1698 34:48.000 --> 34:51.940
1699 si tu prends une photo avec une définition suffisante,
1700
1701 34:52.260 --> 34:55.580
1702 que des gens bien équipés peuvent reproduire l'empreinte.
1703
1704 34:55.720 --> 34:58.840
1705 Il paraît. Les gens qui ont un iPhone, cachez un peu vos mains
1706
1707 34:58.840 --> 35:02.820
1708 lorsqu'on prend des photos. C'est un peu de la paranoïa,
1709
1710 35:03.160 --> 35:05.200
1711 mais c'est le seul truc que j'ai entendu là-dessus.
1712
1713 35:07.060 --> 35:14.680
1714 Une dernière. À l'unistra, on met au minimum
1715
1716 35:14.680 --> 35:17.280
1717 8 caractères, mais on peut aller jusqu'à combien ?
1718
1719 35:17.280 --> 35:19.480
1720 Je ne sais pas. Je suis allé vérifier dans le code
1721
1722 35:19.480 --> 35:23.620
1723 et je crois qu'il n'y a pas de limite. Il n'y a peut-être pas de limite,
1724
1725 35:23.980 --> 35:26.240
1726 parce que dans les conditions de la fonction,
1727
1728 35:26.580 --> 35:28.740
1729 il n'y a pas de condition qui pose une limite.
1730
1731 35:28.740 --> 35:32.780
1732 Donc, on peut faire une phrase de passe actuellement.
1733
1734 35:33.560 --> 35:35.120
1735 Donc, on peut rajouter autant de caractères
1736
1737 35:35.120 --> 35:36.920
1738 qu'on le souhaite. la seule raison avec laquelle on ne peut pas
1739
1740 35:36.920 --> 35:39.580
1741 mettre une phrase de passe, c'est que malgré la longueur
1742
1743 35:39.580 --> 35:43.060
1744 que tu mets quand tu mets une phrase, l'algorithme te fait quand même
1745
1746 35:43.060 --> 35:45.720
1747 suer pour que tu mettes un symbole et un symbole.
1748
1749 35:46.040 --> 35:49.980
1750 D'accord. Du coup, tu peux faire une phrase de passe
1751
1752 35:49.980 --> 35:52.180
1753 et rajouter un symbole et un chiffre à la fin
1754
1755 35:52.180 --> 35:56.180
1756 parce qu'il te fait chier. Mais c'est vrai
1757
1758 35:56.180 --> 35:58.480
1759 que ce n'est pas utile si tu as déjà 7 mots
1760
1761 35:58.480 --> 36:00.400
1762 dans ta phrase. Ça ne sert à rien de rajouter un chiffre.
1763
1764 36:00.560 --> 36:03.160
1765 Enfin, ça ne sert à rien. Ça ne changera pas grand-chose.
1766
1767 36:03.160 --> 36:05.300
1768 Mais disons qu'on peut rallonger si on le souhaite
1769
1770 36:05.300 --> 36:09.260
1771 pour augmenter le... Oui. Oui, mais combien le font ?
1772
1773 36:09.260 --> 36:15.940
1774 Je ne suis pas sûr parce que Pandore n'est pas le seul utilisateur.
1775
1776 36:16.100 --> 36:17.900
1777 En fait, les informations du mot de passe
1778
1779 36:17.900 --> 36:20.280
1780 sont déversées dans d'autres systèmes qui, eux,
1781
1782 36:20.640 --> 36:23.040
1783 ont... Et potentiellement, on pourrait être face
1784
1785 36:23.040 --> 36:24.720
1786 à des systèmes qui ont plus de limitations
1787
1788 36:24.720 --> 36:28.180
1789 que le LDAP. D'accord. D'où le problème, par exemple,
1790
1791 36:28.280 --> 36:31.960
1792 des espaces qui n'est pas autorisé parce que tous les systèmes
1793
1794 36:31.960 --> 36:34.220
1795 consommateurs n'autorisent pas l'espace.
1796
1797 36:34.580 --> 36:36.340
1798 D'accord. On peut faire une tentative...
1799
1800 36:37.300 --> 36:40.120
1801 Tu peux...
1802
1803 36:40.500 --> 36:45.280
1804 Ça appellera le support. C'est ça. Bien.
1805
1806 36:46.420 --> 36:50.420
1807 Histoire de rester dans le programme, je vais remercier Arthur
1808
1809 36:50.420 --> 36:53.720
1810 et je vais convier Romaric. Applaudissements.
1811
1812 36:53.720 --> 36:56.720
1813 Applaudissements. Applaudissements. Applaudissements.
1814
1815 36:56.720 --> 36:59.720
1816 Applaudissements. Applaudissements. Applaudissements.
1817
1818 36:59.720 -->
1819 Applaudissements.