Testez la sécurité de votre mdp (site éducatif)

[Becassine]

Bonjour,

Que diriez-vous amis débutants de tester votre mot de passe ? ça peut paraître basique mais en même temps tellement de débutants utilisent le même mot de passe assez banal pour plusieurs sites qu'il semble bon de rappeler aussi : un e-mail + un mdp par site/forum. N'hésitez pas non plus à utiliser google authenticator (dont vous conservez la clé en cas de perte de votre téléphone)

C'est ici : https://howsecureismypassword.net/

Ne mettez pas votre vrai mdp mais un autre similaire et faites le test.

[without_my_moufles]

Sympa ce site, il est temps que je renforce mes mots de passe.

Dire qu'il y a encore du monde qui utilise 123456, password, qwerty, 111111...

[alphateam]

Bonjour,

Que diriez-vous amis débutants de tester votre mot de passe ? ça peut paraître basique mais en même temps tellement de débutants utilisent le même mot de passe assez banal pour plusieurs sites qu'il semble bon de rappeler aussi : un e-mail + un mdp par site/forum. N'hésitez pas non plus à utiliser google authenticator (dont vous conservez la clé en cas de perte de votre téléphone)

C'est ici : https://howsecureismypassword.net/

Ne mettez pas votre vrai mdp mais un autre similaire et faites le test.

Merci Becassine, toujours la pour nous trouver un truc de derriere les fagots avec un coté culturel et amusant

[Hypolite]

😝😇 3 milliards d années pour le mien.
Ca va c est pas demain la veille

[Becassine]

Sympa ce site, il est temps que je renforce mes mots de passe.

Dire qu'il y a encore du monde qui utilise 123456, password, qwerty, 111111...

Et surtout un forum (ou site ou reséau social) = une adresse mail = un mdp

Merci Becassine, toujours la pour nous trouver un truc de derriere les fagots avec un coté culturel et amusant

C'est gentil

[without_my_moufles]

Sympa ce site, il est temps que je renforce mes mots de passe.

Dire qu'il y a encore du monde qui utilise 123456, password, qwerty, 111111...

Et surtout un forum (ou site ou reséau social) = une adresse mail = un mdp

Oui mais je suis curieux de savoir comment après, tu gères tous tes e-mails et mots de passe ? Je veux dire au niveau de la mémoire, ça devient vite le bordel dans mon cas.

[Irlasos]

Sympa ce site, il est temps que je renforce mes mots de passe.

Dire qu'il y a encore du monde qui utilise 123456, password, qwerty, 111111...

Et surtout un forum (ou site ou reséau social) = une adresse mail = un mdp

Oui mais je suis curieux de savoir comment après, tu gères tous tes e-mails et mots de passe ? Je veux dire au niveau de la mémoire, ça devient vite le bordel dans mon cas.

Tu utilises un un gestionnaire de mot de passe, par exemple KeePass qui est open-source. Y'a un mot de passe maître pour accéder aux mdp qui sont chiffrés. Et si tu veux, tu peux toujours rajouter un mot de passe qui n'est écrit nul par derrière le mot de passe spécifique à chaque plateforme.

[beurk]

😝😇 3 milliards d années pour le mien.
Ca va c est pas demain la veille

115 octillions d'années pour moi, je sais même pas ce que c'est octillions ?

[spatialiste]

Content d’être insomniaque ca m'a permis de découvrir ce topic 

Mon mot de passe BTCtalk qui est relativement simple tiendrait 5 ans, je m'attendais a pire !

Tu utilises un un gestionnaire de mot de passe, par exemple KeePass qui est open-source. Y'a un mot de passe maître pour accéder aux mdp qui sont chiffrés. Et si tu veux, tu peux toujours rajouter un mot de passe qui n'est écrit nul par derrière le mot de passe spécifique à chaque plateforme.

Merci du tuyau je connaissais le principe mais j' ai jamais eu trop confiance, du coup pour les exchanges j'utilise le bon vieux carnet, je vais tenter d'évoluer et essayer KeePass pour me faire une idée.

[oscar2000]

il est dit "un ordinateur peut le cracker en tant de temps", certainement par brutale force, en essayant tous les mots de passe imaginables, ou avec un peu d'intelligence (utilisation de dictionnaires, dates...), mais il n'est pas donné la puissance de calcul du dit ordinateur...
et avec 100 ou 1000 ordinateurs ? et avec les ordinateurs de dans 2 ans spécifiquement destinés à cracker les mots de passe ?
on devrait savoir pourtant, il y a même un fil tenu à jour par mably sur la puissance de hash du btc...

[Irlasos]

il est dit "un ordinateur peut le cracker en tant de temps", certainement par brutale force, en essayant tous les mots de passe imaginables, ou avec un peu d'intelligence (utilisation de dictionnaires, dates...), mais il n'est pas donné la puissance de calcul du dit ordinateur...
et avec 100 ou 1000 ordinateurs ? et avec les ordinateurs de dans 2 ans spécifiquement destinés à cracker les mots de passe ?
on devrait savoir pourtant, il y a même un fil tenu à jour par mably sur la puissance de hash du btc...

Brute force seulement, j'ai essayé l'alphabet ça me donne des milliards d'années^^
Ça te donne une idée pour un ordinateur de bureau lambda actuel je suppose.

[madjpm]

Perso j'utilise un gestionnaire de mot de passe qui m'en génère un nouveau pour chaque site, 16 caractère Maj/Min/Chiffre + tout type de symbole (#/?!;*$ etc...) c'est déjà du bon mot de passe je pense...

[breko974]

aaaaaaaaaaaaaaaaaaaa
=> 16 billions year

ar1#g47$t
=> 16h

comme quoi

[JohnUser]

Cela prendrait à un ordinateur 2 sexdecillion années

je ne connais même pas ce chiffre ?

Sympa ce site, il est temps que je renforce mes mots de passe.

Dire qu'il y a encore du monde qui utilise 123456, password, qwerty, 111111...

Et surtout un forum (ou site ou reséau social) = une adresse mail = un mdp

Oui mais je suis curieux de savoir comment après, tu gères tous tes e-mails et mots de passe ? Je veux dire au niveau de la mémoire, ça devient vite le bordel dans mon cas.

Tu fais des alias pour les adresses emails, pour les mdps à chacun sa technique.

[oscar2000]

Cela prendrait à un ordinateur 2 sexdecillion années

je ne connais même pas ce chiffre ?

attention à ne pas confondre l'échelle longue (utilisée en france et europe) et l'échelle courte (royaume uni et états unis d'amérique)... explication ici : https://fr.wikipedia.org/wiki/Échelles_longue_et_courte

le site des mots de passe utilise l'échelle courte.

[JohnUser]

https://fr.wikipedia.org/wiki/%C3%89chelles_longue_et_courte

sinon ça passe pas.

donc 10 puissance 51 années... je sais pas trop ce que ça donne. merci ;)

[oscar2000]

pour avoir un ordre de grandeur, selon certaines sources, l'âge de l'univers est de l'ordre de 10 puissance 10 années.
selon d'autres sources, l'âge de l'univers est de 5 779 ans.
pour réconcilier les deux sources, http://www.leava.fr/cours-torah-judaisme/science/1138_le-monde-a-5774-ans-ou-15-milliards.php

[JohnUser]

14.9 de tête. : 13.75 : https://www.astronomes.com/lunivers/hubble-age-univers/

mais ça ne me donne pas mon 10 puissance 51 ;)

(20 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 d'années ; mais ça ne m'avance pas trop non plus).

[madjpm]

Pour gérer les pass multiples pour chaque sites il y a pas le choix faut un gestionnaire, tu en as des gratos, des payants... Perso j'utilise Enpass mais il y a aussi Keepass, revelation etc...

[JohnUser]

J'utilise my brain et ça fonctionne très bien.

[F2b]

aaaaaaaaaaaaaaaaaaaa
=> 16 billions year

ar1#g47$t
=> 16h

comme quoi

En revanche :

ar1#g47$t
--> 9 caractères, 16h

aaaaaaaaa
--> 9 caractères aussi, 2 minutes

Comme quoi  


Bon sinon, perso j'ai un peu de mal avec les gestionnaires de mots de passe.
Si par malheur tu perds l'accès à ton gestionnaire, ça se passe comment ?

[Irlasos]

aaaaaaaaaaaaaaaaaaaa
=> 16 billions year

ar1#g47$t
=> 16h

comme quoi

En revanche :

ar1#g47$t
--> 9 caractères, 16h

aaaaaaaaa
--> 9 caractères aussi, 2 minutes

Comme quoi  


Bon sinon, perso j'ai un peu de mal avec les gestionnaires de mots de passe.
Si par malheur tu perds l'accès à ton gestionnaire, ça se passe comment ?

Bah tu évites ça, grâce à un backup du gestionnaire ^^
(tu peux aussi les écrire sur papier et les stocker dans un endroit sécurisé)

[breko974]

Bah tu évites ça, grâce à un backup du gestionnaire ^^
(tu peux aussi les écrire sur papier et les stocker dans un endroit sécurisé)

Oui, au final un bon vieux carnet à coté du PC c'est bien le plus efficace

[samuelikar]

Ne mettez pas votre vrai mdp mais un autre similaire et faites le test.

Bonjour,
Merci pour l'outil et ce petit rappel toujours utile, car la première des règles de sécurité commence par l’interface entre la chaise et le clavier. Nous disposons de tellement de comptes que nous devons trouver des astuces pour générer et mémoriser tous ces mots de passe. J’ai effectué quelques tests et dans l’ensemble, même pour des mots de passe à consonance française, la variation des degrés de complexité restitués par l’outil me semble en adéquation avec mes saisies.
Comme le précise @Becassine, il ne faut surtout pas indiquer un vrai mot de passe car un tel outil pourrait aussi collecter les informations.

[F2b]

Ne mettez pas votre vrai mdp mais un autre similaire et faites le test.

Comme le précise @Becassine, il ne faut surtout pas indiquer un vrai mot de passe car un tel outil pourrait aussi collecter les informations.

Comme pour les clés privées, faut pas donner ça à n'importe qui.
Je crois qu'il y a quelques temps quelqu'un (bon, en fait je ne sais plus qui, ni quand, ni où sur ce forum...) avait donné l'url d'un site qui vérifiait je sais plus quoi, il fallait ajouter la clé privée à la fin de l'url. Genre le truc qui pourrait faire pas mal de ravages...

[oscar2000]

oui, oui, c'était denisdenis je crois... il s'agissait d'un site qui se présente comme une bibliothèque universelle mais qui est en fait un aspirateur...
il m'avait piégé et il a pu ainsi gagner les milli bitcoins que j'avais offert à celui qui trouverait la solution d'un petit jeu que j'avais soumis au forum.

[JohnUser]

Comme le précise @Becassine, il ne faut surtout pas indiquer un vrai mot de passe car un tel outil pourrait aussi collecter les informations.

Sauf que le site n'a pas ton adresse mail, au mieux il le colle dans une base de données de mdp comme on en trouve tant, il suffit de changer quelques caractères.

Bah tu évites ça, grâce à un backup du gestionnaire ^^
(tu peux aussi les écrire sur papier et les stocker dans un endroit sécurisé)

Oui, au final un bon vieux carnet à coté du PC c'est bien le plus efficace

Ou tatoué sur le bras.

Aucune confiance dans ces sites et surtout ce n'est pas l'idée du siècle de ne pas faire travailler sa mémoire.

[alphateam]

Sinon tu adoptes un enfant à chaque fois que tu as besoin de creer un pass, et tu rajoute son prenom à un mot de passe que tu utilises régulièrement.

[beurk]

Le coup des trillions de trilliard d'années à craquer un mot de passe, vous croyez vraiment que c'est pertinent / vrai ? J'ai du mal à y croire vraiment. Certes ça va prendre du temps à craquer, mais bon, prendre plus de temps que le temps lui-même c'est chelou non ?

[spatialiste]

J'utilise my brain et ça fonctionne très bien.

Ahah, c'est vrai que de nos jours on a tendance à chercher des substitues à tout, même à notre mémoire.
Quand je pense que certains ne connaissent pas leur propre numéro de téléphone...
Tu m'a convaincu John, je vais essayer de les apprendre, et bien sur je les conserverais dans un carnet au cas ou 

[JohnUser]

J'utilise my brain et ça fonctionne très bien.

Ahah, c'est vrai que de nos jours on a tendance à chercher des substitues à tout, même à notre mémoire.
Quand je pense que certains ne connaissent pas leur propre numéro de téléphone...
Tu m'a convaincu John, je vais essayer de les apprendre, et bien sur je les conserverais dans un carnet au cas ou  

En fait j'ai une technique qui en vaut une autre : à chaque nouveau mot de passe (je les prends souvent vraiment compliqué/prise de tête), je l'apprends durant un mois, en me le répétant plusieurs fois par jour, puis juste le soir et matin. Et il reste des années en mémoire.
Il y a aussi toutes les occasions ou ont peut tous se les répéter, quand on s'ennuie (file d’attente, transport, garde à vue, nana qui te raconte sa journée, etc..).

Cette technique n'est pas mal non plus :

Sinon tu adoptes un enfant à chaque fois que tu as besoin de creer un pass, et tu rajoute son prenom à un mot de passe que tu utilises régulièrement.

[Azjum]

Ne mettez pas votre vrai mdp mais un autre similaire et faites le test.

Au pire vu que le site est en Javascript tu télécharge la page web et tu test sans être connecté à Internet.

[Irlasos]

Ou tatoué sur le bras.

Aucune confiance dans ces sites et surtout ce n'est pas l'idée du siècle de ne pas faire travailler sa mémoire.

Pour le coup Keepass est un logiciel open source et très connu, donc normalement c'est plutôt fiable ^^
Sinon pour la mémoire je suis plutôt d'accord, mais qu'en t'en as vraiment trop c'est plus possible pour un garder un différent et très complexe pour chaque site.

[JohnUser]

Certes, mais tu as un tas de sites bidon dont tu te fous qu'on trouve ton mdp non ? pour ces sites tu en utilises 3-4 assez faible.

Edit : pour la confiance je ne parlais pas des sites qui veulent t'escroquer, mais plutôt de dépendre d'eux. Je me suis mal exprimé.

[F2b]

Dites, je viens d'avoir une idée. Bon c'est encore un truc bien tordu, comme souvent avec moi 

PS : Bon, après relecture, je pense qu'un truc du genre doit sûrement déjà exister...


Dans les solutions actuelles pour stocker des mots de passe, ce qui me gène (personnellement, j'insiste, tout le monde ne pense pas pareil et c'est nomal) c'est qu'il faut :

- soit confier tous ses MDP à un gestionnaire de mots de passe
   --> Il faut pouvoir faire confiance au logiciel, mais avec de l'open-source ça passe encore
   --> Si jamais t'as un problème quelconque avec le logiciel en question, bah tu l'as dans le [j'vous laissee trouver la  rime tout seuls (en plus c'était pas volontaire)]. Alors là aussi il y a des solutions, mais d'une manière générale j'ai l'impression de ne pas réellement avoir le contrôle sur mes MDP.

- soit tout stocker sur un carnet, en clair
   --> Il vaut mieux le stocker dans un endroit sûr, à l'abri des regards indiscrets. Mais du coup, si il faut s'embêter à aller le chercher à l'autre bout de la baraque à chaque fois que tu dois te connecter sur un site... c'est pas terrible.
   --> Problème mineur, mais si on change de MDP régulièrement (ce qui est recommandé), ça fait pas mal de ratures quand même... (ou alors faut faire ça au crayon gris, le truc qui tient pas bien, qui fait sale, perso j'aime pas).

- je ne parle même pas de la possibilité de stocker ça informatiquement : faut beaucoup de précautions à prendre (un peu comme pour les clés privées)


Bref, voici mon idée tordue (tortue aussi, parce que si on fait tout manuellement, ça peut être assez long) :

- créer un mot de passe v1 en fonction de divers paramètres faciles à retenir, par exemple : mot de passe commun + partie du nom du site + année de création du MDP
On peut prendre un MDP "commun" (j'entends par là, qui est commun à plusieurs sites) assez simple. Le truc en rapport avec le site n'est pas forcément son nom, mais un truc en rapport et dont on peut se rappeler facilement ; il permet d'avoir un mot de passe différent pour chaque site. Pour l'année on peut se contenter de "18" pour "2018".
On obtient un MDP v1 assez long, mais dont les termes peuvent être devinés, donc en terme de sécurité c'est très moyen.
On peut soit retenir ces différents paramètres, soit les noter quelque part, perso j'opterais quand même pour le bon vieux carnet, mais c'est pas obligatoire.

- ensuite on crée simplement un MDP v2 en hachant le MDP v1, avec l'algo de votre choix. Cela donne une suite de chiffres et de lettres plus ou moins difficile à prévoir. En fonction de l'algo, le MDP v2 est plus ou moins long. C'est ce MDP v2 que l'on utilise.
Par exemple, avec pour MDP v1 : bitcoinkraken18, on a :
MD5 : 80aa15ad2a0e0da79d3b4b8e0ad860ef
SHA256 : 3D0C2F180DB8E2A6BE91B71668395DB7054C35033C398FBE036B602AEFB52306
Bien entendu, il convient de ne pas utiliser de site hashant le MDP en ligne.
Si le site demande un caractère spécial, on peu le stocker en clair sur notre carnet et l'ajouter à la fin du hash (ou à un autre endroit).

Pour les plus paranos (ou pour les sites les plus sensibles), on peut même utiliser une signature Bitcoin ou quelque chose du même genre, par exemple avec le même MDP v1 et l'adresse 1HZwkjkeaoZfTSaJxDw6aKkxp45agDiEzN, on obtient la signature : GyJJVU37qJKvT4lvPkN5feFYUDkb/Scd/tzoN5crM1VN0kvf7FSSrOBPKlQRcGqca6TPSb3BSbX7yayS86MJMCY= (et au moins on n'est plus embêté pour les caractères spéciaux)


Voilà. On peut ensuite combiner ça à un gestionnaire de mots de passe, là au moins on ne risque normalement plus d'avoir des problèmes avec, car on a notre carnet pour dépanner (et on peut facilement changer de MDP, voir ci-dessous). Et ce carnet n'est plus un problème de sécurité : tant que personne ne connaît l'algo avec lequel vous hashez, tout va bien. Mieux encore : si vous signez avec votre adresse Bitcoin, quelqu'un en possession du fameux carnet ne pourra rien en faire s'il ne connaît pas votre clé privée.

Un autre avantage est qu'il est simple de changer ce mot de passe. Il suffit en effet de changer l'année dans le MDP v1 et le hash sera radicalement différent. Si le changement de mot de passe intervient plusieurs fois dans l'année, on peut évidemment rajouter le mois (utiliser "0618" par exemple).

[Becassine]

@F2b tu m'as donné mal à la tête ...

[F2b]

@F2b tu m'as donné mal à la tête ...

Tu m'en vois navré. 
Pourtant j'avais prévenu que c'était "un truc tordu".

[JohnUser]

@F2b tu m'as donné mal à la tête ...

Tu m'en vois navré.  
Pourtant j'avais prévenu que c'était "un truc tordu".

Moi j'ai bien aimé mais je trouve que tu te complique la vie.

Une liste de tes mots de passe stockés sur 2-3 place en PGP, évidemment le mdp PGP doit être le plus fort possible et écris nul part sauf dans ta tête. -  et surtout ne servir qu'en cas de mémoire défaillante, logiquement jamais...

Sérieux les GAV ça aide beaucoup pour s'en souvenir tant on s'amuse(...), vous devriez en faire plus.

[F2b]

Je ne fais pas confiance à ma mémoire, généralement elle fonctionne bien mais on sait jamais.

"Je me complique a vie" --> bah oui, justement parce que j'y connais pas grand chose, du coup je fais avec ce que je connais. J'irai voir PGP de plus près... quand j'aurai du temps, donc la semaine prochaine.

[madjpm]

Concernant les gestionnaires de mot de passe c'est sur qu'il faut à un moment faire confiance à l'éditeur, mieux vaut donc privilégier l'open source ou mieux le logiciel libre. Le truc important surtout c'est de choisir un truc qui permet de stocker la DB sur un stockage qui nous appartient et pas chez l'éditeur (SFTP, Cloud, FTP, WEBDAV etc...) ensuite faire régulièrement des sauvegardes au format non propriétaire et les chiffrer avec un soft.

Sinon il existe aussi la vieille combine du mot de passe unique auquel on vient ajouter un détail du site. Exemple une chaine aléatoire de 8/10 caractères qu'on s'entraine à mémoriser puis on ajoute par exemple les premières et dernières lettres du nom de domaine à la fin ou au début...

[oscar2000]

prendre un livre à succès quelconque.
prendre la première lettre de la première page, la deuxième lettre de la deuxième page, la troisième lettre de la troisième page... arrêter quand c'est assez long.
ou alors, la première lettre de la première ligne de la première page, la deuxième lettre de la deuxième ligne de la deuxième page...

si on perd ou abime son livre, on peut le retrouver si il a été largement vendu.

[Becassine]

prendre un livre à succès quelconque.
prendre la première lettre de la première page, la deuxième lettre de la deuxième page, la troisième lettre de la troisième page... arrêter quand c'est assez long.
ou alors, la première lettre de la première ligne de la première page, la deuxième lettre de la deuxième ligne de la deuxième page...

si on perd ou abime son livre, on peut le retrouver si il a été largement vendu.

Il faut juste se souvenir de l'édition, sinon ....

[falbala]

L'edition c'est pas tout. Moi qui prend une partie de la premiere phrase de chaque page pour avoir un pass different quand j'ai perdu mon bouquin il m'a fallut pas mal de temps et retester une par une jusqu'a trouver la bonne !!! un boulot de dingue. Depuis j'ai pris un carnet

[cryptojb204]

Je connaissais pas du tout ce site mais c'est super utile, merci beaucoup !
Et c'est aussi flippant a la fois de voir a quel point il peut etre rapide de trouver un mot de passe 

[JohnUser]

Sinon il existe aussi la vieille combine du mot de passe unique auquel on vient ajouter un détail du site. Exemple une chaine aléatoire de 8/10 caractères qu'on s'entraine à mémoriser puis on ajoute par exemple les premières et dernières lettres du nom de domaine à la fin ou au début...

Pas con, je n'y avais jamais pensé. 8/10 char ça semble léger quand même..

J'ai longtemps utilisé un mdp inspiré de jurrasic park (en le transformant, évidemment), il était dur à mémoriser, j'avais ajouté quelques chiffres de vérification dedans, comme pour les CB.

Inutile de chercher, des années que je ne l'utilise plus, de toute façon ce n'était pas celui-la, je l'avais vraiment compliqué & mis à ma sauce, c'est juste pour donner une idée d'un mdp assez costaud, selon moi, donc purement subjectif :

curV = [ssm dt] tempRgn [itm dd2]. curH = [ssd itl] 2 [itm dd4]. r( !gN) set shp-val obj to lim(Val[d])— Xval

[breko974]

Ah oui sacré mot de passe 
tu les attends les hackeurs sur ordis quantique

Pour le coup du bouquin, à ce moment là prenez la bible, 1ere lettre de chaque versets, déja t'es sur de retrouver le bouquin, et les versets sont numérotés pareils quelque soit l'édition

Sinon évitez de tapez vos mots de passe en étant connecté sur un wifi public, en particulier dans les aéroports
c'est évident mais un petit rappel fait pas de mal

[32decembre]

Ah merci je viens de faire le test "Cela prendrait à un ordinateur 16 billion années pour trouver votre mot de passe".
Avec les ordinateurs quantique cela sera une autre affaire mais pour l'instant c'est une bonne protection.

Le truc le plus chiant finalement ce n'est pas d'avoir un mot de passe complexe mais d'en avoir un différent pour chaque site.

[Icivodul]

Merci pour ce site, tres pratique ! 

[spatialiste]

En fait j'ai une technique qui en vaut une autre : à chaque nouveau mot de passe (je les prends souvent vraiment compliqué/prise de tête), je l'apprends durant un mois, en me le répétant plusieurs fois par jour, puis juste le soir et matin. Et il reste des années en mémoire.
Il y a aussi toutes les occasions ou ont peut tous se les répéter, quand on s'ennuie (file d’attente, transport, garde à vue, nana qui te raconte sa journée, etc..).

Alors j'ai suivi tes conseils et je me suis débrouillé pour faire un séjour de 48h en garde à vue, finalement le plus compliqué c'est pas d'en sortir mais d'y aller ahah.

En sortant j’avais soif, je me suis donc acheté une cannette de soda et j'ai eu l’idée d’intégrer à mon MDP la liste de chiffre qui compose sont code barre, mon MDP amélioré est maintenant solide  , mais du coup je dois  retourner en GAV pour le mémoriser  .

Blague à part, je sais pas comment j'y ai pensé, mais le coup du code barre je le trouve plutôt pas mal, et puis on en trouve partout, ce qui peut être pratique pour l'avoir à porté de main en toute discrétion  

[F2b]

Blague à part, je sais pas comment j'y ai pensé, mais le coup du code barre je le trouve plutôt pas mal, et puis on en trouve partout, ce qui peut être pratique pour l'avoir à porté de main en toute discrétion  

J'avoue que c'est moins tordu que mon idée à moi   

[spatialiste]

J'avoue que c'est moins tordu que mon idée à moi   

Ton idée est originale mais elle est un peu complexe pour moi, je suis plutôt du genre flemmard ahah.

Le code barre ajouté à un MDP de 'base' permet un nombre de variantes importantes, et c'est ce que je trouve intéressant en fait.

[F2b]

J'avoue que c'est moins tordu que mon idée à moi    

Ton idée est originale mais elle est un peu complexe pour moi, je suis plutôt du genre flemmard ahah.

Le code barre ajouté à un MDP de 'base' permet un nombre de variantes importantes, et c'est ce que je trouve intéressant en fait.

Oui tout à fait.
Par contre après t'en fais quoi des codes-barre ? Parce que si tu gardes tout, ça fait un peu poubelle à la fin non ? Entre les boîtes de conserve, les cartons d'électroménager, etc... 

[baba0000000000]

Reussi à bloquer le site



Voilà le mot de passe:
ñÄîÔ?è)lñ¿j12P7È%~A¼"Çn½¤+J',äÜû$í¾²ÞRFGÕÜNâc>§áô+Ôõàû¡"~I¸Ýò8DþùÀ)ãÅcÃãê==_Db®åäͨpe¯ãÂÓ0ëç_nùc+°X±O)@¯û(´^_ýÇ(lS;üI$w¥Ëóú¨¼"&µû>Ñzâ¦Áx <v%÷ÖxÒ«Ì»Æ/¥òY#VGOöûFÁ»ïOë]µ%"$à+`ç«âo'Éà÷ÜG!©OÌ"±lï<sV+¶U¤+k¨Æq·¤tÕ.P:TöÞɺ3uò(ÀI°ôFÆë¯e\Ï©5Ä[ܸÕfÙXóèØÆ^!Vx¶ú

Mais bon ils ont plus vite fait de hacker le site en question que de trouver le mot de passe.
Et faut tomber sur un site qui veulent bien tout c'est caractère et le nombre de 250

[spatialiste]

J'avoue que c'est moins tordu que mon idée à moi    

Ton idée est originale mais elle est un peu complexe pour moi, je suis plutôt du genre flemmard ahah.

Le code barre ajouté à un MDP de 'base' permet un nombre de variantes importantes, et c'est ce que je trouve intéressant en fait.

Oui tout à fait.
Par contre après t'en fais quoi des codes-barre ? Parce que si tu gardes tout, ça fait un peu poubelle à la fin non ? Entre les boîtes de conserve, les cartons d'électroménager, etc... 

Ahahah, d'ailleurs faut que je pense à sortir le carton du frigo du bureau
Sinon il y a des choses un peu plus discrètes que tu peux garder à porté de mains tel qu'un bouquin par exemple 

[JohnUser]

Reussi à bloquer le site

j'ai eu la même réponse avec pas mal de (presque)vrai mdp...

[baba0000000000]

Tu utilises quoi comme soft pour gérer tes mots de passe? Moi j'ai pris Keepass

[ginette]

Tu utilises quoi comme soft pour gérer tes mots de passe? Moi j'ai pris Keepass

Bonjour baba00000,

Je pensais aussi migrer vers Keepass mais il y a 2 choses que je ne suis pas tout à fait sûr de comprendre:

  - En fait tu ne les choisis pas les mdp? Ils sont à chaque fois générés par keepass c'est bien ça?

  - Finalement tu as un seul mot de passe (que tu as choisi ?) qui protège tous tes autres mdp?

Et 3ème petite chose, plus évidente mais du coup il faut suivre les procédures de changements de mdp pour tout ses différents comptes pour "mettre en place" Keepass?

[JohnUser]

Tu utilises quoi comme soft pour gérer tes mots de passe? Moi j'ai pris Keepass ;)

My brain ;)

[baba0000000000]

Tu utilises quoi comme soft pour gérer tes mots de passe? Moi j'ai pris Keepass

Bonjour baba00000,

Je pensais aussi migrer vers Keepass mais il y a 2 choses que je ne suis pas tout à fait sûr de comprendre:

  - En fait tu ne les choisis pas les mdp? Ils sont à chaque fois générés par keepass c'est bien ça?

  - Finalement tu as un seul mot de passe (que tu as choisi ?) qui protège tous tes autres mdp?

Et 3ème petite chose, plus évidente mais du coup il faut suivre les procédures de changements de mdp pour tout ses différents comptes pour "mettre en place" Keepass?

Comme tu dis 1 mot de passe maître qui décrypte le fichier de mot de passe.

Pour la 3émé tu n'est pas obliger de changer les mot de passe de tes sites, mais si ça fait 1 ans qu'il n'ont pas changer, c'est un plus de le faire.
Et d'augmenter le nombre de caractère.
Tu a juste à la copier à la place du mot de passe générer par keepass.

[linkdefeu]

Salut
Je connaissais pas ce site, mon mdp est trouvable "immédiatement" 
C'est chaud mama...

Et mon second mdp (car j'en ai deux en général) est trouvable en 5 ans mais bon... c'est pas celui que j'utilise le plus
Je crois que je vais switcher ca...

Ca craint !!!

[baba0000000000]

Le pire c'est pas ça, mais c'est que si tu utilises le même mot de passe partout.
Si tu va sur un site bancale genre un passionné dans un domaine et que ce mec fait un blog et que tu t'inscris dessus et que tu prends même le deuxième mot de passe.
Bah si ce site tombe bah les hacker on accès à tous tes sites, messagerie et autre.

Tu les sauvegardes dans ton navigateur.

[Irlasos]

Salut
Je connaissais pas ce site, mon mdp est trouvable "immédiatement" 
C'est chaud mama...

Et mon second mdp (car j'en ai deux en général) est trouvable en 5 ans mais bon... c'est pas celui que j'utilise le plus
Je crois que je vais switcher ca...

Ca craint !!!

Même si le site te dis que ton mot de passe est testé uniquement en local, évite d'utiliser le vrai.

Si un site est piraté normalement ils n'ont que le hash de ton mdp, donc ils ne peuvent pas facilement accéder à tes autres comptes qui ont le même mot de passe, sauf si un mot de passe qui produit le même hash est dans une base de donnée (tous les mots de passe courts y figurent).

[linkdefeu]

Salut
Je connaissais pas ce site, mon mdp est trouvable "immédiatement"  
C'est chaud mama...

Et mon second mdp (car j'en ai deux en général) est trouvable en 5 ans mais bon... c'est pas celui que j'utilise le plus
Je crois que je vais switcher ca...

Ca craint !!!

Même si le site te dis que ton mot de passe est testé uniquement en local, évite d'utiliser le vrai.

Si un site est piraté normalement ils n'ont que le hash de ton mdp, donc ils ne peuvent pas facilement accéder à tes autres comptes qui ont le même mot de passe, sauf si un mot de passe qui produit le même hash est dans une base de donnée (tous les mots de passe courts y figurent).

Ca marche.
Mais en tous les cas il faut que je change mes mdp par des choses plus complexes...
Sa fait des années que j'utilise les mêmes par commodité et la bah les techno évoluent et moi j'ai rien fait pour suivre le mouvement concernant ce domaine.
Donc je vais remédier a ca !

[F2b]

Salut
Je connaissais pas ce site, mon mdp est trouvable "immédiatement"  
C'est chaud mama...

Et mon second mdp (car j'en ai deux en général) est trouvable en 5 ans mais bon... c'est pas celui que j'utilise le plus
Je crois que je vais switcher ca...

Ca craint !!!

Même si le site te dis que ton mot de passe est testé uniquement en local, évite d'utiliser le vrai.

Si un site est piraté normalement ils n'ont que le hash de ton mdp, donc ils ne peuvent pas facilement accéder à tes autres comptes qui ont le même mot de passe, sauf si un mot de passe qui produit le même hash est dans une base de donnée (tous les mots de passe courts y figurent).

Ca marche.
Mais en tous les cas il faut que je change mes mdp par des choses plus complexes...
Sa fait des années que j'utilise les mêmes par commodité et la bah les techno évoluent et moi j'ai rien fait pour suivre le mouvement concernant ce domaine.
Donc je vais remédier a ca !

De même pour moi.
Même s'il y a certains sites où les mots de passe sont plus forts et diversifiés, la plupart ont un truc simple et toujours le même, c'est pas top.
Faites ce que je dis, pas ce que je fais  
Je ne pense pas que je vais mettre en pratique mon idée de la page 2, c'était vraiment trop tordu... quoique... bon je verrai bien.

[baba0000000000]

Je le répète mais Keepass est pas mal comme gestionnaire de mot de passe.
C'est simple et ça fonctionne très bien.

https://bitcointalk.org/index.php?topic=4656850.msg42048970#msg42048970
Pour ce qui voudrait tester Keepass.

[linkdefeu]

Je le répète mais Keepass est pas mal comme gestionnaire de mot de passe.
C'est simple et ça fonctionne très bien.

https://bitcointalk.org/index.php?topic=4656850.msg42048970#msg42048970
Pour ce qui voudrait tester Keepass.

Je prends note, j'ai jamais testé encore.
Merci pour l'infos.
En plus le topic est ultra détaillé c'est nikel pour démarrer le truc.
Je testerai ca demain !

[JohnUser]

https://pastebin.com/5rwcE1RE  (pris au pif en 2 secondes)

[Saint-loup]

Ah oui sacré mot de passe 
tu les attends les hackeurs sur ordis quantique

Pour le coup du bouquin, à ce moment là prenez la bible, 1ere lettre de chaque versets, déja t'es sur de retrouver le bouquin, et les versets sont numérotés pareils quelque soit l'édition

La bible chrétienne?
Le texte change énormément en fonction des éditions, à cause des traductions mais aussi des versions prises comme reference.
Je crois que le coran en arabe et la torah en hébreux ne changent pas eux. Mais il faut savoir retranscrire les caractères arabes ou hébreux en alphabet latin.
Sinon effectivement pour reprendre ta technique compter les lettres à partir des débuts de chapitres ou de paragraphes d'un ouvrage célèbre ou même de phrases d'un texte célèbre comme un poème, une chanson, un discours, une constitution, une déclaration, ... en version originale bien sûr.

[Saint-loup]

Dites, je viens d'avoir une idée. Bon c'est encore un truc bien tordu, comme souvent avec moi  

PS : Bon, après relecture, je pense qu'un truc du genre doit sûrement déjà exister...


Dans les solutions actuelles pour stocker des mots de passe, ce qui me gène (personnellement, j'insiste, tout le monde ne pense pas pareil et c'est nomal) c'est qu'il faut :

- soit confier tous ses MDP à un gestionnaire de mots de passe
   --> Il faut pouvoir faire confiance au logiciel, mais avec de l'open-source ça passe encore
   --> Si jamais t'as un problème quelconque avec le logiciel en question, bah tu l'as dans le [j'vous laissee trouver la  rime tout seuls (en plus c'était pas volontaire)]. Alors là aussi il y a des solutions, mais d'une manière générale j'ai l'impression de ne pas réellement avoir le contrôle sur mes MDP.

- soit tout stocker sur un carnet, en clair
   --> Il vaut mieux le stocker dans un endroit sûr, à l'abri des regards indiscrets. Mais du coup, si il faut s'embêter à aller le chercher à l'autre bout de la baraque à chaque fois que tu dois te connecter sur un site... c'est pas terrible.
   --> Problème mineur, mais si on change de MDP régulièrement (ce qui est recommandé), ça fait pas mal de ratures quand même... (ou alors faut faire ça au crayon gris, le truc qui tient pas bien, qui fait sale, perso j'aime pas).

- je ne parle même pas de la possibilité de stocker ça informatiquement : faut beaucoup de précautions à prendre (un peu comme pour les clés privées)


Bref, voici mon idée tordue (tortue aussi, parce que si on fait tout manuellement, ça peut être assez long) :

- créer un mot de passe v1 en fonction de divers paramètres faciles à retenir, par exemple : mot de passe commun + partie du nom du site + année de création du MDP
On peut prendre un MDP "commun" (j'entends par là, qui est commun à plusieurs sites) assez simple. Le truc en rapport avec le site n'est pas forcément son nom, mais un truc en rapport et dont on peut se rappeler facilement ; il permet d'avoir un mot de passe différent pour chaque site. Pour l'année on peut se contenter de "18" pour "2018".
On obtient un MDP v1 assez long, mais dont les termes peuvent être devinés, donc en terme de sécurité c'est très moyen.
On peut soit retenir ces différents paramètres, soit les noter quelque part, perso j'opterais quand même pour le bon vieux carnet, mais c'est pas obligatoire.

- ensuite on crée simplement un MDP v2 en hachant le MDP v1, avec l'algo de votre choix. Cela donne une suite de chiffres et de lettres plus ou moins difficile à prévoir. En fonction de l'algo, le MDP v2 est plus ou moins long. C'est ce MDP v2 que l'on utilise.
Par exemple, avec pour MDP v1 : bitcoinkraken18, on a :
MD5 : 80aa15ad2a0e0da79d3b4b8e0ad860ef
SHA256 : 3D0C2F180DB8E2A6BE91B71668395DB7054C35033C398FBE036B602AEFB52306
Bien entendu, il convient de ne pas utiliser de site hashant le MDP en ligne.
Si le site demande un caractère spécial, on peu le stocker en clair sur notre carnet et l'ajouter à la fin du hash (ou à un autre endroit).

Pour les plus paranos (ou pour les sites les plus sensibles), on peut même utiliser une signature Bitcoin ou quelque chose du même genre, par exemple avec le même MDP v1 et l'adresse 1HZwkjkeaoZfTSaJxDw6aKkxp45agDiEzN, on obtient la signature : GyJJVU37qJKvT4lvPkN5feFYUDkb/Scd/tzoN5crM1VN0kvf7FSSrOBPKlQRcGqca6TPSb3BSbX7yayS86MJMCY= (et au moins on n'est plus embêté pour les caractères spéciaux)


Voilà. On peut ensuite combiner ça à un gestionnaire de mots de passe, là au moins on ne risque normalement plus d'avoir des problèmes avec, car on a notre carnet pour dépanner (et on peut facilement changer de MDP, voir ci-dessous). Et ce carnet n'est plus un problème de sécurité : tant que personne ne connaît l'algo avec lequel vous hashez, tout va bien. Mieux encore : si vous signez avec votre adresse Bitcoin, quelqu'un en possession du fameux carnet ne pourra rien en faire s'il ne connaît pas votre clé privée.

Un autre avantage est qu'il est simple de changer ce mot de passe. Il suffit en effet de changer l'année dans le MDP v1 et le hash sera radicalement différent. Si le changement de mot de passe intervient plusieurs fois dans l'année, on peut évidemment rajouter le mois (utiliser "0618" par exemple).

J'aime bien ta methode surtout le fait que le mdp change totalement avec une simple petite incrémentation (=impossible pour les hackers de s'en servir ailleurs, tout en restant simple), en revanche la taille des mdp obtenus les rend tres lourds à utiliser et impossibles à mémoriser pour une utilisation quotidienne. Donc est-ce qu'il ne serait pas plus pratique de n'utiliser qu'une partie de ces hashs, par exemple les 6 premiers ou derniers caractères(ou autre) ?
J'aime un peu moins ta methode avec la signature car si tu paumes la clef privée tu perds tous tes mdp

PS: connais-tu des services de hash sur le web (idealement utilisables hors connexion)? je sais bien que c'est pas le plus conseillé mais bon les hackeurs ne verront pas les sites oú je compte les utiliser ni mon login et mon f2a même si ils decouvrent qu'il s'agit de mdp, et de toutes façons je vais générer plusieurs hashs pour brouiller les pistes donc bon risque tres limité IMO

[F2b]

J'aime bien ta methode surtout le fait que le mdp change totalement avec une simple petite incrémentation (=impossible pour les hackers de s'en servir ailleurs, tout en restant simple), en revanche la taille des mdp obtenus les rend tres lourds à utiliser et impossibles à mémoriser pour une utilisation quotidienne. Donc est-ce qu'il ne serait pas plus pratique de n'utiliser qu'une partie de ces hashs, par exemple les 6 premiers ou derniers caractères(ou autre) ?
J'aime un peu moins ta methode avec la signature car si tu paumes la clef privée tu perds tous tes mdp

PS: connais-tu des services de hash sur le web (idealement utilisables hors connexion)? je sais bien que c'est pas le plus conseillé mais bon les hackeurs ne verront pas les sites oú je compte les utiliser ni mon login et mon f2a même si ils decouvrent qu'il s'agit de mdp, et de toutes façons je vais générer plusieurs hashs pour brouiller les pistes donc bon risque tres limité IMO

Pour l'utilisation de signatures Bitcoin, c'était juste une idée... un peu comme tout le reste d'ailleurs. Effectivement ça peut être problématique en cas de perte de la clé.

Pour la lourdeur des MDP, tu as raison. Je partais du principe que je n'aurais pas à les retenir directement, soit grâce à l'utilisation d'un gestionnaire de MDP, soit car il est possible de le re-hasher. Cela dit, cela peut tout de même être gênant car sa longueur sera peut-être trop importante pour certains sites (beaucoup ?). L'idée de ne prendre qu'une partie du hash est donc à considérer.

Il doit sûrement exister des logiciels qui font ça offline. Je ne les connais pas, et pour rappel je n'utilise pas la méthode exposée ici, même si je pense peut-être envisager quelque chose de semblable dans les années à venir.
Au passage, je viens de tomber sur l'algo Bcrypt, qui semble très efficace et qui visiblement est déjà très utilisé pour crypter (chiffrer ?) les mots de passe (entre l'utilisateur et la BDD) (et en plus les hashs ont des caractères spéciaux, contrairement aux SHA et compagnie). Il doit sûrement exister des implémentations de cet algo desquelles ont pourrait s'inspirer (bon, va falloir que j'apprenne à coder, avant... ).

[Saint-loup]

Ah oui sacré mot de passe  
tu les attends les hackeurs sur ordis quantique

Pour le coup du bouquin, à ce moment là prenez la bible, 1ere lettre de chaque versets, déja t'es sur de retrouver le bouquin, et les versets sont numérotés pareils quelque soit l'édition

La bible chrétienne?
Le texte change énormément en fonction des éditions, à cause des traductions mais aussi des versions prises comme reference.
Je crois que le coran en arabe et la torah en hébreux ne changent pas eux. Mais il faut savoir retranscrire les caractères arabes ou hébreux en alphabet latin.
Sinon effectivement pour reprendre ta technique compter les lettres à partir des débuts de chapitres ou de paragraphes d'un ouvrage célèbre ou même de phrases d'un texte célèbre comme un poème, une chanson, un discours, une constitution, une déclaration, ... en version originale bien sûr.

Dans le même genre, entendu à la radio ce matin : prendre les 1eres lettres d'une citation ou d'un proverbe qu'on affectionne et ajouter la 1ere lettre du site où on utilise le mdp.
=> pas mal mais si des hackers chopent le mdp, il y a de grandes chances qu'ils fassent le rapprochement entre cette lettre et le nom du site, surtout si elle se trouve à la fin du mdp.... Ce qui leur permettra de facilement déduire vos mdp pour tous vos autres sites...  
Les hackers, c'est comme les cambrioleurs qui savent exactement oú la majorité des gens planquent leurs bas de laine, leurs bijoux, leurs armes ou leurs drogues, il ne faut pas les sous-estimer.
Il est donc préférable amha d'au moins décaler la lettre du site dans l'alphabet(p. ex utiliser C pour A, D pour B, etc) si on utilise cette methode.


A part ça un site qui permet de savoir combien de fois son mot de passe apparait dans des fichiers hackés. Selon le site les mdp qui apparaissent sont compromis et ne doivent plus être utilisés car ils sont plus susceptibles d'être ciblés par les hackers (attaque au dictionnaire).
https://haveibeenpwned.com/Passwords

Le site permet également de savoir si son adresse mail apparait dans des fichiers hackés, et à l'occasion de quelle attaque elle a été dérobée. (Si votre adresse mail est ancienne, il y a de grandes chances qu'elle y figure    )
 https://haveibeenpwned.com

Edit: si on ne veut pas envoyer son mdp en clair, le site accepte le sha1. Il suffit simplement de coller le hash sha1 de son mdp (le site detecte tout seul qu'il s'agit d'un mdp hashé) https://www.troyhunt.com/introducing-306-million-freely-downloadable-pwned-passwords/

[Saint-loup]

Il doit sûrement exister des logiciels qui font ça offline. Je ne les connais pas, et pour rappel je n'utilise pas la méthode exposée ici, même si je pense peut-être envisager quelque chose de semblable dans les années à venir.
Au passage, je viens de tomber sur l'algo Bcrypt, qui semble très efficace et qui visiblement est déjà très utilisé pour crypter (chiffrer ?) les mots de passe (entre l'utilisateur et la BDD) (et en plus les hashs ont des caractères spéciaux, contrairement aux SHA et compagnie). Il doit sûrement exister des implémentations de cet algo desquelles ont pourrait s'inspirer (bon, va falloir que j'apprenne à coder, avant... ).

Cette commande bcrypt a l'air pas mal, malheureusement elle ne semble pas dispo sur la plupart des shells en ligne.
Ce qui est embêtant, car du coup on doit obligatoirement utiliser un systeme linux pour pouvoir se servir de ses mdp... 

A moins d'installer un shell sur son telephone, qui dispose de la commande ou permet de l'installer... a voir

[TomCrypto]

Ma petite cousine en CP m'avait donné une façon intéressante (pour son age) de générer un mot de passe compliqué :
Sur le clavier elle faisait un dessin dont elle se souvenait en utilisant des chiffres et des symboles. Bon après je lui ai pas parlé encore des claviers dans d'autres pays qui mettent son astuce à mal mais je trouvais ca pas mal comme idée.

[Saint-loup]

Ma petite cousine en CP m'avait donné une façon intéressante (pour son age) de générer un mot de passe compliqué :
Sur le clavier elle faisait un dessin dont elle se souvenait en utilisant des chiffres et des symboles. Bon après je lui ai pas parlé encore des claviers dans d'autres pays qui mettent son astuce à mal mais je trouvais ca pas mal comme idée.

Ah oui pas mal effectivement, merci pour cette nouvelle methode (c'est une tête ta cousine dis donc).
Par contre il faut bien faire gaffe à utiliser un motif qu'on est sûr de retenir.

[Saint-loup]

Il doit sûrement exister des logiciels qui font ça offline. Je ne les connais pas, et pour rappel je n'utilise pas la méthode exposée ici, même si je pense peut-être envisager quelque chose de semblable dans les années à venir.
Au passage, je viens de tomber sur l'algo Bcrypt, qui semble très efficace et qui visiblement est déjà très utilisé pour crypter (chiffrer ?) les mots de passe (entre l'utilisateur et la BDD) (et en plus les hashs ont des caractères spéciaux, contrairement aux SHA et compagnie). Il doit sûrement exister des implémentations de cet algo desquelles ont pourrait s'inspirer (bon, va falloir que j'apprenne à coder, avant... ).

Cette commande bcrypt a l'air pas mal, malheureusement elle ne semble pas dispo sur la plupart des shells en ligne.
Ce qui est embêtant, car du coup on doit obligatoirement utiliser un systeme linux pour pouvoir se servir de ses mdp...  

A moins d'installer un shell sur son telephone, qui dispose de la commande ou permet de l'installer... a voir

J'ai essayé en utilisant openssl enc qui propose l'algo de bcrypt (BlowFish) mais ça me sort des trucs  à moitié illisibles qui buguent les editeurs, y'a un truc que je dois pas faire correctement j'imagine... pourtant ça redécrypteredéchiffre correctement les fichiers   ...
Sinon j'ai découvert openssl passwd qui marche tres bien mais qui malheureusement ne propose que 3 algos de chiffrement differents qui ont l'air un peu dépassés et qui en plus ne semblent pas standardisés (des "dérivés" de MD5 pour 2 d'entre eux)  
Si on veut malgré tout l'utiliser, il ne faut pas oublier de préciser un salt sinon il en génère un au hasard automatiquement et n'est plus déterministe.

Edit: pour ne pas obtenir de caractères barbares, il suffit simplement d'encoder la chaîne chiffrée en base64 à l'aide du paramètre "-base64" ou "-a"
OpenSSL est donc au final vraiment interessant car il offre un large choix d'algos de chiffrement et il est dispo un peu partout y compris sur les shells en ligne