Le principe du mot de passe, très ancien, s’est imposé mondialement au XXe siècle, avec l’avènement du numérique. Fernando Corbató, ingénieur au MIT, est le premier à utiliser un système à base de mots de passe pour accéder à un ordinateur, en 1961. 

Mais ce sont évidemment l’apparition des ordinateurs personnels dans les années 1980, puis la démocratisation d’Internet dans les années 2000, qui font exploser l’usage des mots de passe.

Les mots de passe sont aujourd’hui omniprésents dans notre vie quotidienne. Ils sont en fait tellement nombreux aujourd’hui qu’il faut désormais des applications dédiées – Dashlane, 1Password, LastPass ou d’autres outils – pour les gérer.

En 2015, Dashlane établissait qu’un utilisateur moyen possède 90 comptes et identifiants en ligne et, en 2017, LastPass constate qu’un individu gère en moyenne 191 mots de passe.

C’est sans doute encore plus impressionnant depuis le début de la crise sanitaire et le développement des outils de visioconférence et des plateformes de discussion.

Pourtant, quand on interroge les professionnels de la cybersécurité, les mots de passe se révèlent une réponse très insuffisante pour garantir la protection des utilisateurs et de leurs données. 

D’abord, car ils sont stockés sur des serveurs centralisés : une aubaine pour les pirates qui peuvent, en s’introduisant sur un seul système, dérober un nombre considérable de sésames. Les piratages retentissants sont devenus monnaie courante. Rien qu’en 2016, Yahoo reconnaît une faille de sécurité affectant trois milliards de comptes, puis Adobe, eBay, LinkedIn, Sony et Uber, parmi d’autres, connaissent au cours des années suivantes des déboires similaires, exposant les données personnelles de centaines de millions d’utilisateurs.

Ensuite, les usages qui sont faits des mots de passe posent encore problème aujourd’hui. Malgré les conseils répétés des professionnels de sécurité, les bonnes pratiques en matière de choix du mot de passe ont du mal à s’imposer. Il résulte des études les plus récente que les comptes piratés utilisaient souvent « 123456 » comme mot de passe … ou le mot « password » ou les combinaisons « 111111 » et « 12345 » qui figurent toujours dans le top 10 des mots de passe les plus populaires… Voici d’ailleurs le « top 5 » des mots de passe les plus utilisés aux États-Unis et en Europe, à savoir : (1) « 123456 » ; (2) « 123456789 » ; (3) « picture1 » ; (4) « password » et (5) « 12345678 ». En France, le classement est légèrement différent puisque les mots de passe les plus fréquents sont : (1) « 123456 », (2) « 123456789 », puis (3) « Azerty » et (4) « Qwerty ». Trop connus et trop simples, ces mots de passe ne sont pas sécurisés du tout !

Par ailleurs, une étude récente démontre que 11 % des internautes réutilisent les mêmes mots de passe pour tous leurs comptes, tandis que 40 % le font « parfois » pour des comptes qu’ils estiment peu sensibles. En 2020, une étude rappelait d’ailleurs que 91 % d’entre nous savent que l’utilisation d’un même mot de passe ou d’une variante de celui-ci sur plusieurs comptes constitue un risque, mais que… 66 % le font quand même.Enfin, il y a tous les internautes qui croient pouvoir faire confiance à leur mémoire et qui oublient sans cesse leurs mots de passe dès qu’ils sont trop complexes ou qu’ils diffèrent d’un site à l’autre.

Et qui sont les utilisateurs de mots de passe les plus imprudents d’après vous ? On aurait pu penser que les jeunes internautes seraient un peu plus sensibilisés à ce sujet que leurs aînés, mais il n’en est rien.

C’est justement ce qui ressort d’une enquête que vient de mener la société BeyondIdentity auprès de 1 000 citoyens américains. Cette étude nous apprend que 24 % des membres de la génération Z (nés entre 1995 et 2010) déclarent réutiliser leurs mots de passe, contre 14 % des millienials (nés entre 1980 et 2000) et seulement 6% des baby-boomers (nés entre 1945 et 1960) ! De même, le sondage a permis de voir qu’en moyenne 20 % des personnes interrogées ne changent leurs mots de passe qu’une fois par an. Ce chiffre monte à 30 % pour les membres de la génération Z !

« Dans toute la chaîne de sécurité numérique, le maillon le plus faible demeure l’utilisateur, qui manque encore de maturité quant à l’importance des données d’authentification. (…) C’est bien pour cela qu’il faut abandonner l’utilisation simple du mot de passe », résume Christelle André-Pons, consultante en cybersécurité. Même au sein des entreprises, les études révèlent que l’usage de mots de passe professionnels forts est loin d’être le principe le plus largement répandu.

Depuis le milieu des années 2010, il paraît clair que le principe de l’utilisation des mots de passe ne convient plus. Les mots de passe sont devenus une sorte de cauchemar, mal-aimé des utilisateurs. « Les mots de passe ne sont pas sécurisés, ils sont mal commodes, coûtent cher et personne ne les aime », publiaitMicrosoft sur son blog en 2018.

Une étude récente a été menée sur plus de 2000 personnes aux Etats-Unis concernant les mots de passe. Il en résulte qu’il y existe chez les utilisateurs (non, vous n’êtes donc pas les seuls !) une « anxiété des mots de passe ». En clair, 64 % des répondants à cette étude ont affirmé qu’ils évitent de se connecter à certains sites web ou comptes parce qu’ils ont oublié leurs identifiants. Dans cette même étude, les internautes américains ont répondu à 70% qu’ils estiment avoir trop de mots de passe différents à retenir, ce qui les conduit à adopter des conduites à risque en matière de sécurité vues ci-dessus.

D’innombrables solutions ont été imaginées pour tenter de s’affranchir des mots de passe, y compris des idées extrêmes.

L’implantation de puces électroniques d’identification, des solutions à base de blockchains proposant des solutions d’identification décentralisées où l’usager conserve localement toutes ses données personnelles, et d’autres solutions (comme la biométrie faciale avec l’empreinte rétinienne ou le réseau veineux oculaire par exemple, la reconnaissance vocale, l’empreinte digitale, la fréquence cardiaque, des clés matérielles, des codes QR associant un utilisateur à une identité lors d’une procédure d’authentification, etc.) sont à l’étude pour parvenir à des authentifications sans mot de passe.

Cette dernière est en effet attendue, même par les géants du Web, comme la prochaine avancée majeure dans le domaine du numérique et en matière de transformation numérique. Les entreprises du secteur s’engagent ainsi dans un voyage destiné à permettre de s’affranchir des mots de passe. Mais « À court ou moyen terme, on ne pourra pas éliminer les mots de passe ; ils resteront indispensables, pendant encore longtemps », estime Christelle André-Pons que nous avons citée plus haut.

Les concepteurs des futurs systèmes d’identification personnelle doivent relever un défi aux multiples facettes : garantir un niveau de sécurité de plus en plus élevé, offrir une expérience utilisateur qui demeure simple et conviviale, mais également respecter et préserver la vie privée des citoyens (bien au-delà du RGPD).

Autrement dit, ce qui n’était à l’origine qu’un procédé basique pour s’identifier sur un ordinateur devient aujourd’hui une problématique complexe, à la fois technique, économique et sociétale. On estime qu’au moins cinq années seront encore nécessaires pour pouvoir imaginer pouvoir utiliser d’autres techniques que les mots de passe pour sécuriser des services en ligne.

En l’attente de ces évolutions, dont votre Treasy ne manquera pas de s’emparer dès qu’elles seront disponibles et fiables, nous vous recommandons toujours de sécuriser votre coffre Treasy au moyen d’un mot de passe unique et sûr, que vous seul connaissez et mémorisez.

Si vous manquez d’idées, vous pouvez visiter le générateur de mots de passe de la CNIL : ici. Ou encore tenir compte de l’opinion de l’agence britannique National Cyber Security Center (NCSC), qui vient de publier une note de recommandation invitant à utiliser une combinaison de trois mots « choisis au hasard, mais faciles à retenir » plutôt que des variations complexes de lettres, de chiffres et de symboles, car un tel mot de passe serait plus sécurisé : plus long, plus facile à retenir, moins prévisible, plus pratique et donc plus efficace.

 Vous pouvez encore renforcer cela avec l’installation d’une authentification à doubles facteurs, pour augmenter encore votre sécurité.