Tout le monde s'est habitué à voir des "étoiles" quand il saisi son mot de passe sur un système, une application ou un site web.
Et ben, Jakob Nielsen appel tout bonnement à ne plus masquer les mots de passe et à les afficher en clair !
Attention, apparemment, ce n'est pas n'importe qui : co-fondateur du Nielsen Norman Group, ancien Ingénieur Sun Microsystems et auteur de plusieurs livres.
Il base son argumentaire sur le fait que l'apport en sécurité du masquage des mots de passe est négligeable par rapport aux problèmes qu'il induit.
Selon lui, d'une part, c'est rare qu'une personne se penche au dessus de vos épaules pour voir ce que vous tapez, mais d'autre part, masquer le mot de passe cause des erreurs répetées des utilisateurs, ce qui les fait, soit déserter le site en question (manque à gangner) ou choississent des mots de passe trop simple (dégradatoin du niveau de sécurité).
Vous voyez, ça ne manque pas de logique !
Et pour donner plus de crédibilité à cette idée, le célèbre cryptologue Bruce Schneier apporte son grain de sel on disant tout simplement "I agree with this".
Mais au-delà de cette idée et la polimique qu'elle peut génerer, cette histoire me rappel un billet que j'ai lu il y a quelques jours dans mon flux RSS. C'est une autre figure de la sécurité, Rich Mogull, qui fait une digression sur la nécessité en sécurité (et dans la vie en général) d'avoir une attitude "sceptique" envers notre environnement, et surout envers nos présumées "certitudes".
C'est en somme, être à la fois parano et d'un esprit scientifique !!
Difficile mode de vie à mener :)
.
Il y a 3 ans
26 juin 2009 à 22:42
d'une part il a raison et d'autre part non
le plus simple est de proposer une zone ou le mot de passe est masqué et une autre zone le mdp est visible
27 juin 2009 à 21:00
mwé, il est vrai qu'on n'a pas souvent qqn derrière notre dos, mais rien ne nous laisse penser que cela va encourager une grande partie des utilisateurs à choisir des mots de passes compliqués. AMHA, ça pourrait même réduire le degré de confidentialité du mot de passe dans l'esprit de l'utilisateur à force de le voir en clair.
Le risque représenté par les trojans qui font des screenshots périodiquement n'est pas à négliger.
F-Secure recommandait récemment d'écrire une partie du mot de passe sur un post-it, tout en utilisant une méthode mnémotechnique pour reconstruire le mot de passe en entier. Perso, j'utilisais déjà la même méthode (sans le post-it) pour construire un mot de passe unique pour chaque site.
http://www.f-secure.com/weblog/archives/00001691.html
Confronté au problème de la police de sécurité des mdp dans mon travail quotidien (avec les utilisateurs finaux), j'arrive surtout à la conclusion que l'avenir est à l'authentification forte.
27 juin 2009 à 22:20
Avec tout le respect que je dois à ce monsieur, je trouve son idée totalement stupide, un mot de passe affiché en claire ou pas ne change en rien la difficulté de mémorisation que rencontre certaines personnes.
Ca ne rend pas la saisie plus fastidieuse car visible ou pas, il faut bien taper son mot de passe, certes on peut pas vérifier la saisie qu'on a effectué, néanmoins, on peut compter le nombre de lettre ce qui est déjà un indicateur assez précis.
D'autre part, masquer le mot de passe ne permet pas uniquement de se protéger des voyeurs mais aussi d'utiliser la fonction de mémorisation de mot de passe, en effet, si une personne utilise mon PC frauduleusement, elle pourra certes accéder à mes données comme mon passe est sauvegardé sur la machine mais il ne pourra pas modifier celui-ci ou le recopier pour accéder à mes données ultérieurement. Certes, il y a une limite à cette protection puisqu'il existe des logiciels permettant d'afficher en claire les boules noires.
28 juin 2009 à 12:41
Alors, oui, l'idée est de premier abord "stupide"...mais bon, ma compréhension de ce que veut dire ce Monsieur (et avec lui Schneier) c'est justement arrêtons de baser notre sécurité sur des mécanismes dépassés, sans réelle efficacité et stupides :)
La priorité devrait être donné à l'utilisabilité (usability chère justement à Jakob Nielsen) des services ... après, les mesures de sécurité devraient assurer, d'une façon transparente, que cette utilisation ne mette pas en danger les personnes et les systèmes .... difficile compromis, c'est vrai, mais justement là le challenge de la sécurité de demain .
28 juin 2009 à 16:31
@salah :
Je ne trouve pas que le masquage du mot de passe soit stupide ou dépassé, il offre un minimum d'intimité.
Il est certain que la sécurité d'un système doit se baser sur plus que ça, néanmoins son utilité est réelle.
Personnellement, j'ajouterai que souvent dans des systèmes ouverts au grand public, le principal maillon faible en terme de sécurité est l'utilisateur lambda du système... en gros, Monsieur tout le monde.
30 juin 2009 à 01:48
Je trouve que le sujet est intéressant en effet :)
Mais quelle est la solution proposée ?
Je trouve que cacher son mot de passe ne sert pas juste à se protéger des gens qui regarde votre écran par dessus l'épaule mais aussi au probable logiciel espion qui fait des captures de votre écran (donc de ce que vous saisissez avec votre clavier et qui apparait à l'écran). Des captures d'écran envoyés à un patron ou tout simplement sur l'email d'une personne malveillante à vos insu.
Quant aux erreurs de saisies, le problème étant toujours le même : c'est à dire ce qu'il y a entre la chaise et le clavier ou en d'autres mots: l'utilisateur.
Cela dit; y'a-t-il autre moyen que le clavier (lettres, chiffres et symboles) pour constituer son mot de passe ? Peut ont constituer son mot de passe avec son empreinte digitale ? Peut ont le faire avec l'iris de l'oeil ? Et si'on mixait les deux pour en faire plus compliqué ?
Le sujet est complexe mais mérite, en effet d'être abordé. En ce qui me concerne et momentanément, je préfère garde le "floutage" du mot de passe.
Salutations amicales
1 juillet 2009 à 18:54
Bon moi je pense que les mots de passe cacher c'est fait dans un butes de donner un sentiment de sécurité (illusoire...) a l'utilisateur -psychologiquement si il vois que son passe est en étoiles et que même lui ne peut pas le lire il sera plus confiant du système de sécurité... touts est illusion
1 juillet 2009 à 19:54
@dragoun :
En fait, c'est une des griefs de ces personnes envers cette "mesure de sécurité" :)
2 juillet 2009 à 20:57
Un billet réponse intéressant ... même certains commentaires :)
https://blogs.sans.org/appsecstreetfighter/2009/06/28/response-to-nielsens-stop-password-masking/