S'identifier / Créer un compte
  • Actualités
  • Dossiers
  • Tests
  • Commentaires
  • INpactiens
Publicité

Quels sont les 25 plus mauvais mots de passe sur Internet ?

Y'a du lourd

Pour utiliser le compte d’un tiers, il n’est pas toujours nécessaire d’être un grand pirate digne d’une série où l’on tapote à vitesse grand V uniquement avec ses index. Il faut dire que les mots de passe de certains internautes sont d’une simplicité telle que cela en est inquiétant. SplashData a d’ailleurs publié via Mashable le top 25 des pires mots de passe référencés :
  1. password
  2. 123456
  3. 12345678
  4. qwerty
  5. abc123
  6. monkey
  7. 1234567
  8. letmein
  9. trustno1
  10. dragon
  11. baseball
  12. 111111
  13. iloveyou
  14. master
  15. sunshine
  16. ashley
  17. bailey
  18. passw0rd
  19. shadow
  20. 123123
  21. 654321
  22. superman
  23. qazwsx
  24. michael
  25. football
Ce n’est pas notre première actualité sur le sujet et diverses tendances ressortent. On retrouve donc des suites de chiffres simples (123456, 111111, etc.), des suites de lettres et chiffres basiques (abc123), des prénoms connus et encore les éternels « iloveyou », « master », « password », etc.

Les internautes vont trop vers la simplicité

On se rappellera qu’en juin dernier, peu après les attaques subies par Sony, une étude avait montré que les internautes se contentaient de mots de passe assez courts (entre 6 et 8 caractères) et que plus de la moitié n’avait qu’un seul type de caractères, que des chiffres ou que des lettres en somme. Et 96 % d’entre eux n’avaient que deux types de caractères différents.

Sony mot de passe password analyse
Malheureusement, les gens n'utilisent qu'un ou deux types de caractères dans leurs mots de passe

Dans le top 25 des mots de passe les plus utilisés à l’époque, nous retrouvions notamment « password », « 123456 », « michael », « sunshine », « abc123 », « ashley », « bailey » et « shadow ». Si quelqu’un veut pirater un compte, il sait déjà par où commencer…

Quelques conseils

Pour rappel, voici ce que l’on recommande lors de la création d’un mot de passe :
  • inclure des chiffres, des lettres, minuscules et majuscules, et si possible un autre type de caractère (PCin_PacT$4823 par exemple)
  • évitez un mot de passe trop court : au moins une dizaine de caractères.
  • éviter les suites logiques (123456, abcdef) ou un nom ou un prénom (encore moins un nom ou un prénom connus)
  • évitez les mots entiers et préférez les mots inventés par vous-même
  • évitez d’utiliser votre propre nom, celui de votre société, etc.
  • évitez d’utiliser le même mot de passe pour tous vos comptes
MàJ : vous pouvez aussi consulter ce tutoriel sur notre forum, il vous permettra peut-être d'imaginer de meilleurs mots de passe.
Nil Sanyas

Journaliste, éditorialiste, créateur des LIDD, aime les interviews insolites et les tablettes tactiles (malgré leurs défauts). Essentiellement présent sur Google+.

Google+

Publiée le 21/11/2011 à 16:07

Soutenez l'indépendance de Next INpact en devenant Premium

  • Tout le contenu de Next INpact sans pub
  • Et bien plus encore...

Il y a 127 commentaires

Avatar de youri_1er INpactien
youri_1er Le lundi 21 novembre 2011 à 17:03:41
Inscrit le jeudi 8 septembre 05 - 14719 commentaires
le soucis c'est la multiplication des MDP.
Je veu bien me trouver 2 ou 3 MDP pour des sites, mais franchement avoir unMDP par site complexe, avec des caractères respectant bien les besoins de chaques sites (une majuscule au début, pas d'espace, pas de caratére spéciaux et plus de 8 caratéres pour l'un et moins de 12 caractéres pour l'autre tout type inclus sauf espace ... et ainsi de suite)
Après ben tu fout des MDP sur des post-it pour chaque site (pire tu les écris dans un fichier texte en clair) et la sécurité de tes MDP est cassé en 156 seconde!

Le tout pour quoi? empêcher quelqu'un de voir notre adresse mail ou de jouer avec notre pseudo sur un site ... franchement ça vaut pas le coup de s'emmerder!
Avatar de uzak INpactien
uzak Le lundi 21 novembre 2011 à 17:05:04
Inscrit le vendredi 12 mai 06 - 6882 commentaires
même pas de foo ou de bar

Sinon je recommande les mots de passe avec des caractères qu'on ne peut pas faire au clavier : Ç É æ ƒ ... (je vais faire tous les ALT + XXXX non plus )

Et comme ça, quand t'arrives sur un mac, tu peux plus le taper. De plus, faut rester dans l'encodage...
Avatar de Fuinril INpactien
Fuinril Le lundi 21 novembre 2011 à 17:08:47
Inscrit le jeudi 8 avril 10 - 2611 commentaires

Honnêtement, ça n'apporte pas grand chose d'utiliser des caractères spéciaux ou des différences de casses.


Alors je suis pas expert en sécurité ni statisticien mais des vagues souvenirs que j'ai nous avons, pour chaque caractère :

_numérique : une chance sur 10
_alphabétique : une chance sur 26
_alphabétique avec casse : une chance sur 52
_alphanumérique avec casse et caractères spéciaux : une chance sur 93

Le tout à la puissance du nombre de caractères (dans les deux cas). J'ai du mal a voir comment ça peut "ne pas apporter grand chose" en terme de sécurité....

Après reste les problèmes de comment est codé le bruteforce, mais bon... Et pour le problème des utilisateurs qui oublient leur mot de passe je dirai que ça sort de l'usage des bonnes pratiques et entre dans la catégorie "bon sens".

Et au passage "PCin_PacT$4823" a quand même nettement moins de chance de se retrouver dans un dictionnaire que "lespoulesaurontdesdents"....
Avatar de All_INpact INpactien
All_INpact Le lundi 21 novembre 2011 à 17:15:14
Inscrit le lundi 20 novembre 06 - 1130 commentaires
le leet fait partie intégrante des dictionnaires de bruteforce.

tant que les sites demanderont des mdp en http et non https, que les fichiers password.txt des user seront sur les sites en lignes, l'utilisateur pourra faire ce qu'il veut, il se fera avoir.

Il n'y pas qu'un pb d'interface ecran/clavier, il y a aussi des admins vraiment mauvais (et qui font la joie des hackers qui tombent sur ça et enrichissent leurs bd de mdp)
Avatar de CrazyCaro INpactienne
CrazyCaro Le lundi 21 novembre 2011 à 17:16:09
Inscrite le lundi 14 mai 07 - 554 commentaires
alors que :
L@T3teD@nSl35Ch0ux
c'est la misère à retenir

sauf si tu parles le 1337 simplifié

PS : J'aime bien les pass de MaxObélix, sauf que c'est facile à deviner : ça te donne faim, donc tu en achètes, donc ça laisse un indice
Avatar de maestro321 INpactien
maestro321 Le lundi 21 novembre 2011 à 17:17:17
Inscrit le vendredi 9 avril 10 - 2626 commentaires
Le tout à la puissance du nombre de caractères (dans les deux cas). J'ai du mal a voir comment ça peut "ne pas apporter grand chose" en terme de sécurité....

Statistiquement, c'est plus valable d'ajouter un caractère que de changer la case d'une lettre (ce qui est un bout d'explication probable)
Et au passage "PCin_PacT$4823" a quand même nettement moins de chance de se retrouver dans un dictionnaire que "lespoulesaurontdesdents"....

Ca dépend complètement de la technique d'attaque utilisée, par brutforce sans dictionnaire c'est PCin_PacT$4823 qui va tomber en premier, et avec dictionnaire, il faudrais qu'il contienne exactement "lespoulesaurontdesdents", ce qui est très peu probable.
Avatar de MilesTEG1 INpactien
MilesTEG1 Le lundi 21 novembre 2011 à 17:20:28
Inscrit le mardi 9 août 05 - 160 commentaires
le soucis c'est la multiplication des MDP.
Je veu bien me trouver 2 ou 3 MDP pour des sites, mais franchement avoir unMDP par site complexe, avec des caractères respectant bien les besoins de chaques sites (une majuscule au début, pas d'espace, pas de caratére spéciaux et plus de 8 caratéres pour l'un et moins de 12 caractéres pour l'autre tout type inclus sauf espace ... et ainsi de suite)
Après ben tu fout des MDP sur des post-it pour chaque site (pire tu les écris dans un fichier texte en clair) et la sécurité de tes MDP est cassé en 156 seconde!

Le tout pour quoi? empêcher quelqu'un de voir notre adresse mail ou de jouer avec notre pseudo sur un site ... franchement ça vaut pas le coup de s'emmerder!

Pour retenir un paquet de MDP bien costaud, faut soit avoir une mémoire d'éléphant, soit avoir KeePass, mais là encore, vaut mieux bien retenir LE mdp costaud pour rentrer, sinon...
Avatar de youri_1er INpactien
youri_1er Le lundi 21 novembre 2011 à 17:26:15
Inscrit le jeudi 8 septembre 05 - 14719 commentaires

Pour retenir un paquet de MDP bien costaud, faut soit avoir une mémoire d'éléphant, soit avoir KeePass, mais là encore, vaut mieux bien retenir LE mdp costaud pour rentrer, sinon...

Le truc c'est que je préfères 5 mots de passe "simples" pour les usages sans risque et un bien complexe que j'utilise pour les risque plus grand, qu'un seul bien complexe qui, une fois casser donnera accès à tous ses MDP et site en relation!
Avatar de Kervala INpactien
Kervala Le lundi 21 novembre 2011 à 17:26:34
Inscrit le lundi 3 mars 08 - 238 commentaires
C'est pas vraiment les mots de passe le problème, c'est plutôt les admins/développeurs qui ne bloquent pas le compte/bannissent l'IP après 2-3 essais.

Si c'était le cas, même avec un mot de passe facile, il serait difficile à trouver.

Pour ma part, j'ai plusieurs mots de passe plus ou moins complexe en fonction de la confiance que j'ai pour le site sur lequel je m'inscris.

Si c'est un compte pour un site douteux et dont j'ai besoin rarement, je vais utiliser un mot de passe bidon de telle sorte que si je me fais voler mon compte, je ne risque rien par la suite.
Avatar de Consultant INpactien
Consultant Le lundi 21 novembre 2011 à 17:28:33
Inscrit le mardi 13 juin 06 - 18231 commentaires
si je peux me permettre , un peu de lecture :

http://fr.wikipedia.org/wiki/Authentification_forte
;