Comment savoir si un site stocke les mots de passe sous forme de texte en clair (et que faire)

Added 2019-03-01

Chaque fois que vous vous enregistrez sur un site, vous lui faites confiance avec vos données personnelles. Ils ont au moins accès à votre adresse électronique, et probablement beaucoup plus, y compris, bien sûr, votre mot de passe.

Mais comment savoir si le site prend bien soin de vos informations personnelles? Pourquoi est-ce un problème lorsque les sites stockent les détails de compte en texte brut? Et que pouvez-vous faire à ce sujet?

Qu'est-ce que Plaintext? Pourquoi est-ce un problème?

Le texte en clair est exactement ce que cela ressemble: votre mot de passe est stocké exactement comme vous l'écrivez.

Disons qu'un site que vous utilisez a été piraté. Le pirate informatique a accès à une liste de comptes avec des mots de passe notés. Supposons que votre mot de passe est "Pa $$ w0rd" (et nous espérons vraiment que ce n’est pas le cas). Le cybercriminel peut parcourir la liste, trouver votre adresse électronique et savoir que votre identifiant de connexion «sécurisé» est «Pa $$ w0rd».

Le gros problème, c’est que votre mot de passe n’est pas obscur et indéchiffrable. Parce que toute personne ayant accès à votre compte peut le lire, aussi facilement que vous lisez ceci.

C’est encore plus inquiétant si vous utilisez le même mot de passe sur de nombreuses plateformes.  déconseille de le faire pour cette raison, comme le font tous les experts en sécurité. Néanmoins, nous comprenons la tentation de nous en tenir à un mot de passe facile à retenir.

Mais si vous le faites, vous risquez que les pirates utilisent des sources de texte en clair pour accéder à vos comptes bancaires en ligne, votre Facebook et tout ce que vous dupliquez le mot de passe.

Environ 30% des sites de commerce électronique stockent leurs mots de passe en texte clair. Ce n'est pas quelque chose que nous pouvons facilement oublier.

Ce n’est pas confiné à de petits sites indépendants non plus. Certaines grandes entreprises ont été pris au piège, notamment la LNH, Match.com, LinkedIn, le National Trust et Vodafone. Heureusement, ils ont depuis implémenté des méthodes de stockage plus sécurisées.

Comment les mots de passe peuvent-ils être stockés en toute sécurité?

Quelle est l’alternative au texte en clair? En fait, il existe quelques options pour stocker les mots de passe, mais toutes ne sont pas aussi sécurisées qu'elles le paraissent initialement.

De nombreux sites utilisent une fonction de hachage, qui transforme votre mot de passe en un autre ensemble de chiffres. Si un pirate informatique entre, il ne peut voir que ces caractères aléatoires. C’est un algorithme imparfait, car chaque fois que vous entrez votre mot de passe, il génère le même hash. Le système s'assure ensuite de la corrélation entre ces chiffres pour vous permettre d'accéder à votre compte.

Et oui, ils peuvent être fissurés, en particulier par des attaques par force brute.

Toutefois, si vous exploitez un site de commerce électronique, vous devriez plutôt utiliser des hachages salés. Celles-ci suivent le même principe, mais des chiffres supplémentaires réservent votre mot de passe avant qu’il n’entre dans l’algorithme de hachage.

Les hachages lents sont encore meilleurs - ils limitent le nombre de fois qu'un pirate informatique peut attaquer l'ensemble de données par seconde. Si un cybercriminel sait qu'il faudra plus de temps pour déchiffrer un mot de passe, il est moins susceptible de cibler son compte.

Comment savoir si un site stocke les mots de passe en tant que texte en clair

Il est difficile de dire si vous ne travaillez pas pour la société en question. Et si vous le faites, vous devez avertir votre équipe technique que le stockage de données privées en texte clair est contraire à l'éthique.

Néanmoins, il existe un bon indicateur à suivre. Si vous créez un compte et que le site vous envoie un email contenant votre mot de passe, celui-ci est probablement stocké en texte brut.

Ils ne sont certainement pas sécurisés si vous cliquez sur «Mot de passe oublié» et qu’ils vous l’envoient par courrier électronique. Si cela avait été crypté, ils ne pourraient pas le faire. Au lieu de cela, vous devez vérifier qu’il s’agit de votre compte, puis réinitialiser votre mot de passe.

Les e-mails ne sont de toute façon pas sécurisés. Ils sont susceptibles de piratage. Même si le site ne stocke pas vos informations en texte clair, vous envoyer un message détaillé n’est pas sûr.

Si vous souhaitez adopter une approche approfondie de vos actifs en ligne, utilisez un mot de passe réservé lors de votre inscription dans une boutique en ligne. Cliquez ensuite sur «Mot de passe perdu» (ou une variante de celui-ci) et vérifiez votre courrier électronique. Si la seule option est de le réinitialiser, faites-le.

Dans le cas contraire, si vous voyez clairement votre mot de passe de substitution dans votre boîte de réception, il s'agit d'un signe inquiétant.

Vous pouvez également vérifier Délinquants en clair , un site dédié aux entreprises qui ne prennent pas votre sécurité suffisamment au sérieux.

Que peux-tu y faire?

Si vous pensez qu'un site stocke votre mot de passe en texte brut, envoyez-le par courrier électronique. Demandez-leur de répondre à vos préoccupations.

Vérifiez en tapant votre adresse email dans Ai-je été pwned .

Les gestionnaires de mots de passe sécurisent-ils le texte en clair?

Les gestionnaires de mots de passe sont un moyen astucieux de protéger vos informations d'identification sans avoir à vous souvenir de tous. Vous utilisez un mot de passe sécurisé pour accéder au gestionnaire qui connaît le reste pour vous.

Mais ils n’aident pas les sites à combattre en texte clair. Le gestionnaire est un système de stockage pour votre sécurité, pas celui du site. Vos données personnelles seront toujours lisibles si quelqu'un accède à votre compte.

Les mots de passe en clair ne sont pas sécurisés!

En clair, cela signifie simplement que votre mot de passe est stocké exactement comme vous l'écrivez. Et c’est un problème, car les pirates informatiques peuvent le lire facilement.

Une fois inscrit sur un site, les courriels de bienvenue que vous avez reçus ne devraient pas inclure votre mot de passe. s’ils le font, cela indique qu’un compte utilise du texte en clair. Si vous cliquez sur "Mot de passe oublié" et que le mot de passe vous est envoyé par e-mail, cela signifie que vos informations personnelles sont conservées de manière non sécurisée.