Sécurisation des mots de passe 3.7.5

Ceci est un fichier de traduction en français, il ne remplace pas le module complémentaire.

---

Cette modification suit principalement les principes de l'estimateur de force de mot de passe Dan Wheelers zxcvbn. Il ne juge pas la force des mots de passe en fonction de leur combinaison de lettres majuscules/minuscules, de caractères spéciaux et de chiffres, mais sur la facilité avec laquelle ils sont à déchiffrer dans la réalité.

Pour augmenter la sécurité de votre compte utilisateur, vous pouvez les forcer à utiliser des mots de passe d'une longueur minimale, d'une force minimale et même les forcer à exclure certains mots de leurs mots de passe (comme le nom de votre site, le sujet auquel votre site fait référence, etc.) .

Mais l'autre côté de l'équation, quel que soit le niveau de sécurité du mot de passe, s'il a été compromis, l'estimateur de force du mot de passe ne contribuera pas à l'améliorer. En tant que tel, le NIST a les conseils suivants : vérifiez les mots de passe par rapport à ceux obtenus lors de précédentes violations de données. L'intégration de Pwned Password fait cela.


zxcvbn

---

zxcvbn est un estimateur de force de mot de passe inspiré des crackers de mot de passe. Grâce à la correspondance de modèles et à des calculs d'entropie conservateurs, il reconnaît et pèse 10 000 mots de passe communs, noms et noms communs selon les données du recensement américain, les mots anglais populaires et d'autres modèles courants tels que les dates, les répétitions (aaa), les séquences (abcd), les modèles de clavier ( qwertyuiop), et l33t parlent.

Envisagez d'utiliser zxcvbn comme alternative algorithmique à la politique de mot de passe - il est plus sécurisé, flexible et utilisable lorsque les sites nécessitent un score de complexité minimal à la place de règles ennuyeuses comme "les mots de passe doivent contenir trois des {inférieur, supérieur, chiffres, symboles}".

Pwned password

---

La réutilisation du mot de passe est classique. C'est extrêmement risqué, mais c'est si courant parce que c'est facile et que les gens ne sont pas conscients de l'impact potentiel.
Les attaques telles que le credential stuffing tirent parti des informations d'identification réutilisées en automatisant les tentatives de connexion contre les systèmes utilisant des e-mails et des paires de mots de passe connus.

Le service Pwned Passwords a été créé en août 2017 après que le NIST a publié des directives recommandant spécifiquement que les mots de passe fournis par les utilisateurs soient vérifiés par rapport aux violations de données existantes. La justification de ces conseils et suggestions sur la manière dont les applications peuvent exploiter ces données est décrite en détail dans le billet de blog intitulé Présentation de 306 millions de mots de passe Pwned téléchargeables gratuitement. En février 2018, la version 2 du service a été publiée avec plus d'un demi-milliard de mots de passe, chacun maintenant également avec un décompte du nombre de fois qu'ils ont été vus exposés.