Un mot de passe déjà utilisé ailleurs
Le rang le plus impersonnel du tableau. Personne ne vous cherche, et c’est justement pour cela que cela fonctionne à grande échelle.
- Fréquence
- Courant
- Montant
- Le compte et ce qu’il contient
- Récupérable
- Parfois
- Coût de la prévention
- Dix minutes, une fois
Unique, pas fort
La force protège contre la devinette, et ici personne ne devine. L’attaque est un couple fuité d’un service tiers qu’un programme essaie partout. Un mot de passe long et compliqué réutilisé là où il a fuité est exactement aussi inutile qu’un court, et il s’accompagne en prime de plus d’assurance.
Contre quoi sert un deuxième facteur
| Attaque | Arrêtée ? |
|---|---|
| Un mot de passe fuité essayé plus tard | Oui, complètement. C’est exactement à cela qu’il sert. |
| Une copie vivante de la page de connexion | Non. Elle récolte le mot de passe et le code ensemble et les rejoue tant que le code est valable. |
| Quelque chose sur votre propre machine | Non. Du côté du compte, rien n’aide. |
Il ferme donc ce rang et ne fait rien contre le deuxième. Deux problèmes différents qui se ressemblent et demandent des réponses différentes.
Où la réutilisation se produit en pratique
| Schéma | Pourquoi on le fait | Pourquoi il échoue |
|---|---|---|
| Le même partout | Il n’y a qu’une chose à retenir | Une fuite n’importe où est une fuite ici |
| Une base avec un suffixe par site | Cela paraît méthodique | Se déduit en quelques secondes avec deux exemples |
| Un ancien promu à un usage important | Il est familier | Familier veut dire assez vieux pour avoir fuité |
| Un mot de passe fort utilisé deux fois | La force semble suffire | La force n’a rien à voir avec cette attaque |
Ce qu’on regrette ensuite
Les codes de récupération, enregistrés à la configuration, avant de fermer la page, séparés du mot de passe et pas sur un seul appareil. Sans eux la récupération est limitée et souvent impossible, et la pire position est d’avoir du solde derrière une vérification à laquelle on ne peut plus répondre.