La fin de l'ère du mot de passe, mais pas la fin de la sécurité des données

Pourquoi les mots de passe s'effondrent

Les gens ont besoin de simplicité. Mémoriser un long mélange de lettres, de chiffres et de symboles est un problème, donc la plupart choisissent quelque chose de rapide et facile. Mais même si vous avez été suffisamment discipliné pour créer un mot de passe complexe, il est toujours stocké dans la base de données d’une entreprise.

Et les bases de données sont piratées.

Régulière.

Fuites de mot de passe : quelques histoires à considérer

• McDonald's, 2025: Un chatbot d'embauche propulsé par l'AI fonctionnait avec l'identifiant Admin et le mot de passe 123456. Le résultat ? Plus de 64 millions de demandes d'emploi ont été divulguées, y compris les numéros de téléphone, les adresses électroniques, l'éducation et l'historique du travail. [1]
• Yahoo, 2013: La plus grande brèche de l'histoire: plus de 3 milliards de comptes ont été compromises, y compris les mots de passe et les questions de sécurité. [2]

Ces histoires ont une grande chose en commun : même les entreprises qui ont des budgets de cybersécurité de plusieurs millions de dollars ne sont pas immunisées contre l’échec.

Meilleures pratiques pour le stockage des mots de passe

Même si nous déplaçons les mots de passe passés, ils sont encore largement utilisés. Il vaut donc mieux comprendre comment les stocker correctement — surtout si vous exécutez une plateforme ou une application.

Ne jamais stocker les mots de passe en texte brut

Les mots de passe doivent toujours être hachés en utilisant des algorithmes forts comme bcrypt ou argon2. Il est donc coûteux de les inverser sur le plan informatique.

Ajouter du sel

Salting assure que même si deux utilisateurs choisissent le même mot de passe, leurs hachages seront différents. Il s'agit d'une protection critique contre les attaques de tables arc-en-ciel.

Utiliser l'étirement des touches

Cette technique rend les tentatives de force brute beaucoup plus lentes, vous fait gagner du temps et réduit les risques en cas d'infraction.

Pourtant, même avec ces pratiques, le simple fait que les références des utilisateurs soient stockées sur des serveurs en fait une cible potentielle. C'est pourquoi l'objectif devrait être d'éliminer complètement le stockage des mots de passe.

Meilleures pratiques pour la construction et la réutilisation du mot de passe

Si vous devez utiliser des mots de passe, voici comment le faire en toute sécurité :

Utiliser des mots de passe longs et aléatoires

Longueur > complexité. Un mot de passe aléatoire à 20 caractères est bien plus sûr qu'un mot de passe court avec des symboles. Exemple : qH7T#sY9!GmK3*vBxZlP

Éviter de réutiliser les mots de passe

Un mot de passe réutilisé = accès à tous vos comptes. Les fuites de données permettent aux attaquants d'essayer facilement les mêmes informations d'identification sur plusieurs sites (appelées farcissement des identifiants).

Utiliser un gestionnaire de mots de passe

Cela vous aide à générer et à stocker des mots de passe uniques et solides pour chaque site, réduisant votre charge mentale et renforçant la sécurité.

Mais même le meilleur mot de passe est encore juste... un mot de passe. Il peut être deviné, hameçonné, divulgué ou forcé à la brutalité.

Qu'est-ce que l'authentification multi-facteurs et pourquoi est-ce important ?

Authentification multi-facteurs (MFA) ajoute une couche de protection seconde (ou troisième) combinant quelque chose que vous savez (mot de passe), quelque chose que vous avez (périphérique), ou quelque chose que vous êtes (biométrique). Par exemple :

• Mot de passe + code SMS
• Mot de passe + application d'authentification mobile (TOTP)
• Mot de passe + empreinte digitale

L’AMF réduit considérablement les risques de prise de compte, en particulier dans les cas où des mots de passe ont été divulgués ou volés. Mais ce n'est pas parfait :

• Les codes SMS peuvent être interceptés via les attaques d'échange de la SIM
• Les applications d'authentification sont seulement aussi sécurisées que l'appareil qu'elles vivent sur Pourtant, l'authentification est indispensable lorsque vous utilisez des systèmes basés sur un mot de passe. C'est l'équivalent de mettre un verrou sur votre porte au lieu de vous reposer sur un simple verrou de serrure.

Le défaut principal de l'ancien modèle de mot de passe

Un mot de passe est une seule clé. Vous la remettez à quelqu'un d'autre et j'espère qu'elle la gardera en sécurité. Mais en cas d'échec, un étranger a accès à votre « maison». Voici donc la question : devriez-vous vraiment faire confiance à quelqu’un d’autre avec votre seule clé ?

Lorsque les comptes disparaissent : l'approche NymVPN

Imaginez un service avec :

• Pas de connexion
• Aucun mot de passe
• Aucune base de données d'authentification massive à pirater

Au lieu de comptes traditionnels, NymVPN utilise une phrase de graine — une combinaison unique de mots qui sert de clé privée. Cela signifie que vous ne vous enregistrez pas, que vous ne créez pas de nom d’utilisateur ou de mot de passe et que vous ne dépendez d’aucune autorité centralisée pour gérer votre identité.

Qu'est-ce qu'une phrase de graine ?

Une phrase de graine (également appelée phrase de récupération ou phrase secrète) est une séquence de mots générés aléatoirement 12 ou 24 mots. Il représente votre identité cryptographique et est utilisé pour générer des clés privées de manière sécurisée.

Exemple (ne pas utiliser celui-ci) :

Le liquide de banane acoustique fait fondre le virus de tortue noire saveur de ciment célèbre oignon

Cette phrase est uniquement affichée pour vous lors de l'installation. Il n'est jamais stocké sur un serveur NymVPN ou transmis sur Internet. Vous êtes le seul propriétaire et le seul gardien de cette phrase.

Pourquoi est-il plus sécuritaire

Parce qu'il n'y a rien stocké sur un serveur, même si NymVPN a été piraté, il n'y a rien à voler pour les attaquants :

• Aucune base de données des identifiants de l'utilisateur
• Aucun journal de session lié aux identités
• Aucun e-mail de récupération pouvant être falsifié

La phrase de graine existe uniquement sur votre appareil, et idéalement vous le stockez hors ligne — écrit sur papier ou enregistré dans un gestionnaire de mots de passe sécurisé ou un portefeuille matériel.

Quelles sont les preuves de la connaissance zéro — et pourquoi est-ce important ?

Zero-knowledge proofs (ZKPs) est un puissant outil de protection de la vie privée qui vous permet de prouver que quelque chose est vrai sans révéler les informations réelles derrière lui.

Imaginez être en mesure de prouver que vous avez plus de 18 ans sans montrer votre date de naissance, ou prouver que vous avez payé un service sans révéler les détails de votre identité ou de votre transaction. C'est la magie des ZKPs: ils séparent la vérification de l'exposition des données.

Dans le contexte de Nym, des preuves de connaissance zéro sous la forme de zk-nyms aident les utilisateurs à vérifier l'accès ou la participation à NymVPN sans le lier à un compte spécifique ou révéler des données personnelles. Ils font partie de ce qui rend possible une infrastructure de protection de la vie privée comme Nym : un système où vous pouvez interagir en toute sécurité sans laisser de traces identifiables.

Les ZKPs déplacent le web d'un modèle "montrer tout pour prouver quoi que ce soit" vers un modèle plus intelligent, standard need-to-know-only — un standard qui respecte votre droit de rester privé par défaut.

Comment une phrase de graine donne accès

Chaque fois que vous ouvrez NymVPN, vous pouvez :

• Entrez votre phrase de graine pour générer à nouveau vos identifiants d'accès
• Ou stockez-le localement (chiffré) pour que vous n'ayez pas à le saisir à chaque fois

La graine est utilisée pour dériver une identité cryptographique qui prouve qui vous êtes — sans avoir besoin de vous « connecter » ou de prouver votre adresse e-mail à quiconque.

Cette méthode garantit que :

• Seul vous pouvez accéder à votre identité VPN
• Vous pouvez récupérer votre accès sur n'importe quel appareil en utilisant votre phrase de graine
• Votre identité numérique est portable, décentralisée et résistante à la censure

Cette approche n’est pas seulement une méthode de connexion intelligente — c’est un changement de paradigme dans la façon dont l’identité et la confidentialité fonctionnent en ligne.

Ce qui suit

Les mots de passe appartiennent au passé. Aujourd'hui, ils sont la cible principale des assaillants. Demain, ils ne seront probablement mémorisés que dans les livres d’histoire de la cybersécurité.

Le futur réside dans un modèle où votre clé d'accès vous appartient uniquement — et vous ne comptez plus sur les serveurs de quelqu'un d'autre pour la protéger.

Références

[1] Wired

[2] Reuters