Votre collègue a raison. Vous n'utilisez pas de mot de passe. Vous utilisez une phrase de passe. Et il y a de l'humour dans cette notion.
Comme l'a fait remarquer XKCD.com/936 : Password Strength (copié et visible dans Abhijit’s answer , bien qu'il manque le hovertext comme le font la plupart des copies flagrantes de graphiques XKCD), il y a beaucoup de perceptions erronées sur ce qui constitue une bonne référence de sécurité. Dans de très nombreux cas, une méthode beaucoup plus efficace consisterait à utiliser une clé cryptographique qui peut être longue de plusieurs centaines ou milliers de bits. Ce serait ridiculement difficile à taper (je n'en ai jamais tapé une moi-même), mais des techniques telles que l'utilisation efficace de ssh-agent peuvent rendre une sécurité aussi forte facile à mettre en œuvre au quotidien.
Les problèmes posés par cette technologie sont des questions telles que l'éducation des utilisateurs et peut-être la compatibilité avec certaines solutions logicielles, deux problèmes que nous pouvons espérer éradiquer. Oh, et la méconnaissance par les personnes qui choisissent les méthodes de sécurité. L'éducation peut permettre d'éliminer tous ces problèmes. J'attends ce jour avec impatience.
Tant que nous n'aurons pas atteint une telle simplicité (d'utilisation au quotidien), l'utilisation de mots de passe est une sorte de compromis. Jusqu'à ce que nous puissions nous mettre dans une meilleure situation, une bien meilleure approche consiste à limiter les endroits où les mots de passe sont tapés afin qu'ils ne soient utilisés que dans des scénarios sécurisés, puis à utiliser un ordinateur sécurisé et fiable pour envoyer des justificatifs d'identité plus élaborés qui sont encore plus difficiles à reproduire manuellement. Mais faire manuellement de gros efforts pour obtenir une sécurité meilleure que mauvaise, mais pire que ce qui est possible, c'est comme prendre une décision qui accomplit le pire des deux mondes.
J'ai moi-même admiré le talent de mon meilleur ami pour utiliser de longues phrases de passe. De plus, il finit par faire des fautes de frappe et doit les retaper avec une certaine régularité. Je trouve cela drôle parce que je peux moi-même avoir le même problème avec des mots de passe d'une longueur de 8 à 13, et donc quand il arrive à son quatrième, cinquième ou sixième mot, j'ai l'impression qu'il se crée de tels problèmes très inutilement.
Vraiment, si vous analysez cela à partir d'un scénario coûts-avantages, quel est le grand avantage d'étendre la longueur de votre mot de passe à des choses comme 35-45 caractères ? Il est certain que si une personne s'en tient à 15-19 caractères, elle atteindra l'objectif d'être anormalement longue, plus sûre que la plupart des gens, et plus sûre que ce que la plupart des réseaux de zombies pourront facilement craquer. Par conséquent, les plus de vingt caractères supplémentaires (ou, vous dites plus de quarante caractères pour certains mots de passe que vous avez utilisés) au-delà d'une longueur comme 15-19 finissent simplement par être d'une complexité douloureuse sans apporter de bénéfice significatif. C'est pourquoi l'erreur de jugement est une cause d'humour. Dans le meilleur des cas, vous prenez du temps supplémentaire dans votre journée car vous le tapez correctement à chaque fois. (Le pire scénario est que vous prenez encore plus de temps).
Donc, bien que j'admire la volonté de mon ami de prendre une position sérieuse sur une question importante comme la sécurité, je trouve aussi que sa décision est un peu malavisée. De nos jours, j'essaie généralement de garder le rire pour moi, juste par politesse, mais j'ai parfois tendance à le commenter quand je vois qu'il doit essayer une quatrième fois de faire sa phrase de passe correctement. (Et comme je peux voir combien de caractères il tape, ce sont généralement certains des derniers caractères qui lui font trébucher).
comment puis-je poliment approcher mon collègue et lui demander d'arrêter de répandre que j'ai un long mot de passe ?
Vous pourriez également envisager l'échange de piles IPS. Ce site semble avoir de nombreuses questions sur “Comment communiquer un message que je veux communiquer, et ne pas subir les résultats négatifs attendus quand je sais que la personne n'appréciera pas d'entendre ce que je veux communiquer ? Reformulée, la question est : "comment faire ce que je veux faire, et enlever à une autre personne le droit de répondre d'une manière que cette personne est susceptible de faire, juste parce que je ne veux pas que cette personne réponde de cette manière ? C'est vraiment une question injuste, et souvent la bonne réponse pour un lieu de travail est de ne pas essayer de contrôler les autres, mais juste de faire sa part pour s'entendre. Mais puisque vous le demandez, je vais passer en revue quelques options possibles.
Tout d'abord, réalisez que votre collègue peut avoir l'impression de vous rendre service, en vous ridiculisant jusqu'à ce que vous réévaluiez vos méthodes et preniez des décisions plus judicieuses. Il ne s'agit donc peut-être pas seulement de sa tentative de profiter d'une occasion facile de faire une blague. Embarrasser une personne dans des actions souhaitées est une technique qui peut être efficace (au moins parfois), et votre collègue pourrait donc ne pas être facilement écarté. (Notez que je ne dis pas que la technique est éthique, même si elle semble atteindre un résultat désiré. Je reconnais qu'il peut y avoir des effets secondaires. Votre collègue ne les envisage peut-être pas autant). Sa conviction qu'il vous fait du bien peut renforcer sa décision, même si vous n'aimez pas sa conviction, et même si sa conviction est en fait erronée.
Vous devrez peut-être recourir à des techniques désagréables comme essayer de faire appel à une autorité supérieure qui peut imposer des restrictions de comportement de sorte que votre collègue ait le sentiment que sa sécurité d'emploi est menacée. (Ce n'est vraiment pas une approche très agréable. Bien sûr, vous pourriez faire valoir que le fait d'être harcelé n'est pas une très bonne approche). Faire cela pourrait restreindre son comportement.
Une autre option pourrait être de se conformer au comportement qu'il vous suggère.
Notez qu'il existe des arguments convaincants qui expliquent pourquoi certaines des approches du paragraphe précédent sont si horribles qu'elles ne devraient même pas être envisagées. (Certains s'opposeraient à ce qu'on lui donne plus de pouvoir en le laissant gagner avec une approche aussi mesquine. D'autres s'opposeraient à lui retirer son pouvoir par des mesures aussi sévères que l'implication de la direction). Je ne prendrai donc pas position sur l'approche qui est la plus ou la moins bonne. Je dis simplement que ce sont là quelques-unes des options possibles. Certaines approches peuvent fonctionner mieux ou moins bien pour certaines personnes, et peuvent dépendre de la situation.
Une autre option peut être de réagir. Dites simplement : "Lorsque quelqu'un pénètre dans nos systèmes à cause d'un mot de passe court, ce ne sera probablement pas ma faute”. Vous pouvez raccourcir ce délai au fil du temps. Cela peut en fait l'inciter à se battre plus/plus fort, en réalisant qu'une réaction a été développée. Le résultat à court terme peut donc être d'aggraver la situation, de votre point de vue. Mais si vous conservez la même vieille réaction, cet échange finira probablement par l'ennuyer et il décidera de laisser tomber le sujet.