Bonjour,

J'utilise fréquemment Debian Etch et lors d'une récente installation j'ai
mis comme mot de passe Root une phrase d'un cinquantaine de caractère
(chiffres et lettres) et pour l'utilisateur un d'une quarantaine de
caractère. A l'installation je n'ai eu aucun problème mais après quand j'ai
voulu me logger, Debian faisait comme si mes mot de passe étaient
incorrectes alors que je suis sûr de bien les avoir tapé étant donné que
j'ai essayé mainte fois. Avec des mot de passe plus cours tout passe sans
problème mais étant donné que j'ai besoin d'une grande sécurité pour l'usage
dont je vais faire de cette ordinateur j'aimerais rester avec de longs mot
de passe.

Alors sont-ils trop long ?

Merci d'avance pour votre réponse et bonne journée

Le lundi 20 août 2007 21:07, Gavrinis a écritÂ:
> Bonjour,
>
> J'utilise fréquemment Debian Etch et lors d'une récente installation j'ai
> mis comme mot de passe Root une phrase d'un cinquantaine de caractère
> (chiffres et lettres) et pour l'utilisateur un d'une quarantaine de
> caractère. A l'installation je n'ai eu aucun problème mais après quand j'ai
> voulu me logger, Debian faisait comme si mes mot de passe étaient
> incorrectes alors que je suis sûr de bien les avoir tapé étant donné que
> j'ai essayé mainte fois. Avec des mot de passe plus cours tout passesans
> problème mais étant donné que j'ai besoin d'une grande sécurité pour
> l'usage dont je vais faire de cette ordinateur j'aimerais rester avec de
> longs mot de passe.
>
> Alors sont-ils trop long ?
>
> Merci d'avance pour votre réponse et bonne journée

Salut,

Peut-être as-tu tapé ton mot de passe avec un mapping clavier différent
(mapping US par ex ?) du mapping que tu as par la suite.

Amicalement,

J-F

Le lundi 20 août 2007 21:07, Gavrinis a écritÂ:
> Bonjour,
>
> J'utilise fréquemment Debian Etch et lors d'une récente installation j'ai
> mis comme mot de passe Root une phrase d'un cinquantaine de caractère
> (chiffres et lettres) et pour l'utilisateur un d'une quarantaine de
> caractère. A l'installation je n'ai eu aucun problème mais après quand j'ai
> voulu me logger, Debian faisait comme si mes mot de passe étaient
> incorrectes alors que je suis sûr de bien les avoir tapé étant donné que
> j'ai essayé mainte fois. Avec des mot de passe plus cours tout passesans
> problème mais étant donné que j'ai besoin d'une grande sécurité pour
> l'usage dont je vais faire de cette ordinateur j'aimerais rester avec de
> longs mot de passe.
>
> Alors sont-ils trop long ?
>
> Merci d'avance pour votre réponse et bonne journée

Salut,

Peut-être as-tu tapé ton mot de passe avec un mapping clavier différent
(mapping US par ex ?) du mapping que tu as par la suite.

Amicalement,

J-F

On Mon, Aug 20, 2007 at 09:07:08PM +0200, Gavrinis wrote:
> [...]. Avec des mot de passe plus cours tout passe sans
> problème mais étant donné que j'ai besoin d'une grande sécurité pour l'usage
> dont je vais faire de cette ordinateur j'aimerais rester avec de longs mot
> de passe.

Je botte en touche (ie. je ne repond pas a la question ):

Quand on a besoin d'une grande securite, on n'utilise pas de
mot de passe du tout: on utilise ssh avec des cles (et des
mots de passe pour decrypter les cles -- je crois que
ceux-la penvent etre tres long).

Y.


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org

Bonjour,

Le mardi 21 août 2007 14:58, Yves Rutschle a écrit:
> On Mon, Aug 20, 2007 at 09:07:08PM +0200, Gavrinis wrote:
> > [...]. Avec des mot de passe plus cours tout passe sans
> > problème mais étant donné que j'ai besoin d'une grande sécurité pour
> > l'usage dont je vais faire de cette ordinateur j'aimerais rester avec de
> > longs mot de passe.
> Je botte en touche (ie. je ne repond pas a la question ):
Tout pareil, il ne me semble pas que PAM impose de limite autre que les
ressources système disponibles.
(pour ma part j'utilise environ 25 caractères pour mes mots de passes et je
n'ai pas de problèmes)

> Quand on a besoin d'une grande securite, on n'utilise pas de
> mot de passe du tout: on utilise ssh avec des cles
Je rejoint assez cette opinion.

La sécurité d'un système ne repose pas uniquement sur la longueur desmots de
passes d'accès, c'est un ensemble de facteurs, par exemple :
- robustesse du mot de passe
+ aux brute-force
+ aux dictionnaires
- protection des formes cryptées du mot de passe
+ même mot de passe sur plusieurs serveurs / services
- divulgation du mot de passe
+ social engineering, keylogger,
+ mot de passe connu de plusieurs personnes
- vulnérabilité des services
+ mises à jours, contrôles, etc...

Sur-évaluer l'un des facteurs est inutile puisque la fiabilité de l'ensemble
est celle du maillon le plus faible.
Ainsi avoir un mot de passe très très très long ne donne pas de gain de
sécurité. Surtout si ce mot de passe est divulgué à plusieurs personnes; il
est fort à parier que l'un ou l'autre finira par l'écrire sur un post-it
(à coté de l'écran).

De plus de bonnes méthodes de génération de mots de passes faciles à retenir
(comme la méthode des premières lettres) donnent des mots de passes d'une
fiabilité équivalentes aux `passphrases´ (et comme ils sont faciles à
retenir, ils évitent de se retrouver sur des post-its...).

Je conseillerai soit :
A)
- la restriction des accès « root » aux seuls accès physiques
(i.e. login uniquement et PermitRootLogin no dans /etc/ssh/sshd_config).
et avec un mot de passe généré complètement au hasard (pwgen -s 16)
et stocké au coffre
- l'utilisation de sudo en remplacement des accès «root»
- l'utilisation de clefs ssh personnelles
(qui ont donc leur propre mot de passe et sont facilement révoquables)
- l'utilisation de ssh-agent pour ne stoker les clefs privées
qu'à un seul endroit (le poste de travail individuel ou une clef usb)
- conseiller les admins dans leur choix de mots de passes
et les sensibiliser à la sécurité

B)
- la restriction des accès « root » avec mot de passe
aux seuls accès physiques
(i.e. login uniquement et PermitRootLogin without-password
dans /etc/ssh/sshd_config).
et avec un mot de passe généré complètement au hasard (pwgen -s 16)
et stocké au coffre,
- l'utilisation de clef ssh individuelles pour se logguer en root à distance,
- l'utilisation de ssh-agent.
- conseiller les admins dans leur choix de mots de passes
et les sensibiliser à la sécurité

> (et des mots de passe pour decrypter les cles -- je crois que
> ceux-la penvent etre tres long).
Plus c'est long, plus c'est difficile à taper et à retenir, du coup je pense
AMHA que la modération s'impose dans ce domaine. Pour ma part je pense
qu'entre 15 et 30 caractères/mots bien choisis est un bon compromis.
Sinon, autant opter pour le crypto-token usb...

Cordialement,
--
Eric DÉCORNOD

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.6 (GNU/Linux)

iD8DBQBGywZYfI0nA934YcoRAttZAJwKVdUdPVUnZV4g0TJtXQ Lsxt0F5gCguIQE
x6XSvV9O76sPKkAAmbt8pgc=
=am0P
-----END PGP SIGNATURE-----

Bonjour,

Le mardi 21 août 2007 14:58, Yves Rutschle a écrit:
> On Mon, Aug 20, 2007 at 09:07:08PM +0200, Gavrinis wrote:
> > [...]. Avec des mot de passe plus cours tout passe sans
> > problème mais étant donné que j'ai besoin d'une grande sécurité pour
> > l'usage dont je vais faire de cette ordinateur j'aimerais rester avec de
> > longs mot de passe.
> Je botte en touche (ie. je ne repond pas a la question ):
Tout pareil, il ne me semble pas que PAM impose de limite autre que les
ressources système disponibles.
(pour ma part j'utilise environ 25 caractères pour mes mots de passes et je
n'ai pas de problèmes)

> Quand on a besoin d'une grande securite, on n'utilise pas de
> mot de passe du tout: on utilise ssh avec des cles
Je rejoint assez cette opinion.

La sécurité d'un système ne repose pas uniquement sur la longueur desmots de
passes d'accès, c'est un ensemble de facteurs, par exemple :
- robustesse du mot de passe
+ aux brute-force
+ aux dictionnaires
- protection des formes cryptées du mot de passe
+ même mot de passe sur plusieurs serveurs / services
- divulgation du mot de passe
+ social engineering, keylogger,
+ mot de passe connu de plusieurs personnes
- vulnérabilité des services
+ mises à jours, contrôles, etc...

Sur-évaluer l'un des facteurs est inutile puisque la fiabilité de l'ensemble
est celle du maillon le plus faible.
Ainsi avoir un mot de passe très très très long ne donne pas de gain de
sécurité. Surtout si ce mot de passe est divulgué à plusieurs personnes; il
est fort à parier que l'un ou l'autre finira par l'écrire sur un post-it
(à coté de l'écran).

De plus de bonnes méthodes de génération de mots de passes faciles à retenir
(comme la méthode des premières lettres) donnent des mots de passes d'une
fiabilité équivalentes aux `passphrases´ (et comme ils sont faciles à
retenir, ils évitent de se retrouver sur des post-its...).

Je conseillerai soit :
A)
- la restriction des accès « root » aux seuls accès physiques
(i.e. login uniquement et PermitRootLogin no dans /etc/ssh/sshd_config).
et avec un mot de passe généré complètement au hasard (pwgen -s 16)
et stocké au coffre
- l'utilisation de sudo en remplacement des accès «root»
- l'utilisation de clefs ssh personnelles
(qui ont donc leur propre mot de passe et sont facilement révoquables)
- l'utilisation de ssh-agent pour ne stoker les clefs privées
qu'à un seul endroit (le poste de travail individuel ou une clef usb)
- conseiller les admins dans leur choix de mots de passes
et les sensibiliser à la sécurité

B)
- la restriction des accès « root » avec mot de passe
aux seuls accès physiques
(i.e. login uniquement et PermitRootLogin without-password
dans /etc/ssh/sshd_config).
et avec un mot de passe généré complètement au hasard (pwgen -s 16)
et stocké au coffre,
- l'utilisation de clef ssh individuelles pour se logguer en root à distance,
- l'utilisation de ssh-agent.
- conseiller les admins dans leur choix de mots de passes
et les sensibiliser à la sécurité

> (et des mots de passe pour decrypter les cles -- je crois que
> ceux-la penvent etre tres long).
Plus c'est long, plus c'est difficile à taper et à retenir, du coup je pense
AMHA que la modération s'impose dans ce domaine. Pour ma part je pense
qu'entre 15 et 30 caractères/mots bien choisis est un bon compromis.
Sinon, autant opter pour le crypto-token usb...

Cordialement,
--
Eric DÉCORNOD

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.6 (GNU/Linux)

iD8DBQBGywZYfI0nA934YcoRAttZAJwKVdUdPVUnZV4g0TJtXQ Lsxt0F5gCguIQE
x6XSvV9O76sPKkAAmbt8pgc=
=am0P
-----END PGP SIGNATURE-----