Comment discuter avec un utilisateur à propos de son mot de passe (court, simple etc.)?

Café du commerce
,
21

OK, merci

22

Pour observer des domaines utilisant un workspace google ou l’équivalent microsoft, le champs mx est un bon indicateur :

Un exemple avec l’université catholique de l’ouest uco.fr

$ dig mx uco.fr
0 uco-fr.mail.protection.outlook.com.

Un autre exemple pour un workspace google pour l’académie de Lyon

$ dig mx gs.ac-lyon.fr +short
10 alt3.aspmx.l.google.com.
1 aspmx.l.google.com.
10 alt4.aspmx.l.google.com.
5 alt2.aspmx.l.google.com.
5 alt1.aspmx.l.google.com.

Dans ce cas, il a fallu trouvé un sous-domaine gs de ac-lyon.fr avant d’interroger le champs MX de ce sous-domaine.

Une association lyonnaise intervenant dans l’éducation aux médias dans les écoles :

dig mx frequence-ecoles.org +short
5 alt2.aspmx.l.google.com.
10 alt3.aspmx.l.google.com.
1 aspmx.l.google.com.
5 alt1.aspmx.l.google.com.
10 alt4.aspmx.l.google.com.

Une fédération de parent d`'élèves que je connais bien pour y avoir eu des responsabilités pendant quelques années.

dig mx fcpe69.fr +short
1 aspmx.l.google.com.
5 alt1.aspmx.l.google.com.
10 alt4.aspmx.l.google.com.
5 alt2.aspmx.l.google.com.
10 alt3.aspmx.l.google.com.

Je précise que l’obtention de ces workspaces google ou de leur équivalent microsoft se fait par le programme philanthropique de google et microsoft porté par techsoup.org et solidartech.fr

23

J’ai pu observer en effet que taper un mot de passe, même relativement simple, pouvait être une tache ardue pour certaines personnes (précision de frappe, impossibilité de voir ce qu’on à taper, etc.). Dans cette optique, je me vois aussi mal leur mettre une barrière supplémentaire. Dans ce cas là, je pense que je tenterais de privilégier un autre facteur d’authentification, en tentant d’authentifier la machine (Kerberos j’ai trouvé ça magique d’un point de vue UX en entreprise), ou d’utiliser un dispositif d’authentification électronique, comme la Yubikey. Par exemple FIDO2 en mode passwordless.
TL;DR : le mot de passe n’est pas le seul système d’authentification envisageable

Sinon, si le problème est seulement de retenir un mot de passe complexe, on peut considérer un simple carnet papier dans le tiroir du bureau, avec sur chaque ligne le site, le nom d’utilisateur, et le mot de passe choisi. Les 2 « attaquants » possibles dans ce cas sont une personne partageant le logement et des personnes qui s’introduiraient par effraction, soit un modèle de menace bien spécifique, que je pense un certain nombre de personnes est prêt à accepter (mais pas tout le monde).
TL;DR : pouvoir accepter les menaces physiques facilite la gestion des mots de passe

1 « J'aime »
24

C’est quoi de l’U2F/du webauthn ?
C’est quoi du FIDO2 security key ?

Est-ce à nous l’utilisateur de demander à chaque site quel type de connexion ils acceptent ?

25

Il y a des listes, par exemple celle la.

1 « J'aime »
26

Super info. Merci

27

Le but est d’avoir une clé USB pour mes multiples « authentification en deux étapes » usuels.

D’ailleurs est-ce possible pour l’accès au compte FireFox ?