Lorsqu'on leur demande comment ils réussissent le plus souvent leurs tests d'intrusion, la plupart des consultants en sécurité citent immédiatement la faiblesse des mots de passe. « C'est énorme » , s'exclament collectivement les consultants du cabinet HSC. « Rien qu'avec les mots de passe laissés par défaut, on arrive souvent à nos fins. Face à un équipement réseau, nous avons 90 % de chances que le mot de passe soit toujours celui défini par défaut », poursuit Nicolas Jombart, chez HSC.

Le fait est que les mots de passe des applicatifs les plus utilisés dans les entreprises (Alcatel, Oracle, SQL Server et bien d'autres) sont rarement changés une fois l'installation terminée. Et lorsqu'ils le sont, ce sont pour des valeurs très simples à deviner, telle une variation du nom de l'entreprise ou les incontournables « test » , « admin » ou « essai » . « Cela en devient frustrant : nos consultants sont souvent déçus de la manière dont ils réussissent leurs tests d'intrusion, car c'est souvent grâce à des mots de passe faibles », confirme Thomas Lebouc, directeur de mission pour l'activité conseil en sécurité de Thales Security Systems.

Et il n'y a pas que les consultants en sécurité ou les pirates qui tirent profit de cette faiblesse : en 2003, les vers SQLsnake et Voyager Alpha Force, par exemple, exploraient Internet à la recherche de serveurs Microsoft SQL Server 7, une version autorisant une installation sans mot de passe pour le compte administrateur (SA). Et des serveurs configurés sans mot de passe, il y en avait à la pelle !

Bilan : plusieurs milliers de machines ont été infectées dans le monde, et autant de bases de données dérobées. Et, même quand ils ne sont pas laissés par défaut, les mots de passe sont rarement bien choisis : ils sont ordinairement dérivés du nom de l'entreprise, jamais changés et parfois partagés par tout le monde, pour plus de facilité.

« Nous avons rencontré le cas d'une direction financière où tout le monde avait le même mot de passe d'accès aux applicatifs métier ! Le client nous a expliqué que cela était plus simple pour intervenir même si un collaborateur était absent » , se souvient Thomas Lebouc. De même, il n'est pas rare dans de petites entreprises que tous les postes de travail fonctionnent avec les privilèges administrateurs et un mot de passe identique, d'ailleurs souvent le très simple « admin » .

Enfin, les utilisateurs ne sont pas en reste lorsqu'il s'agit d'affaiblir la sécurité du réseau de leur entreprise, même s'ils ont eux-mêmes choisi leur sésame. « Les mots de passe écrits sur des notes collées sur l'écran ou sous le clavier ne sont pas un mythe. Nous en trouvons tous les jours ! », se désole Thomas Lebouc. Et le consultant de préciser que même lorsqu'ils sont contraints de changer régulièrement leurs mots de passe pour davantage de sécurité, les utilisateurs se contentent bien souvent d'alterner entre plusieurs choix, ou tout simplement d'en faire la liste... qui est toujours placée bien en évidence à côté du clavier !