Par ordre approximatif de complexité croissante ( pas la sécurité, et les méthodes peuvent être combinées), voici quelques idées qui seraient faciles pour toute personne habituée aux énigmes / à l'écriture de code / aux mathématiques. Une idée plus complète est ci-dessous. NB: quand je dis "secret", je veux dire non écrit dans le livre. Ce sont tous faciles et très utiles pour dissuader le voleur occasionnel.

• Ayez un élément secret mémorisé, commun à tous les mots de passe. *
• Variante mineure - un élément secret facilement dérivé du nom / nom d'utilisateur du site Web.
• Mettez trop d'informations dans le livre, par exemple sachez qu'en fait vous omettez les 4 premiers caractères de chaque mot de passe. *
• Décalez le compte et le mot de passe d'un nombre constant d'entrées. *
• N'écrivez jamais le nom d'utilisateur complet, juste assez pour être un indice pour vous.

* Ces éléments ont la vulnérabilité importante qu'une fois l'obscurcissement est craqué pour une entrée, il est automatiquement craqué pour toutes les entrées sans effort supplémentaire.

Si l'algorithme exact est publié, clairement un notebook -le voleur qui pourrait également écrire des tentatives de connexion (ou une équipe bien sûr) pourrait appliquer l'algorithme automatiquement - ou tous les algorithmes publiés. Le type d'algorithme pourrait être publié, par exemple:

• A partir du mot de passe tel qu'il est écrit, appelez le premier chiffre x et le second y .
• Comptez x caractères à partir du premier signe de ponctuation (ou du premier caractère ou du premier chiffre).
• Puis permutez les majuscules du y suivant lettres (ou lettres précédant y ).
• Pour un code PIN à 4 chiffres mémorisé, incrémentez les quatre premières lettres des chiffres de la broche (par exemple 1234 appliqué à a! Bcd donnerait b!dfh).

Bien sûr, vous pourriez:

• Permutez les significations de x et y
• Incrémenter / décrémenter x et y .
• Compter à partir de la première vowel.
• Permuter les cas de y consonnes .
• Remplacez les chiffres par leurs lettres correspondantes par position alphabétique et vice versa.
• Échangez les chiffres pour la ponctuation sur la même touche (vous devez soit être sûr de la disposition du clavier que vous rencontrerez, soit connaître votre son propre clavier.)

Toutes ces opérations, par définition, peuvent être scriptées. Mais le voleur de notebook devrait mettre la main sur (ou écrire) un script implémentant ces derniers (et c'est en fait un espace assez variable même sans élément secret. Ensuite, il devra taper les mots de passe (un processus sujet aux erreurs avec -generated text), exécutez le script sur la liste et essayez de vous connecter avec les milliers de mots de passe par site. Et espérons que le site ne se verrouille pas après plusieurs tentatives infructueuses.

Il Cela vaudrait la peine de conserver une liste de sauvegarde, même si ce n'est pas une copie de sauvegarde du livre, comme une liste de sites pour lesquels les mots de passe doivent être modifiés / les comptes marqués si le livre est manquant.

Comme pour beaucoup de sécurité mesures, l'objectif doit être de faire trop d'efforts pour s'introduire. En combinant les efforts manuels et scénarisés, vous faites beaucoup pour cela et augmentez vos chances d'abandonner.

J'ai créé une langue à cet effet. Aucun des symboles ne ressemble à l'anglais (on ne sait pas s'ils ressemblent à une autre langue), il n'y a pas d'espaces, plusieurs lettres manquent, les motifs communs deviennent des symboles uniques (dis, ing, etc.) pour éviter un décodage facile, c'est écrit de haut en bas, de droite à gauche, dans une grille sans lignes, et j'ai utilisé une poubelle pour remplir chaque ligne.

En fonction de la façon dont je le stocke, j'utilise également une roue de code à décalage qui ajuste le placement de la dernière lettre. Si la dernière lettre utilisée est quelque chose comme h (système sans casse), ajoutez 7 à la roue de code des lettres suivante. Vous pouvez inclure les roues de code sur la page dans la corbeille pour confondre davantage un attaquant. Puisque vous pouvez créer plusieurs roues de code par page et décaler les nombres comme vous le souhaitez, cela empêche une attaque facile. Une autre option consiste à chevaucher les roues de code. Si vous êtes paresseux, vous pouvez utiliser un modèle numérique comme + 5, -2, + 3,6 comme un code PIN.

Une méthode de base pour minimiser l'impact d'une personne capable de trouver des mots de passe en jetant un coup d'œil sur le bloc-notes serait d'avoir un mot de passe par page - si vous regardez celui-là, c'est tout ce qu'ils peuvent voir.

Une autre alternative serait d'avoir un Diceware ou une liste similaire, et de noter les chiffres. Cela ajoute une étape au «décryptage», en ce que le propriétaire légitime doit faire des références croisées avec une liste de Diceware, mais cela ralentirait probablement un attaquant ayant accès au notebook pendant une brève période - ils devraient probablement photocopier le liste complète, ainsi que tous les numéros spécifiques au site pour être sûr de l'accès.

En gros, si le propriétaire peut «déchiffrer» instantanément, un attaquant peut déchiffrer un temps donné. S'ils y ont accès pendant un certain temps, ils peuvent clairement prendre une copie du contenu et y travailler sans que vous le sachiez (en vous faisant trouver le livre dans un endroit que vous considérez comme sûr, par exemple - peut-être dans votre maison où vous gardez normalement votre sac) , où il aurait pu tomber naturellement).

Vous pourriez vous souvenir d'un mot de passe partiel fixe, et ne noter que les parties variables. Cependant, dans ce cas, vous ne comptez sur aucun des sites que vous vous authentifiez contre la violation - dès que l'un est, vous devez considérer la partie partielle compromise et changer tous les mots de passe qui l'utilisent, comme si vous aviez utilisé le même mot de passe partout.

L'option la plus sûre pourrait être d'avoir un coffre-fort physique dans lequel le cahier est conservé, et qui n'est ouvert que lorsque personne d'autre n'est là. Cela semble un peu exagéré pour la plupart des utilisations, mais c'est à peu près la méthode utilisée pour certaines données critiques, telles que les clés de signature racine DNS.

Rédigez un journal et intégrez les mots de passe dans les entrées. Cela ne ressemblera pas à un livre de mots de passe. Quelqu'un devra le lire pour remarquer les mots mal orthographiés. J'ai utilisé un carnet d'adresses où les adresses, les numéros de téléphone et les codes postaux d'amis proches et de membres de la famille étaient des NIP et des mots de passe. Je connais les adresses et les numéros de téléphone des membres de ma famille, donc les enregistrer de manière incorrecte n'avait pas d'importance.

Utilisez un masque.

Non, sérieusement. Utilisez quelque chose comme du carton d'épaisseur moyenne, disponible dans les magasins de fournitures de bureau ou de loisirs, pour créer un masque de grille rigide, peut-être des emplacements de caractères 30x6, et découpez des trous placés au hasard pour peut-être 40 à 50 caractères. (Vous pouvez évidemment choisir différentes dimensions, selon vos besoins.)

Pour écrire un mot de passe, placez le masque sur le dessus de votre cahier, écrivez la longueur du mot de passe à travers les deux premiers trous (ou choisissez un caractère spécial qui signifie toujours "c'est la fin du mot de passe" et écrivez-le à la place), puis le mot de passe lui-même à travers les trous restants (soit dans le sens de la longueur, soit par colonne en premier, encore votre choix), autant que nécessaire. Lorsque vous avez terminé, supprimez le masque et remplissez tous les emplacements de caractères restants avec des caractères inutiles; plus c'est aléatoire, mieux c'est. Pour vous faciliter la tâche, commencez par dessiner une grille dans le cahier avant de renseigner le mot de passe.

Lorsque vous avez besoin de lire un mot de passe, placez simplement le masque au-dessus du fouillis de caractères et de ce qui reste visible sera le mot de passe plus les déchets aléatoires que vous avez utilisés pour remplir les emplacements de caractères qui ne font pas partie du mot de passe. (À ce stade, vous avez juste besoin de savoir combien de temps le mot de passe est, d'où le caractère de fin ou l'enregistrement du nombre de caractères.)

Gardez le masque en sécurité mais séparé du cahier, peut-être dans votre portefeuille. Considérez le masque comme une sorte de "phrase de passe principale".

Cela ne protégera pas vraiment contre un attaquant qui cible spécifiquement votre système et peut-être même vous en particulier, mais cela devrait fournir un niveau de sécurité raisonnable contre quelqu'un qui met la main sur l'ordinateur portable tout en ayant une faible surcharge lorsque vous êtes légitimement utiliser les mots de passe. La surcharge ici est lorsque vous enregistrez un nouveau mot de passe dans le cahier, ce qui est souvent une situation que vous pouvez mieux contrôler (par exemple, il n'est probablement pas nécessaire de changer votre mot de passe bancaire pendant que vous êtes dans un cybercafé de manière aléatoire pays du tiers-monde).

Si vous souhaitez améliorer encore le facteur d'obscurcissement, vous pouvez ajouter un décalage au schéma: enregistrez le nombre de caractères au début à sauter quand saisir le mot de passe.

Si une caméra enregistre votre ordinateur portable pendant que vous saisissez le mot de passe, il semble tout aussi probable, voire plus probable, qu'elle enregistre également le clavier que vous utilisez pour saisir le mot de passe , à quel point vous avez perdu presque quel que soit le schéma que vous utilisez pour masquer les mots de passe écrits.

Il existe de nombreux exemples meilleurs et plus sûrs, mais j'ai pensé mentionner une chose que j'ai utilisée dans le passé, à savoir les mnémoniques sous la forme de dessins / bandes dessinées pour représenter des phrases de passe. Cependant, cela nécessite que vous puissiez vous souvenir vaguement de la phrase secrète.

Un exemple pourrait être la phrase "L'anniversaire de Tommy est le 23 mars!". La bande dessinée pourrait consister en un personnage dont vous vous souvenez mentalement sous le nom de "Tommy", célébrant son anniversaire, avec un punchline à une blague de papa (ou quelque chose avec une référence au site que vous utilisez), et daté / signé le 23 mars. Vous pouvez également ajouter beaucoup plus de bandes dessinées qui ne représentent pas des mots de passe pour les obscurcir davantage.

Pour quelqu'un qui passe, ce n'est que votre carnet de croquis. La plupart des gens ne sont pas intéressés à voler des griffonnages à un mauvais dessinateur, et surtout ne s'attendent pas à ce que ce soit un livre de mots de passe. Dans le cas où quelqu'un le vole et connaît votre système, il devra quand même être en mesure de comprendre comment vous traitez mentalement vos propres dessins, ce qui sera largement subjectif. Cela peut également être entravé en ajoutant des informations de remplissage dans chaque dessin pour ajouter du bruit au mot de passe pour quiconque essaie de le déchiffrer. Si vous aimez la fantaisie, vous pouvez même pousser cela plus loin en établissant des «lois» mentales sur ce qui compte dans votre monde fantastique que vous représentez à travers des bandes dessinées / dessins.

Comme je l'ai dit, il existe de bien meilleures façons de stocker les mots de passe physiquement, mais cela peut fonctionner pour les personnes qui utilisent bien les mnémoniques et cela peut aussi être très amusant!

Il était une fois, j'ai noté les différents codes PIN de mes cartes de crédit et bancaires. Je les ai convertis en base 9, puis j'ai ajouté un faux 9 supplémentaire quelque part dans chaque numéro. Je pense que c'était assez sûr, mais bien sûr, cela ne fonctionne que pour les mots de passe entièrement numériques tels que les codes PIN.

J'ai rencontré plusieurs tentatives avec une carte de référence de la taille d'un portefeuille utilisée comme texte chiffré de votre mot de passe. Un exemple: http://www.passwordcard.org/en

Je n'utiliserais pas l'un de ceux-ci, mais si je le faisais, je passerais plus de temps sur mon modèle mental de la façon dont j'ai dérivé mon mot de passe, qui devrait fournir suffisamment d'obscurcissement pour que vous ne puissiez probablement pas acquérir la carte et le mot de passe en même temps. Si cela vous préoccupait, vous auriez besoin de trouver un moyen de changer votre chiffre. "Le numéro de ligne est le chiffre du numéro de téléphone avec le troisième caractère dans le nom de domaine de ce site, la colonne est le deuxième à partir du dernier caractère converti en position numérique dans l'alphabet." Donc Google.com est O = 6 sur le pavé numérique, donc sixième ligne, colonne est G = 7 donc septième colonne, puis décidez d'un autre facteur pour le nombre de caractères et la façon dont vous lisez ou comment vous décalez chaque caractère. Diagonal, jusqu'à 1 & sur 2, etc.

Au moins avec cette solution, vous pouvez perdre le "notebook" et le remplacer plus tard, et vous ne compliquez pas trop les choses en essayant de trouver un système sécurisé. Si je vous ai remis ma "carte" avec les caractères que j'ai réellement utilisés, les chances que vous commenciez au bon endroit avec un site Web donné et que vous choisissiez la bonne direction, la bonne longueur, etc. sont négligeables.

J'utilise des indices mnémotechniques. J'invente donc un mot de passe que je peux construire à partir des indices, puis je ne stocke les indices que sur papier. Les indices peuvent être un doodle, ou une partie d'un dessin, ou quelque chose qui me rappelle mon mot de passe. Ou cela me rappelle la partie que je n'ai pas mémorisée. Donc, sans savoir quelles sont mes associations, il semblerait assez difficile pour quelqu'un de comprendre mes mots de passe à partir de mes indices.

La sécurité par mémorisation compte-t-elle comme sécurité-par-obscurité? Il me semble que dans le contexte de la question, c'est aussi loin que possible, étant donné que c'est un système de mot de passe, et c'est un moyen d'éviter de déduire le mot de passe en regardant le cahier, à moins que quelqu'un me connaisse si bien que ils peuvent en quelque sorte déduire de mes indices. Je suis à peu près sûr que je peux créer des mots de passe que même les gens qui me connaissent le mieux ne pourraient jamais déduire, bien que cela nécessite plus d'intention de créer une phrase de passe qui est une combinaison étrange de choses, dont mon seul contexte est de me souvenir de la phrase I composé.

Exemple - un doodle abstrait avec de nombreux symboles et mots de passe, et je choisis un endroit pour une partie de celui-ci où il y a une petite courbe, et dans une direction, il y a trois petites marques, puis un long, mais ils ne sont pas distincts des nombreux autres gribouillis et points et ainsi de suite. Mais je me souviens que c'est la partie que j'utilisais pour me rappeler mon mot de passe. La courbe me rappelle une partie du corps, et les deux premiers mots sont cette partie du corps dans deux langues différentes, puis les trois marques sont une phrase à trois tons dont je sais que je me souviendrai, comme "yo ho ho", et la barre oblique est une dernière remarque dont je me souviendrai aussi, comme YOW !. Donc, je peux toujours me faire me souvenir de "gomitoelbowyohohoYOW!" ... mais je ne pense pas que quiconque saura même où chercher dans mon doodle, encore moins en déduire ce mot de passe.

Vous avez un modèle de menace différent pour les documents écrits que pour les documents électroniques, mais la manière de les gérer est assez bien connue: restreindre et auditer l'accès physique.

Peu importe qu'il s'agisse de codes de lancement nucléaire ou de la combinaison du cadenas de votre journal de petite sœur, sauf dans la manière spécifique dont vous allez effectuer ce contrôle.

Cela signifie aussi que, si vous voulez protéger ces données, vous ne devez pas simplement les obscurcir mais les crypter. Une façon de le faire pourrait être de crypter les données avec un mot de passe, d'imprimer le texte chiffré en tant que QRCode et de le stocker. Cependant, cela ne vous donne pas beaucoup d'avantage sur un contrôle d'accès approprié: c'est certainement plus sûr, mais il est assez peu pratique à utiliser et vous échouera probablement lorsque vous en aurez réellement besoin.

Écrivez vos mots de passe à l'encre invisible.

Prenez un livre ordinaire ou un cahier qui a un autre objectif (notes scolaires) et écrivez vos mots de passe dans les marges en utilisant une encre qui ne peut être visible qu'avec un Lumière UV. Quiconque regarde le cahier / livre supposera que c'est ce qui semble être tant que vous avez toujours accès aux mots de passe.

Remarque: je ne sais pas quelle est la durée de vie de l'encre invisible lorsqu'elle est utilisée sur du papier .

En 7e, notre classe nous a fait écrire un journal. J'ai utilisé un code simple qui utilisait de nouveaux symboles pour les lettres, et je l'ai noté au dos. Mais je l'ai vite mémorisé et l'ai facilement écrit directement.

Utiliser de nouveaux symboles est moins déroutant que d'utiliser un chiffrement de substitution des lettres. En fait, c'est assez simple.

Cela obscurcit mais peut être brisé via des techniques normales ... si vous avez du texte en anglais normal (ou autre)! Pour les mots de passe de lettres aléatoires, c'est assez sûr, sauf si vous avez un moyen de casser certaines entrées et d'utiliser les résultats pour en lire d'autres. Cela peut être amélioré en ayant plusieurs entrées et en utilisant une autre méthode cachée pour savoir laquelle est la bonne.

Règle numéro un: N'ÉCRIVEZ PAS VOTRE MOT DE PASSE

À la fin des années 60, les entreprises ont commencé à utiliser des ordinateurs centraux. C'était un nouveau concept en affaires. Le propriétaire de l'entreprise trouverait quelqu'un qui avait des aptitudes (voir avait une classe d'université où ils ont réellement vu un ordinateur) et lui demandait (sous la menace de résiliation) de devenir l'administrateur système. Le nouvel administrateur recevrait un identifiant et un mot de passe. C'était un nouveau concept pour beaucoup de gens. Alors, ils ont noté le mot de passe, juste au cas où.

Plusieurs personnes utilisaient le mainframe sous le même compte. Le problème était que quelqu'un configurait tout pour un traitement par lots, revenait plus tard pour le terminer et découvrait que quelqu'un d'autre était entré et avait tout reconfiguré pour son traitement par lots. Ce n'était pas très efficace. Des comptes ont été créés et des identifiants et des mots de passe ont été distribués. Et bien sûr, les mots de passe étaient écrits.

Dans les années 80, il était temps de mettre des ordinateurs sur les bureaux des gens. Ils étaient tous connectés via un réseau au mainframe. De cette façon, vous n'avez pas besoin de vous éloigner de votre bureau pour obtenir les résultats du travail que vous avez fait faire au mainframe. Cela donnait également aux gens juste assez de puissance à leur bureau pour effectuer certaines des tâches qu'ils avaient à faire sur le mainframe. De nombreux systèmes nécessitaient des mots de passe à huit caractères pour éviter de deviner les mots simples et courants. Puisque les mots de passe étaient maintenant plus complexes (oh, écoutez, le mot de passe a 8 caractères, et personne ne le devinerait), les gens les ont écrits.

Dans les années 90, il y avait cette nouvelle mode dont tout le monde était enthousiasmé . Cela s'appelait les interwebs, non, intertoobz, non, attendez ... Internet. Et les systèmes se connectaient. Nous pourrions envoyer un e-mail instantanément au lieu d'avoir à en écrire un et à l'envoyer par courrier. Nous avons donc commencé à utiliser des lettres, des chiffres et des caractères dans nos mots de passe haute sécurité à 8 caractères ... que nous étions encore en train d'écrire.

Dans les ... devrais (?) nous avons commencé les opérations bancaires, les achats et l'école en ligne. Nous avons créé des comptes et utilisé le même mot de passe pour tous les protéger. Et pour nous assurer de ne pas oublier ce mot de passe, nous l'avons noté.

Nous voici en 2015. La personne moyenne a 30 identifiants et mots de passe différents dont elle doit se souvenir. Ils doivent comporter 15 caractères, des mots non linguistiques comprenant des symboles, des chiffres et des caractères majuscules et minuscules. Il y a aussi une liste de choses qu'ils ne devraient absolument pas être.

Maintenant, je comprends que nous avons passé 5 décennies à former des gens à violer la règle numéro un. Je comprends aussi que les gens détestent le changement et la technologie.

Peu m'importe quelle est l'excuse. Oui, les logiciels malveillants sont une considération. Cependant, lorsque vous effectuez une véritable analyse des risques, les logiciels malveillants ne représentent pas un risque aussi important que d'écrire votre mot de passe. Vous pensez peut-être que vous êtes très difficile à trouver un système pour cacher votre mot de passe.

Tout ce dont j'ai besoin est de prendre une photo d'une page, et j'ai le temps qu'il me faut pour déchiffrer votre mot de passe. Une fois que j'ai compris votre système, je peux entrer dans n'importe quoi dans le livre. C'est pourquoi c'est une réponse inacceptable. Un ordinateur est une meilleure solution que vous. Si ce n'était pas le cas, les gouvernements n'utiliseraient pas d'ordinateurs pour créer et contrôler les mots de passe.

Par souci d'exhaustivité, par commentaire à la question:

Utilisez un texte ou un livre existant et dérivez des mots de passe à partir de là

Imprimez un article ou emportez un livre avec vous, de préférence un livre qui ne susciterait aucune suspicion dans l'environnement (s) que vous prévoyez d'utiliser le "notebook".

Choisissez un algorithme pour calculer les mots de passe du texte du livre. Quelque chose comme "à partir des dix premiers mots d'un paragraphe spécifique, prenez la première lettre et rassemblez-les pour former le mot de passe" est probablement un peu trop simple, mais vous trouverez sûrement un algorithme personnel qui est un peu plus difficile à deviner.

Pour mapper des mots de passe (c'est-à-dire des parties du texte) aux comptes, vous avez essentiellement deux options, mais elles peuvent aussi être combinées:

• Pour un compte, choisissez un passage de texte qui se rapporte en quelque sorte au thème du récit. Cela demande un peu de créativité. Par exemple, la partie d'une histoire courte où le personnage principal envoie une lettre à son amie peut indiquer que le mot de passe de votre compte de messagerie y est caché.
• Mettez des notes autocollantes ou similaires dans le livre. Marquez des parties du texte et écrivez des notes à côté d'elles. Il est parfaitement normal pour quiconque étudie un texte de le saupoudrer de toutes sortes d'annotations. Surtout si vous emportez ce livre avec vous tout le temps, c'est très plausible. Veillez à ce que vos notes ne montrent pas trop clairement qu'un passage peut contenir un mot de passe. Peut-être aussi marquer certaines parties du texte qui ne contiennent pas de mot de passe, pour attirer l'attention.

Cela peut sembler un peu étrange si vous allez courir avec le même livre pour les dix prochaines années. Cependant, les mots de passe sont censés être modifiés de temps en temps de toute façon. Alors après un certain temps, procurez-vous un nouveau livre, préparez-le comme suggéré ci-dessus et changez vos mots de passe.

En prime, vous souhaiterez peut-être choisir un livre contenant des listes de codes sources ou des parties techniques. L'idée derrière cela est qu'ils se composent naturellement de beaucoup de caractères spéciaux (non alphanumériques). De cette façon, vous pouvez obtenir plus facilement un mot de passe avec des caractères spéciaux à partir du texte.

Écrivez / imprimez un morceau de papier en caractères complets ou utilisez un livre déjà écrit ou un ancien essai de l'école, mémorisez une position et un motif et c'est fait.

5000 caractères tiennent sur une seule page, il y a 5000 ^ n modèles différents que vous pourriez potentiellement prendre, donc avec 0 information, le papier est plus difficile à déchiffrer qu'une simple attaque par force brute sur le mot de passe lui-même.

Si le nombre de tentatives de mot de passe n'est pas strictement limité, vous devrez imprimer des caractères spéciaux et des majuscules minuscules sur le papier également ou avoir un mot de passe long.

Vous pouvez également créer quelques fausses marques / fausses énigmes / faux mots sur le papier pour inciter un attaquant à essayer de se connecter et à vous alarmer / vous informer potentiellement.