Il n'y a aucun avantage de sécurité substantiel à interdire les mots de passe collés; au contraire, il est susceptible d ' affaiblir la sécurité en décourageant l'utilisation de gestionnaires de mots de passe pour générer et remplir automatiquement des mots de passe aléatoires. Bien que certains gestionnaires de mots de passe soient capables de contourner les restrictions de collage, il n'en demeure pas moins que les utilisateurs ne doivent pas être obligés de taper leur mot de passe à la main.

Extrait d'un article WIRED pertinent:

Sites Web, veuillez arrêter de bloquer les gestionnaires de mots de passe. Nous sommes en 2015. vous rend plus sûr.

Voici le problème: certains sites ne vous permettent pas de coller les mots de passe dans les écrans de connexion, vous obligeant, à la place, à taper les mots de passe. Cela rend impossible l'utilisation de certains types de gestionnaires de mots de passe qui sont l'une des meilleures lignes de défense pour garder les comptes verrouillés.

La désactivation du collage d'un champ de mot de passe introduit un " effet Cobra". Un effet Cobra "se produit lorsqu'une tentative de solution à un problème aggrave le problème."

Troy Hunt a récemment écrit un article dans lequel il l'explique plus en détail. C'est essentiellement un théâtre de sécurité, comme ce qui se passe dans les aéroports pour «nous rendre plus sûrs». Troy Hunt l'appelle un effet Cobra car il désactive l'utilisation de mots de passe sécurisés de 50 caractères qui seraient collés à partir d'un gestionnaire de mots de passe. Au mieux, cela oblige les gens à créer des mots de passe faciles à retenir et donc plus piratables.

Certains pourraient dire que cela vous rend plus sûr car cela empêche votre presse-papiers d'être copié par des logiciels malveillants, mais ils ignorent le fait que si les logiciels malveillants peuvent déjà le faire, ils peuvent également copier toutes sortes de pressions sur les touches, pas seulement Ctrl + V. C'est inutile.

D'un point de vue UX, c'est juste ennuyeux, comme vous le dites. C'est donc ennuyeux d'un point de vue UX, et cela ne nous rend pas plus sûrs. Cette "fonctionnalité" ne sert à rien.

Non, il n'y a aucune raison valable de faire cela. C'est un mauvais UX, clair et simple. La désactivation du collage dans un champ de mot de passe encourage en fait les mauvais mots de passe. Les gestionnaires de mots de passe effacent automatiquement le presse-papiers après le collage, de sorte que l'argument n'est plus valide.

Le principal argument de sécurité pour interdire la copie&pasting des mots de passe est que le mot de passe reste ensuite dans le presse-papiers de l'utilisateur. Cela peut conduire à une exposition accidentelle du mot de passe dans un contexte indépendant. Par exemple, lorsque l'utilisateur le colle accidentellement dans un champ de saisie différent dans une application différente (Web ou autre). Un autre scénario possible pourrait être lorsque l'utilisateur s'éloigne de son appareil sans le verrouiller et que quelqu'un d'autre appuie sur ctrl + v pour vérifier ce qu'il a dans son presse-papiers.

Cependant, il s'agit d'un très petit risque par rapport au énormes avantages de sécurité dont disposent les gestionnaires de mots de passe. De plus, les gestionnaires de mots de passe ont souvent une fonction pour effacer automatiquement le presse-papiers quelques secondes après avoir copié un mot de passe, ce qui réduit considérablement ce risque.

Il y a des raisons de le faire, mais pas très bonnes.

Fondamentalement, cela décourage le copier-coller. Cela signifie que les utilisateurs sont moins susceptibles de l'oublier dans leur presse-papiers et de le faire divulguer accidentellement. De plus, s'ils le collent, cela signifie qu'ils l'ont sauvegardé quelque part (comme un fichier texte), ce qui n'est pas aussi sûr que leur cerveau - donc si le fichier texte devient inutile, peut-être qu'ils compteront davantage sur leur mémoire.

Bien sûr, cela n'a pas de sens. Beaucoup de personnes qui copient et collent le font à partir de leur gestionnaire de mots de passe, qui est très bien protégé. Les gestionnaires de mots de passe effacent également automatiquement le presse-papiers, et comme indiqué ailleurs, quelles sont les chances que votre utilisateur ait un keylogger capable de lire le presse-papiers mais pas les touches?

Pour moi, des choses comme celle-ci révèlent une sorte de mépris de l'intelligence de l'utilisateur. Il dit essentiellement: "vous êtes trop stupide pour ne pas vous faire voler votre mot de passe, vous êtes trop stupide pour suivre de simples consignes de sécurité, nous allons simplement attacher ce harnais pour bébé pour vous protéger de vous-même". N'oubliez pas que lorsque vos informations de connexion sont volées, il est beaucoup plus probable que cela soit dû à une violation de données côté serveur, plutôt qu'à une fuite de presse-papiers côté client. J'essaie d'éviter de tels sites si possible, car ils me font penser que je ne suis pas le bon public pour le site.

Heureusement, de nombreux gestionnaires de mots de passe de nos jours commencent à simplement émuler les pressions sur les touches au lieu de simplement coller, donc à la fin la blague est sur eux.

Je peux en fait penser à exactement une bonne raison pour interdire le collage de mots de passe. Lors de la configuration initiale de votre mot de passe ou de sa modification.

La raison est qu'il existe une petite chance que, pour une raison quelconque, vous n'ayez pas copié votre mot de passe dans le presse-papiers alors que vous pensiez l'avoir vous collez dans le champ de mot de passe est en fait tout ce qui n'a pas de sens dans votre presse-papiers avant cela. Le champ du mot de passe étant masqué, vous n’auriez aucun moyen de savoir que vous venez de coller

826 W. Main St. dans le nouveau champ de mot de passe, au lieu de

Bubblez84-l0ve!
ou
h*7dn$l83k&(4;p

comme vous le pensiez que vous aviez. Ce sera un réel problème la prochaine fois que vous essaierez de vous connecter.

Je suis chef de produit pour la sécurité en ligne dans une très grande entreprise.

J'ai en fait eu une réunion aujourd'hui concernant la désactivation du collage de mots de passe. Nous permettons de coller des mots de passe pour le moment mais pensons à le changer.

Vous pouvez adopter différentes perspectives sur cette approche et les avantages / inconvénients peuvent varier complètement en fonction du cas d'utilisation que vous avez et de la manière dont votre site est sécurisé et si vous utilisez 2FA ou non.

Personnellement, je ne désactiverais pas le collage des mots de passe pour les sites qui ne reposent que sur le nom d'utilisateur & password pour la connexion.

Je pense à le désactiver dans notre cas pour plusieurs raisons

• La force de votre mot de passe ne vous rend pas plus sûr dans notre cas. Oui, je sais que nous disons aux gens depuis des lustres qu'ils doivent choisir un mot de passe raisonnablement sécurisé, mais en fin de compte, cela ne vous aidera / nous aidera pas un peu si votre ordinateur est infecté par des logiciels malveillants. Les logiciels malveillants ne se soucient pas de savoir si votre mot de passe est "12345" ou un chiffrement super compliqué de 100 caractères. Il le vole ou reprend votre session.

• Nous ne sommes pas confrontés au risque d'attaques par force brute ou par mot de passe. Il existe des moyens d'atténuer ce qui est en place dans notre cas.

• Il existe des solutions de biométrie comportementale où les profils sont construits en fonction de la dynamique des touches, etc. qui permettent avec un degré élevé de certitude d'identifier si un utilisateur qui entre les informations d'identification est bien l'utilisateur nous attendons. Les informations d'identification sont vraies ou fausses. Si quelqu'un a vos informations d'identification, il peut s'authentifier. C'est pourquoi j'aimerais savoir si la personne qui saisit les informations d'identification correctes est bien la personne que nous espérons la connaître. Le nom d'utilisateur et le mot de passe doivent être saisis à chaque fois pendant le processus de connexion, ces champs sont donc assez intéressants pour vérifier si une telle solution est déployée au sein de l'organisation. Ce n'est pas possible si quelqu'un copie / colle son mot de passe.

Je n'ai pas encore décidé de le désactiver dans notre cas. Comme toujours, nous devons maintenir un équilibre entre convivialité et sécurité.

De nombreuses réponses indiquent que c'est une mauvaise pratique car cela peut briser les gestionnaires de mots de passe. Bien que l'utilisation de gestionnaires de mots de passe soit encouragée, le stockage des mots de passe dans le presse-papiers doit être fortement déconseillé. Le presse-papiers n'est pas un casier sécurisé spécial pour les informations et de par sa conception, il rend son contenu facile d'accès et n'offre aucun cryptage.

Voici juste un scénario de la façon dont cela pourrait être exploité:

• L'utilisateur copie le mot de passe en texte brut.
• L'utilisateur visite un autre site Web avec une application Flash tout en surfant simplement sur le Web. Ou le site Web a été envoyé à la victime intentionnellement par l'attaquant.
• Flash permet d'accéder au presse-papiers en tant qu'API. Le contenu du presse-papiers est donc facilement accessible et peut être envoyé à l'attaquant.

Il y a même eu des cas où quelqu'un a acheté un tas d'annonces rich media sur un tas de sites Web bien connus. Alors qu'ils ressemblaient à une publicité flash apparemment inoffensive, il volait en fait les données du presse-papiers des visiteurs dans l'espoir d'obtenir des informations utiles.

Donc, pour terminer, si vous avez quelque chose que vous voulez garder en sécurité, don Je ne le garde pas dans le presse-papiers .

D'autres réponses ont donné des explications plus approfondies, mais en bref, rappelez-vous que le plus gros risque de sécurité en ce qui concerne les mots de passe provient toujours d'attaques ciblées sur les serveurs, pas sur un client. En d'autres termes, avoir votre mot de passe dans le presse-papiers ne le met pas vraiment en danger, car si le mot de passe devait être craqué, il serait plus susceptible d'être craqué à partir d'une base de données de mots de passe volée au serveur ou même forcée que volée dans votre presse-papiers.

C'est pourquoi il est significatif que, comme d'autres réponses l'ont souligné, empêcher un utilisateur de coller son mot de passe le dissuade d'avoir un mot de passe complexe, ce qui rend son mot de passe plus facile à forcer brutalement et donc moins sécurisé.

Je pense que cela dépend des services qui sont sécurisés par le formulaire de connexion. Il est important de considérer qu'un gestionnaire de mots de passe peut restreindre la connexion à l'appareil sur lequel le gestionnaire de mots de passe est installé, ce avec quoi le fournisseur de services n'est pas toujours d'accord. Par exemple, si le service était une banque qui souhaite donner à ses utilisateurs la possibilité de verrouiller les cartes en cas de perte ou de vol, il peut souhaiter conserver ce privilège dans les cas où l'appareil exécutant le gestionnaire de mots de passe a également été perdu ou volé.