Une étude des facteurs de sécurité des mots de passe sur les sites web gouvernementaux bangladais

1. Introduction

Avec la numérisation rapide des services publics dans le cadre de l'initiative 'Bangladesh numérique', le gouvernement du Bangladesh a lancé de nombreux sites web pour fournir des services en ligne. Cependant, la sécurité de ces plateformes, en particulier les mécanismes de mots de passe, reste une préoccupation majeure. Cette étude analyse 36 sites web gouvernementaux bangladais selon six heuristiques de sécurité des mots de passe afin d'évaluer leur préparation face aux cybermenaces.

2. Table des matières

• 1. Introduction
• 3. Contexte et travaux connexes
• 4. Méthodologie
• 5. Résultats et analyse
  • 5.1 Directives de construction des mots de passe
  • 5.2 Mécanisme de récupération des mots de passe
  • 5.3 Utilisation du CAPTCHA
  • 5.4 Questions de sécurité
  • 5.5 Adoption du HTTPS
  • 5.6 Indicateur de force du mot de passe
• 6. Aperçu statistique
• 7. Principaux enseignements
• 8. Détails techniques et formulation mathématique
• 9. Résultats expérimentaux et description des graphiques
• 10. Exemple de cadre d'analyse
• 11. Analyse originale
• 12. Applications et orientations futures
• 13. Références
• 14. Commentaire d'expert

3. Contexte et travaux connexes

Les mots de passe restent le mécanisme d'authentification le plus utilisé malgré des vulnérabilités connues. Des études antérieures ont souligné que des politiques de mots de passe faibles et l'absence de cryptage HTTPS sont des problèmes courants dans les portails gouvernementaux à l'échelle mondiale. Cette étude est la première du genre à se concentrer spécifiquement sur les sites web gouvernementaux bangladais.

4. Méthodologie

Nous avons sélectionné 36 sites web gouvernementaux bangladais proposant des services d'inscription et de connexion. Chaque site web a été évalué selon six heuristiques : directives de construction des mots de passe, mécanisme de récupération des mots de passe, utilisation du CAPTCHA, questions de sécurité, adoption du HTTPS et indicateur de force du mot de passe. Les données ont été collectées manuellement et vérifiées de manière croisée.

5. Résultats et analyse

5.1 Directives de construction des mots de passe

Seulement 12 sites web sur 36 (33,3 %) fournissaient des directives explicites pour la construction des mots de passe. Les 24 sites web restants (66,7 %) n'offraient aucune directive, ce qui conduit à des choix de mots de passe faibles.

5.2 Mécanisme de récupération des mots de passe

28 sites web (77,8 %) proposaient une récupération de mot de passe par e-mail, tandis que 8 sites web (22,2 %) n'avaient aucun mécanisme de récupération ou dépendaient d'une intervention manuelle.

5.3 Utilisation du CAPTCHA

Le CAPTCHA était implémenté sur 20 sites web (55,6 %). Les 16 sites web restants (44,4 %) ne disposaient d'aucun mécanisme de détection de robots, ce qui augmente la vulnérabilité aux attaques automatisées.

5.4 Questions de sécurité

Seulement 9 sites web (25 %) utilisaient des questions de sécurité pour la récupération des mots de passe. La plupart des questions étaient prévisibles (par exemple, 'Quel est le nom de votre animal de compagnie ?'), offrant une sécurité minimale.

5.5 Adoption du HTTPS

30 sites web (83,3 %) utilisaient le HTTPS, mais 6 sites web (16,7 %) fonctionnaient encore en HTTP, transmettant les identifiants en texte clair.

5.6 Indicateur de force du mot de passe

Seulement 10 sites web (27,8 %) fournissaient un indicateur de force du mot de passe en temps réel. L'absence de ce type de retour contribue à la sélection de mots de passe faibles.

6. Aperçu statistique

7. Principaux enseignements

• La majorité des sites web manquent de directives pour la construction des mots de passe, ce qui conduit à des mots de passe faibles.
• L'adoption du CAPTCHA est insuffisante, exposant les sites web aux attaques par force brute et automatisées.
• L'adoption du HTTPS est relativement élevée mais pas universelle, posant des risques d'interception de données.
• Les indicateurs de force des mots de passe sont sous-utilisés, manquant une occasion de guider les utilisateurs.

8. Détails techniques et formulation mathématique

L'entropie du mot de passe $H$ est calculée comme $H = L \cdot \log_2(N)$, où $L$ est la longueur du mot de passe et $N$ est le nombre de caractères possibles. Pour un mot de passe de longueur 8 utilisant 62 caractères (a-z, A-Z, 0-9), l'entropie est $H = 8 \cdot \log_2(62) \approx 47,6$ bits. Une entropie minimale de 30 bits est recommandée pour les systèmes à faible risque, tandis que 50 bits ou plus est recommandé pour les données sensibles.

9. Résultats expérimentaux et description des graphiques

Graphique 1 : Taux d'adoption des heuristiques - Un diagramme à barres montrant le pourcentage de sites web implémentant chaque heuristique. L'adoption du HTTPS est en tête avec 83,3 %, tandis que les questions de sécurité sont à la traîne avec 25 %. Le graphique visualise clairement la disparité dans les pratiques de sécurité.

Graphique 2 : Distribution de la force des mots de passe - Un diagramme circulaire illustrant que 60 % des sites web acceptent des mots de passe de moins de 8 caractères, 30 % exigent 8 à 12 caractères, et seulement 10 % imposent 12 caractères ou plus.

10. Exemple de cadre d'analyse

Étude de cas : Site web X (anonyme)

• Directives de mots de passe : Aucune fournie.
• Récupération : Basée sur l'e-mail, pas de questions de sécurité.
• CAPTCHA : Non implémenté.
• HTTPS : Oui.
• Indicateur de force : Non.
• Niveau de risque : Élevé - vulnérable aux attaques par force brute et au hameçonnage.

11. Analyse originale

Cette étude révèle un écart préoccupant entre la politique et la pratique dans la sécurité du gouvernement électronique au Bangladesh. Bien que le gouvernement ait fait des progrès dans la numérisation des services, l'absence de mesures de sécurité de base pour les mots de passe—telles que les directives, le CAPTCHA et les indicateurs de force—indique une sous-estimation systémique des cyberrisques. Les 16,7 % de sites web utilisant encore le HTTP sont particulièrement alarmants, car cela expose les identifiants des utilisateurs à une interception via des attaques de type homme du milieu. Selon un rapport de 2021 de la Banque mondiale, les pays en développement perdent environ 0,5 % de leur PIB chaque année à cause de la cybercriminalité, un chiffre qui pourrait augmenter sans intervention. Les résultats s'alignent sur les recherches plus larges de Herley et van Oorschot (2012) sur l'économie de la sécurité des mots de passe, qui soutiennent que le comportement des utilisateurs est fortement influencé par la conception du système. L'absence d'indicateurs de force et de directives transfère effectivement la charge de la sécurité aux utilisateurs, qui manquent souvent d'expertise. Une analyse comparative avec des études similaires en Inde et au Pakistan montre que le Bangladesh est en retard dans l'adoption du CAPTCHA (55,6 % contre 70 % en Inde) mais en tête dans l'utilisation du HTTPS (83,3 % contre 65 % au Pakistan). Cela suggère que des investissements dans les infrastructures sont réalisés, mais que les fonctionnalités de sécurité destinées aux utilisateurs sont négligées. Pour s'améliorer, le gouvernement devrait imposer des normes minimales pour les mots de passe, généraliser le HTTPS sur tous les domaines et intégrer le CAPTCHA comme exigence de base. Le coût de la mise en œuvre est négligeable par rapport aux pertes potentielles d'une violation.

12. Applications et orientations futures

Les travaux futurs devraient élargir l'ensemble des heuristiques pour inclure l'adoption de l'authentification multifacteur (MFA), les algorithmes de hachage des mots de passe et les pratiques de gestion des sessions. Des études longitudinales suivant les changements dans le temps aideraient à mesurer l'impact des interventions politiques. De plus, des études centrées sur l'utilisateur concernant le comportement des mots de passe parmi les citoyens bangladais pourraient éclairer de meilleures directives de conception. L'intégration de l'authentification biométrique et des systèmes sans mot de passe (par exemple, WebAuthn) représente une direction prometteuse pour renforcer la sécurité sans compromettre la convivialité.

13. Références

1. Herley, C., & van Oorschot, P. (2012). A research agenda acknowledging the persistence of passwords. IEEE Security & Privacy, 10(1), 28-36.
2. Banque mondiale. (2021). Cybersécurité et développement économique : une perspective mondiale. Washington, DC.
3. Florencio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th International Conference on World Wide Web, 657-666.
4. Bonneau, J., et al. (2012). The quest to replace passwords: A framework for comparative evaluation of web authentication schemes. IEEE Symposium on Security and Privacy, 553-567.
5. Conseil de l'informatique du Bangladesh. (2020). Stratégie nationale de cybersécurité 2020-2025. Dacca.

14. Commentaire d'expert