Gestion des mots de passe

Les élèves retiennent mieux la gestion des mots de passe quand ils expérimentent concrètement la vulnérabilité de leurs propres choix. Une approche active transforme des concepts techniques abstraits en démonstrations tangibles, ce qui renforce la mémorisation et l’adoption de bonnes pratiques.

• Seconde
• SNT : Culture et Citoyenneté Numérique
• 4 activités
• 20 min–35 min

Objectifs d’apprentissage

1. Analyser la vulnérabilité des mots de passe faibles face aux attaques par force brute et par dictionnaire.
2. Comparer l'efficacité et la sécurité des méthodes de gestion de mots de passe traditionnelles et modernes (gestionnaires de mots de passe).
3. Concevoir une politique de mots de passe robuste incluant la complexité, la longueur et la fréquence de changement.
4. Expliquer le rôle du salage (salting) et du hachage dans la sécurisation des mots de passe stockés par les services en ligne.
5. Évaluer les risques liés à la réutilisation des mots de passe sur différents services numériques.

Défi de la ligne du temps

⏱ 20 min·Individuel

Défi de la ligne du temps: Combien de temps pour casser ton mot de passe ?

Les élèves utilisent un outil en ligne de calcul d'entropie (howsecureismypassword.net ou équivalent) pour tester la robustesse de différents mots de passe. Ils comparent les résultats entre un mot court, un mot du dictionnaire, et une phrase de passe longue.

Préparation et détails

Pourquoi les mots de passe traditionnels sont-ils devenus insuffisants pour protéger nos comptes en ligne ?

Conseil de facilitation: Pour le Défi sur le temps de cassage, limitez les élèves à 3 essais pour éviter la frustration tout en maintenant l’impact de la démonstration.

Setup: Long pan de mur ou espace au sol pour la frise

Materials: Cartes d'événements (dates et descriptions), Support de frise (ruban adhésif ou long papier), Flèches de connexion ou ficelle, Cartes d'aide à l'argumentation

• Mémoriser
• Comprendre
• Analyser
• Autogestion
• Compétences relationnelles

Résolution de problèmes en collaboration

⏱ 35 min·Individuel

Atelier pratique : Configurer un gestionnaire de mots de passe

Les élèves installent un gestionnaire gratuit (Bitwarden ou KeePassXC) et importent quelques identifiants de test. Ils explorent les fonctionnalités : génération aléatoire, remplissage automatique, détection de doublons. L'objectif est de lever les freins pratiques à l'adoption.

Préparation et détails

Comment un gestionnaire de mots de passe améliore-t-il à la fois la sécurité et l'ergonomie de notre vie numérique ?

Setup: Travail en îlots avec supports de travail

Materials: Dossier de la situation-problème, Cartes de rôles (facilitateur, secrétaire, etc.), Fiche de protocole de résolution, Grille d'évaluation de la solution

• Appliquer
• Analyser
• Évaluer
• Créer
• Compétences relationnelles
• Prise de décision
• Autogestion

Penser-Partager-Présenter

⏱ 25 min·Binômes

Penser-Partager-Présenter: Authentification à deux facteurs

Chaque élève réfléchit à ce qui se passe si son mot de passe est volé. En binôme, ils explorent les différentes formes de 2FA (SMS, application TOTP, clé physique) et classent leurs avantages et inconvénients. La mise en commun aboutit à une recommandation collective.

Préparation et détails

Quelles stratégies permettent de concevoir et de maintenir une politique de mots de passe réellement robuste ?

Setup: Disposition de classe standard ; les élèves se tournent vers leur voisin

Materials: Consigne de discussion (projetée ou distribuée), Optionnel : fiche de prise de notes pour les binômes

• Comprendre
• Appliquer
• Analyser
• Conscience de soi
• Compétences relationnelles

Jeu de simulation

⏱ 30 min·Petits groupes

Jeu de simulation: L'attaque par dictionnaire

L'enseignant prépare une liste de hash de mots de passe courants. Les élèves, en petits groupes, tentent de retrouver les mots de passe en comparant avec un dictionnaire de mots fréquents. Ils mesurent combien de mots tombent et comprennent pourquoi les mots du dictionnaire sont à proscrire.

Préparation et détails

Pourquoi les mots de passe traditionnels sont-ils devenus insuffisants pour protéger nos comptes en ligne ?

Setup: Espace modulable avec différents îlots de travail

Materials: Fiches de rôle avec objectifs et ressources, Monnaie fictive ou jetons de jeu, Tableau de suivi des tours

• Appliquer
• Analyser
• Évaluer
• Créer
• Conscience sociale
• Prise de décision

Enseigner ce sujet

Commencez par des exemples concrets et proches des élèves pour ancrer les concepts techniques. Évitez les explications trop théoriques : privilégiez les démonstrations en direct et les retours immédiats sur leurs propres pratiques. Utilisez des comparaisons visuelles, comme un tableau de force brute, pour rendre les attaques tangibles.

À quoi s’attendre

Les élèves doivent pouvoir justifier le choix d’un mot de passe robuste avec des arguments techniques, configurer un gestionnaire de mots de passe en classe et identifier les risques liés à la réutilisation des mots de passe dans un langage clair et précis.

Attention à ces idées reçues

Idée reçue courante

During l’atelier pratique sur les gestionnaires de mots de passe, certains élèves pensent que remplacer des lettres par des chiffres (p@ssw0rd) rend un mot de passe sûr.

Ce qu'il faut enseigner à la place

Utilisez l’outil d’entropie intégré à l’atelier pour montrer que la phrase 'JeBoisUnCaféLeMatin' est bien plus robuste qu’un mot court comme 'P@ssw0rd', même avec des substitutions. Demandez aux élèves de calculer l’entropie des deux exemples avec l’outil en ligne.

Idée reçue courante

During la simulation de l’attaque par dictionnaire, certains élèves craignent qu’un gestionnaire de mots de passe centralise tous les risques.

Ce qu'il faut enseigner à la place

Pendant l’atelier pratique, utilisez des captures d’écran des bases de données de fuites pour montrer qu’un mot de passe unique réutilisé est immédiatement compromis. Comparez ce risque avec celui d’un gestionnaire chiffré, en insistant sur la protection par mot de passe maître.

Idées d'évaluation

Billet de sortie

After le Défi sur le temps de cassage, distribuez une fiche avec deux scénarios : un mot de passe faible ('Coucou123') et une phrase de passe ('J’aimeMangerDesPommesEnAutomne'). Demandez aux élèves d’expliquer en une phrase pourquoi la phrase de passe résiste mieux aux attaques par force brute et par dictionnaire.

Question de discussion

During l’atelier sur l’authentification à deux facteurs, posez la question : 'Pourquoi la réutilisation d’un mot de passe, même très complexe, reste-t-elle un risque majeur ?' Encouragez les élèves à utiliser les termes 'credential stuffing' et 'fuites de données' en s’appuyant sur les exemples de fuites récentes discutés en classe.

Vérification rapide

During l’activité de simulation de l’attaque par dictionnaire, présentez aux élèves une liste de 5 mots de passe et demandez-leur d’identifier ceux qui sont faibles selon les critères vus en classe (longueur, complexité, prévisibilité). Demandez une explication rapide pour chaque exemple, en citant le type d’attaque vulnérable (force brute, dictionnaire, etc.).

Extensions et étayage

• Challenge : Proposez aux élèves de tester un mot de passe personnalisé sur un site comme How Secure Is My Password et de présenter leur analyse à la classe.
• Scaffolding : Pour les élèves en difficulté, distribuez une liste de mots de passe faibles avec des indices pour les améliorer, comme ajouter des espaces ou une phrase mnémotechnique.
• Deeper exploration : Organisez un débat sur l’éthique des gestionnaires de mots de passe open-source versus propriétaires, en comparant les modèles de chiffrement.

Vocabulaire clé

Hachage (Hashing)	Processus cryptographique qui transforme une donnée (comme un mot de passe) en une chaîne de caractères de longueur fixe, rendant sa lecture directe impossible.
Salage (Salting)	Ajout d'une chaîne de caractères aléatoire unique à chaque mot de passe avant le hachage, augmentant la sécurité contre les tables arc-en-ciel et les attaques par dictionnaire.
Attaque par force brute	Méthode d'essai systématique de toutes les combinaisons possibles de caractères pour deviner un mot de passe.
Attaque par dictionnaire	Méthode qui tente de deviner un mot de passe en essayant des mots courants, des noms et des phrases issus d'une liste prédéfinie.
Gestionnaire de mots de passe	Application qui génère, stocke et remplit automatiquement des mots de passe complexes et uniques pour différents comptes en ligne, nécessitant un seul mot de passe maître.