On change de mot de passe tous les ans. On ne change jamais d'adresse email.
Une fuite qui circule ressemble à ça : une ligne par compte, l'adresse email à gauche, le mot de passe à droite, un deux-points entre les deux. Tout le conseil disponible porte sur la moitié droite. La moitié gauche, personne ne la touche.
On demande toujours si le mot de passe est assez solide. Presque personne ne demande à qui il est attaché. La question est mal découpée : le rejeu automatisé a besoin des deux moitiés, et il s'écroule dès qu'une seule des deux devient incertaine.
Cette moitié gauche a ses propres paliers, et le simulateur les note. Sur un compte déjà correctement tenu, changer d'identifiant est parfois le geste qui coûte le moins et qui rapporte le plus.
D'où ça vient
L'identifiant naît collé au mot de passe. Sur les systèmes à temps partagé des années 1960, chaque personne reçoit un nom d'utilisateur propre à la machine, et ce nom ne circule pas : il n'a de sens que dans cette salle, sur ce système.
Le web des années 2000 a dissous cette propriété. L'adresse email devient l'identifiant par défaut, parce qu'elle rend trois services d'un coup : elle est unique, elle permet de confirmer l'inscription, elle permet de réinitialiser le mot de passe. Le prix payé est invisible sur le moment. Le même identifiant sert désormais sur des centaines de sites, il est écrit dans les signatures de tes messages, il figure dans les carnets d'adresses de tes contacts, et il ne change jamais.
La réponse technique arrive à la fin des années 2010, sous la même forme chez trois acteurs différents.
SimpleLogin. Le projet démarre en 2019, la société française est créée en 2020, et Proton l'achète le 8 avril 2022. Le principe : une adresse jetable par service, qui redirige vers ta vraie boîte, désactivable d'un clic.
Firefox Relay. Mozilla ouvre le service en version d'essai en août 2020, sous forme d'extension, avec la même mécanique de masque et de redirection.
Masquer mon adresse e-mail. Apple annonce iCloud+ à la WWDC de juin 2021 et livre la fonction avec iOS 15. Elle génère une adresse aléatoire en @privaterelay.appleid.com à chaque formulaire, et s'appuie sur le relais déjà utilisé par « Se connecter avec Apple » depuis 2019.
Aucun des trois n'a été conçu d'abord contre l'attaque. Le moteur de départ est le pistage publicitaire et le courrier indésirable. L'effet sur l'authentification est un bénéfice de bord, et il est réel.
Le problème que ça résout
Trois choses, dans cet ordre d'importance.
Casser la paire. Le rejeu d'identifiants fuités a besoin des deux moitiés. Le simulateur le compte à 0,90 pour l'opportuniste automatisé quand identifiant et mot de passe sont connus. Un alias par service applique un facteur 0,10 à cette valeur pour l'opportuniste et 0,50 pour le ciblé. Un pseudonyme applique 0,35 et 0,70. La raison est mécanique : l'attaquant qui rejoue une liste de dix millions de paires n'a pas envie de deviner à quel compte correspond a7f3k2@simplelogin.co.
Fermer le premier obstacle du chemin. Avant le mot de passe vient l'identifiant. Le simulateur compte « identifiant connu ou deviné » à 1,00 / 1,00 / 1,00 pour une adresse email ou un numéro de téléphone : aucun obstacle, la valeur est certaine pour les trois attaquants. Un pseudonyme la fait tomber à 0,40 / 0,75 / 0,95. Un alias par service, à 0,20 / 0,60 / 0,95.
Trahir le leurre. Une adresse par service transforme ta boîte en détecteur. Un message qui prétend venir de ta banque mais qui arrive sur l'adresse réservée à un forum de bricolage n'a plus besoin d'être examiné. Le simulateur traduit ça par un facteur 0,70 sur l'exposition à l'hameçonnage. Ça marche aussi dans l'autre sens : quand une adresse réservée à un seul service commence à recevoir de la publicité, tu sais qui a fuité ou revendu.
Note ce que le troisième point implique. L'alias donne une information de provenance qu'on n'a jamais eue autrement.
Les problèmes que ça ajoute
L'alias est une bonne mécanique, et elle se paie tous les jours plutôt qu'une fois. Pourquoi ne pas en poser partout dès demain matin ? Parce que chaque alias devient une pièce à tenir, et qu'une pièce perdue coûte le compte.
Un effort de gestion, permanent. Chaque alias se crée, se nomme, se retrouve. À trois comptes, c'est amusant. À quatre-vingts, c'est ingérable sans un gestionnaire de mots de passe qui range l'alias avec le reste. L'alias ne se pose donc pas avant le coffre, il se pose après.
Une dépendance supplémentaire. Ton service d'alias devient un point de passage sur le chemin de tous tes comptes. S'il ferme, si ton abonnement expire, si le compte est suspendu, les redirections s'arrêtent. Les services n'ont plus aucun moyen de te joindre, y compris pour une réinitialisation. Poser les alias sur un domaine qui t'appartient déplace le problème sans le supprimer : la dépendance passe au bureau d'enregistrement du domaine, et l'oubli d'un renouvellement produit le même résultat.
Des refus. Certains services, banques et administrations en tête, rejettent les domaines connus des fournisseurs d'alias. Tu découvres le refus au moment de créer le compte, parfois au moment de le récupérer.
Le numéro de téléphone est un mauvais identifiant. Il est aussi certain à deviner qu'une adresse email, avec 1,00 / 1,00 / 1,00 dans le simulateur, et il ouvre en prime un chemin qui n'existerait pas sans lui : le détournement de ligne mobile, compté 0,02 / 0,25 / 0,30. Le FBI a publié en février 2022 une alerte publique sur cette technique, où l'attaquant obtient d'un opérateur le transfert du numéro sur une carte SIM qu'il contrôle. Le détail du mécanisme est dans Le code par SMS.
Un pseudonyme réutilisé n'est plus un pseudonyme. Le même surnom sur quarante sites redevient un identifiant stable, cherchable, et souvent relié à ton nom quelque part. Le pseudonyme n'a rien perdu de ses qualités : c'est l'habitude de le reprendre partout qui l'a transformé en identifiant. La valeur de 0,40 pour l'opportuniste suppose un pseudonyme qui ne sert qu'ici.
Les niveaux
Quatre paliers, du plus ouvert au plus fermé. La valeur citée est celle de la technique « identifiant connu ou deviné », dans l'ordre opportuniste / ciblé / proche.
Adresse email nominative. 1,00 / 1,00 / 1,00. Ton prenom.nom@fournisseur.com figure dans des dizaines de fuites, dans les carnets d'adresses de tes contacts, et se devine à partir de ton nom. Il n'y a pas d'obstacle à franchir.
Numéro de téléphone. 1,00 / 1,00 / 1,00, plus le détournement de ligne en cadeau. Le palier le moins intéressant du lot.
Pseudonyme. 0,40 / 0,75 / 0,95. L'opportuniste automatisé perd 60 % de ses chances, parce que ses listes ne portent pas le bon identifiant. Le ciblé, qui te cherche activement, retrouve un pseudonyme dans trois quarts des cas. Le proche le connaît.
Alias par service. 0,20 / 0,60 / 0,95. Le meilleur rapport entre l'effort et l'effet contre l'attaque de masse. L'écart entre 0,40 et 0,20 sur l'opportuniste vient du fait qu'un alias aléatoire ne se devine pas du tout, là où un pseudonyme se réutilise souvent ailleurs.
Le 0,95 constant sur le proche mérite un mot. Quelqu'un qui a accès à tes écrans, à ton courrier ou à ton téléphone lit ton identifiant, quel qu'il soit. Aucun palier d'identifiant ne le ralentit. Contre lui, le travail se fait sur les appareils et sur les portes de service.