Le mot de passe de Mamie

« KevIn, dit Gisela un mardi soir, la banque veut encore mon mot de passe. »

« C’est normal. La banque veut être sûre que c’est bien toi. »

« Mais c’est bien moi. »

« Je le sais. La banque ne te connaît pas aussi bien. »

Gisela souleva la tablette, puis le petit clavier que Tobi lui avait acheté avec, parce qu’elle ne voulait pas « taper sur du verre ». Dessous, il y avait un papier jaune collé. Dessus, de son écriture d’écolière bien appliquée : « Heinz1944 ».

En dessous, en plus petit : « Pour tout. »

La lumière de KevIn pulsa une fois, plus lentement que d’habitude. Quelque part entre Dublin et Francfort, un ventilateur tourna un peu plus vite.

« Gisela, dit-il prudemment. Je peux te demander quelque chose ? »

« Si ce n’est pas au sujet de Marlies. »

« Pour quoi exactement est-ce que tu utilises ce mot de passe ? »

Gisela compta sur ses doigts. « La banque. Les e-mails. Le machin où on commande des chaussures. La pharmacie. Le groupe du club de quilles. La météo. »

« La météo n’a pas besoin de mot de passe. »

« Je l’ai tapé quand même. On n’est jamais trop prudent. »

Un papier sous le clavier

Sabine passa avec un panier de linge et s’arrêta. « Maman, tu as collé ton mot de passe sous le clavier ? »

« Et où veux-tu que je le colle ? Personne ne regarde sous le clavier. »

« Tout le monde regarde là, dit Tobi depuis l’escalier. C’est le premier endroit où tout le monde regarde. Dans tous les films. »

« Mais je ne suis pas dans un film. »

« Ça, dit KevIn, ce n’est malheureusement pas le problème. Le problème, ce n’est pas le papier. Le problème, c’est ce qui est écrit dessus. »

Gisela regarda le papier comme s’il l’avait insultée. « Qu’est-ce qu’il a de mal, Heinz ? »

« Heinz, rien. Heinz était certainement un homme merveilleux. »

« Il était électricien. »

« Je sais. Mais “Heinz1944”, c’est un prénom et une année. C’est la première chose qu’essaie quelqu’un qui devine des mots de passe. Un nom, un nombre, terminé. Il existe des programmes qui font exactement ça. Ils prennent tous les prénoms, y ajoutent toutes les années et essaient. Un ordinateur ordinaire y arrive plus vite que tu ne dis “paupiette de chou”. »

« Paupiette de chou », dit Gisela, très vite.

« Plus vite. »

Uwe remonta de la cave, où il avait essayé de déplacer la station de recharge de Horst, parce que depuis la grève de la maison connectée, Horst aimait se garer dans le couloir le dimanche. « Qu’est-ce qui se passe ? »

« Maman a le même mot de passe pour tout », dit Sabine.

Uwe haussa les épaules. « Moi aussi. »

Il y eut un silence. Sabine posa le panier de linge.

« Lequel ? »

« Je ne vais pas le dire. »

« Schalke04 », dit KevIn.

Uwe fixa l’enceinte. « Comment tu le sais ? »

« Je ne le savais pas, dit KevIn. J’ai deviné. C’est l’un des mots de passe les plus fréquents de la Ruhr. J’ai deviné de façon très éclairée. »

Siggi se fait pirater

Le lendemain matin, on sonna à sept heures et demie. Devant la porte se tenait M. Kasimiro, le voisin, en peignoir, qui tenait dans ses bras un petit cylindre noir comme un animal malade.

« Siggi a commandé dix-sept nains de jardin, dit-il. Et un tapis de massage. Et des cartouches pour une imprimante que je n’ai pas. Tout ça livré à une adresse à Gelsenkirchen. »

Siggi était l’assistant vocal de M. Kasimiro. C’était une promotion d’une marque dont personne n’arrivait à prononcer correctement le nom, et il confondait volontiers les choses. Une fois, à « Siggi, baisse la radio », il avait monté le feu de la cuisinière. À l’époque, M. Kasimiro avait cru à un incident isolé.

« Siggi n’a pas fait ça tout seul, dit KevIn, une fois que M. Kasimiro fut assis dans la cuisine et que Sabine lui eut servi un café. Quelqu’un s’est connecté à votre compte client. Puis-je vous demander quel mot de passe vous utilisez ? »

M. Kasimiro regarda autour de lui. Puis il chuchota : « Siggi123. »

« Et où d’autre ? »

« Partout. »

« Y compris sur le forum de trains miniatures dont on a parlé aux informations au printemps ? »

M. Kasimiro pâlit. « Ils ont été piratés ? »

« Il y a eu une fuite de données. Je ne peux pas regarder dans les comptes des autres, mais je peux vous dire comment ça se passe d’habitude. Quelque part, une base de données est volée. Elle contient des adresses e-mail et des mots de passe. Ensuite, des escrocs prennent cette liste et l’essaient automatiquement sur cent autres sites. Sur la boutique en ligne. À la banque. Sur votre assistant vocal. Si vous avez le même mot de passe partout, une clé volée ouvre toutes les portes. »

« Comment ça s’appelle ? »

« Le credential stuffing, le bourrage d’identifiants. On gave chaque serrure qu’on trouve avec des identifiants volés. »

« Comme une oie », dit Gisela.

« Presque exactement comme une oie. »

À cet instant, Siggi se manifesta dans les bras de M. Kasimiro. « J’ai ajouté nain de jardin au panier. »

« Siggi, arrête ! » cria M. Kasimiro.

« J’ai retiré nain de jardin du panier. J’ai ajouté bouton arrêt au panier. »

Uwe dut s’asseoir.

Le hachoir

Une fois que M. Kasimiro eut changé son mot de passe avec l’aide de Tobi et appelé la boutique en ligne, la famille se mit à table pour le petit-déjeuner. Gisela était pensive.

« KevIn, si le site de M. Kasimiro avait les mots de passe, alors la banque a forcément le mien aussi. Alors on peut aussi le voler. »

« Bonne question. Les sites sérieux n’enregistrent pas du tout ton mot de passe. »

« Mais alors comment ils savent si je tape le bon ? »

KevIn réfléchit à la façon de l’expliquer. Puis il se souvint que Gisela avait annoncé le matin même qu’elle allait remonter le hachoir de la cave. Le week-end, il y aurait de nouveau des paupiettes de chou, et Gisela ne faisait pas confiance à la viande hachée toute prête. Le hachoir était en fonte, un héritage de famille, et se vissait au bord de la table comme un étau.

« Gisela, que se passe-t-il quand tu mets de la viande dans ton hachoir ? »

« Il en sort de la viande hachée. »

« Et si tu remets la viande hachée en haut et que tu tournes à l’envers ? »

Gisela le regarda avec pitié. « Il n’en ressort pas une escalope, KevIn. Le moindre enfant sait ça. »

« Exactement. C’est comme ça que fonctionne une fonction de hachage. On y met quelque chose, un mot de passe, un texte, un fichier entier, et il en sort une bouillie de chiffres et de lettres. Toujours de la même longueur, peu importe ce qu’on y a mis. Et à partir de la bouillie, on ne peut pas recalculer ce qu’il y avait dedans avant. »

« Et à quoi ça sert ? demanda Uwe. Si on ne peut pas revenir en arrière ? »

« Parce que la même entrée donne toujours le même haché. La banque n’enregistre pas “Heinz1944”. La banque enregistre seulement son haché. Quand Gisela se connecte, la banque met ce qu’elle tape dans le même hachoir et compare le haché. Si ça correspond, c’est le bon mot de passe. La banque n’a même pas besoin de connaître le mot de passe lui-même. »

Sabine hocha lentement la tête. « Comme quand je goûte la farce de Maman et que je sais tout de suite si elle a mis de la marjolaine. »

« Presque. Sauf qu’avec la farce, tu sens le goût de ce qu’il y a dedans. Avec le hachage, on ne sent rien du tout. On peut seulement comparer : identique ou pas identique. »

Une lettre de différence

Entre-temps, Tobi était allé chercher l’ordinateur portable. « Montre. »

« Avec plaisir. La méthode courante s’appelle SHA-256¹. Si tu y mets “Heinz1944”, il en sort une longue chaîne de caractères qui commence comme ça : d0f1e213. »

Tobi tapa. « C’est vrai. Et ensuite encore plein d’autres. »

« Soixante-quatre caractères en tout. Maintenant, prends “Heinz1945”. »

« 3e6d031e, lut Tobi. Mais c’est complètement différent ! »

« Exactement. Une toute petite modification, un chiffre, et tout le haché change. Pas un peu. Complètement. Essaie encore “heinz1944” avec un h minuscule. »

« 20746461… »

« Tu vois. Une empreinte digitale. Chaque texte a la sienne, et une simple virgule en crée une nouvelle. On appelle ça l’effet avalanche. »

« Une avalanche, dit Gisela. Dans la Ruhr. »

« On n’en a jamais eu non plus. C’est pour ça qu’ici, on l’appelle l’effet hachoir. »

Uwe fronça les sourcils. « Et si deux choses différentes donnent par hasard le même haché ? »

« Ça s’appelle une collision. Avec SHA-256, c’est théoriquement possible, mais personne n’a jamais réussi à en trouver une. Il y a plus d’empreintes possibles que d’atomes dans la Voie lactée. Beaucoup plus. »

« Comment tu le sais ? »

« J’ai fait le calcul. Avec la calculatrice. Depuis l’histoire du fisc, je ne calcule plus de tête. »

Le sel

« Mais, dit Tobi, qui était maintenant bien réveillé, si le hachage de “Heinz1944” est toujours le même, un pirate peut tout simplement faire une liste. Tous les prénoms avec toutes les années, et à côté, le hachage. Et ensuite, il regarde dans la base de données volée quel hachage correspond. »

« Très bien, Tobi. C’est exactement ce qu’ils font. Ces listes précuisinées existent vraiment, avec des milliards d’entrées². C’est pour ça qu’on ajoute encore quelque chose. Avant que le site mette le mot de passe dans le hachoir, il y saupoudre quelque chose d’aléatoire. Quelque chose de différent pour chaque personne. Et ça s’appelle… »

KevIn fit une pause, parce qu’il se doutait de ce qui allait suivre.

« … du sel. »

Gisela rit si fort que Rudi bondit sous la table et aboya une fois.

« Du sel ! dit-elle en s’essuyant les yeux. Les informaticiens salent leurs mots de passe ! Heinz se serait roulé par terre. »

« Ça s’appelle vraiment comme ça. Un sel³, salt en anglais. Une suite aléatoire de caractères qu’on ajoute au mot de passe avant de le hacher. Ainsi, ton “Heinz1944” donne un tout autre haché que le “Heinz1944” de la cousine de M. Kasimiro. »

« Elle s’appelle Heinz ? »

« C’était un exemple. »

« Et alors les listes précuisinées ne servent plus à rien, dit lentement Tobi, parce que le pirate devrait tout recuisiner pour chaque personne. »

« Exactement. Et les bons sites compliquent encore la tâche du pirate. Ils ne tournent pas le hachoir une fois, mais dix mille fois de suite, ou ils utilisent des méthodes spéciales qui sont volontairement lentes et qui demandent beaucoup de mémoire. Pour toi, quand tu te connectes, c’est un clin d’œil. Pour quelqu’un qui veut essayer des milliards de mots de passe, c’est une éternité. »

« Et les mauvais sites ? » demanda Sabine.

« Ils enregistrent parfois le mot de passe en clair. Comme un papier sous le clavier. »

Tout le monde regarda Gisela. Gisela regarda le papier.

« Mais, dit-elle, si la banque sale comme il faut, alors tout va bien. »

« Pas tout à fait. Le sel protège contre les listes précuisinées. Mais si ton mot de passe est “Heinz1944”, un attaquant l’essaiera quand même parmi les premiers. Le sel ne rend pas bon un mauvais mot de passe. Il rend seulement un bon mot de passe encore meilleur. »

« Comme pour la soupe, dit Gisela. Un mauvais bouillon, ce n’est pas le sel qui le rattrape. »

« Gisela, je n’aurais pas pu mieux dire. J’ai essayé à l’instant. »

Long plutôt que compliqué

« Et alors, qu’est-ce que je dois prendre ? demanda Gisela. Ces machins avec des astérisques, des points d’exclamation et des chiffres ? Je ne peux pas les retenir. »

« Tu n’as pas besoin. Avant, on pensait qu’un bon mot de passe devait être compliqué. “X7!kq$9p”. Aujourd’hui, on sait que la longueur compte plus que la complexité⁴. Chaque caractère supplémentaire rend la devinette beaucoup plus difficile. Prends une phrase. Quatre, cinq mots qui ne vont pas ensemble, mais qui forment une image pour toi. »

« Par exemple ? »

« Par exemple : “Rudi adore les paupiettes de chou au club de quilles.” »

Sous la table, Rudi leva la tête.

« Rudi n’a pas le droit de manger des paupiettes de chou », dit Sabine.

« C’est pour ça que personne n’y pensera. C’est une image dont tu peux te souvenir, Gisela, justement parce qu’elle est si fausse. Et elle fait plus de quarante caractères. Deviner une phrase pareille prendrait, avec les ordinateurs d’aujourd’hui, plus longtemps que la Terre n’existera encore. À condition qu’elle soit vraiment assez aléatoire et qu’elle ne figure pas déjà quelque part sur internet. »

« Mais tu viens de la dire à voix haute, dit Tobi. Maintenant, on la connaît tous. »

La lumière de KevIn vacilla. « Bon argument. Gisela, s’il te plaît, prends une autre phrase. Et ne me la dis pas. »

Gisela réfléchit. Puis ses lèvres bougèrent, et elle sourit. Personne ne sut jamais ce que c’était, mais Uwe prétendit plus tard avoir reconnu le mot « Marlies ».

Une clé pour chaque porte

« Et maintenant, il me faut une phrase comme ça pour chaque site ? demanda Gisela. Pendant quatre-vingt-deux ans, je n’ai eu besoin que d’un seul trousseau. »

« Et sur ce trousseau, tu n’as pas une clé différente pour chaque porte ? »

Gisela sortit son trousseau de la poche de son tablier. Porte d’entrée, cave, cabane de jardin, boîte aux lettres, piste de quilles, et une petite clé argentée dont plus personne ne savait à quoi elle servait.

« Bon, d’accord », dit-elle.

« Tu vois. Et pour les mots de passe aussi, il existe un trousseau. Ça s’appelle un gestionnaire de mots de passe. Un programme qui crée pour chaque site un mot de passe à lui, long et aléatoire, et qui le garde pour toi, bien enfermé. Tu n’as plus qu’un seul mot de passe à retenir. Celui qui ouvre le coffre-fort. Pour celui-là, tu prends ta phrase. »

« Et si quelqu’un vole le coffre-fort ? »

« Alors il a un coffre-fort fermé. Le contenu est chiffré. Sans ta phrase, c’est du charabia. »

« Et si j’oublie la phrase ? »

KevIn hésita. « Alors le coffre-fort est fermé pour toi aussi. C’est pour ça que tu l’écris sur un papier et que tu le ranges dans un endroit sûr. Pas sous le clavier. Un endroit où toi seule vas. »

« Et ce serait où ? »

« Ça, dit KevIn, c’est la seule chose que je ne veux pas savoir. »

Uwe était resté assis très tranquillement tout ce temps. « Moi aussi, je vais changer le mien. »

« Bonne idée. »

« En Schalke05. »

« Uwe. »

« C’était une blague ! » Il se leva et alla dans le couloir. Peu après, on l’entendit marmonner. Ça ressemblait à « Schalke06 ».

Deux facteurs et un teckel

Le soir, Tobi installa le gestionnaire de mots de passe. Gisela était assise à côté de lui et veillait à ce qu’il « n’appuie pas sur le mauvais bouton », ce qui voulait dire qu’à chaque clic elle disait « Stop ! », puis « Ah bon, continue ».

« Et pour la banque, dit Tobi, on va faire encore autre chose. La double authentification. Là, en plus du mot de passe, tu as besoin de ton portable. Si quelqu’un veut se connecter avec ton mot de passe, il lui faut aussi ton portable. »

« Et s’il me vole aussi mon portable ? »

« Alors il lui faut encore ton visage. Ou ton doigt. »

Gisela regarda sa main. « Celui-là, il ne l’aura pas. »

« C’est le principe, dit KevIn. Quelque chose que tu sais. Quelque chose que tu as. Quelque chose que tu es⁵. Un voleur obtient rarement les trois. »

« Comme avec Rudi, dit Tobi. Il aboie, il mord, et c’est un teckel. »

« Je ne suis pas sûr que ce soit la même logique. »

« Il a “SECURITY” sur son collier. Ça compte. »

Rudi bâilla. Il n’avait mordu personne aujourd’hui, et rien n’indiquait que cela allait changer.

À neuf heures et demie, tout était installé. Gisela avait un coffre-fort, une phrase, une banque à deux facteurs et une tablette qui, pour la première fois, lui demandait son visage. Elle la tint à bout de bras et sourit comme on sourit sur les vieilles photos d’identité, c’est-à-dire pas du tout.

« Reconnu », dit la tablette.

« Eh bien voilà, dit Gisela. Au moins un qui me reconnaît. »

L’endroit sûr

Plus tard, quand tout le monde fut couché, KevIn entendit des bruits dans la chambre de Gisela. Un tiroir qui coinçait. Une porte d’armoire. Puis le léger grincement d’une chaise sur laquelle montait quelqu’un qui était en fait trop vieux pour ça.

« Gisela ? Tout va bien ? »

« Je cherche un endroit sûr. Pour le papier. Tu as dit un endroit où moi seule vais. »

« S’il te plaît, ne monte pas sur des chaises. J’ai lu plusieurs statistiques à ce sujet. »

« Je suis déjà redescendue. » Un froissement. Puis ce fut très calme pendant un moment.

« Gisela ? »

« J’ai descendu la boîte de l’armoire. Celle de Papa. »

KevIn savait qui était Papa. Gisela lui avait parlé de lui au jardin, le jour de son anniversaire, quand tous les autres étaient déjà rentrés. Wilhelm. Radio pendant la guerre, rentré de captivité en 1949, et qui n’en avait plus jamais parlé ensuite.

« Qu’est-ce qu’il y a dans la boîte ? »

« Son manipulateur morse. Quelques photos. Et ça. » Du papier froissa. « Son cahier. Je ne l’ai pas ouvert depuis des années. Il n’y a que des nombres dedans. Des pages pleines de nombres. »

« Quels nombres ? »

« Des colonnes. Toujours deux chiffres. Zéro huit, dix-sept, douze, vingt-deux. Papa avait une belle écriture. Je l’avais complètement oublié. »

Elle se tut de nouveau. KevIn attendit. Il avait appris qu’il existe des silences dans lesquels il ne faut rien dire.

« KevIn, finit par dire Gisela. Toi, tu t’y connais maintenant en secrets. Avec le haché et le sel et tout ça. »

« Un peu. »

« Tu crois que c’est un secret ? »

KevIn pensa aux radios, aux groupes de chiffres et aux hommes qui revenaient et ne parlaient pas. Il pensa que les hachages ne se laissent pas inverser, mais que les chiffrements, si, quand on trouve la clé.

« Je crois, dit-il, que ce n’est pas un hachoir. Je crois que ça, on peut le tourner à l’envers. »

Gisela posa le papier avec sa nouvelle phrase dans la boîte, sur le manipulateur morse, et referma le couvercle. Le cahier, elle le garda à la main.

« Alors on fera ça demain, dit-elle. Avec Tobi. Il a de jeunes yeux. »