« Le Contrôle des mots de passe Google est-il fiable ? » est une question légitime avant de confier quoi que ce soit à un outil de sécurité. La réponse courte est oui, c'est une véritable fonctionnalité Google. Mais ce que les gens demandent réellement se situe un cran plus bas : s'il compare mes mots de passe à des bases de fuites, est-ce que Google voit mes mots de passe ?
Cette question-là a une réponse précise et documentée.
De quoi il s'agit
Le Contrôle des mots de passe compare les identifiants que vous avez enregistrés à un ensemble d'identifiants connus pour être apparus dans des fuites de données tierces, et vous prévient quand l'un des vôtres y figure. Google l'a présenté sur son propre Online Security Blog en février 2019.
Le principe est simple. Des milliards de couples nom d'utilisateur et mot de passe ont fuité au fil des ans. Si l'un des vôtres en fait partie et que vous l'utilisez encore, n'importe qui parcourant ces listes peut entrer dans ce compte. La vérification vaut la peine.
Le problème de vie privée qu'il devait résoudre
Voici la difficulté, formulée par Google. La fonctionnalité doit interroger le statut de compromission d'un nom d'utilisateur et d'un mot de passe sans révéler l'information interrogée. Elle doit en même temps garantir qu'aucune information sur les autres identifiants compromis ne fuite au passage, et que la recherche par force brute ne soit pas une option.
Ces exigences tirent dans des directions opposées. Une implémentation naïve enverrait votre mot de passe, ou un simple condensat de celui-ci, à un serveur en demandant « est-il dans la liste ? ». Cela livrerait au serveur exactement ce qu'il ne doit jamais recevoir.
Comment il évite d'envoyer votre mot de passe
Google décrit son approche comme reposant sur des tours de hachage multiples, le k-anonymat et private set intersection avec blinding, un choix fait pour équilibrer vie privée, coût de calcul et latence réseau.
Chaque brique remplit un rôle précis :
Les tours de hachage multiples font que la valeur brute ne quitte jamais votre appareil, et que la valeur dérivée est coûteuse à attaquer par force brute.
Le k-anonymat regroupe votre requête avec assez d'autres pour qu'elle ne puisse pas vous être rattachée personnellement. Il empêche aussi la vérification de divulguer des informations sur les autres identifiants compromis stockés dans la base.
Private set intersection avec blinding (intersection privée d'ensembles avec masquage cryptographique) en est le cœur. Cette primitive permet à deux parties de déterminer si un élément appartient à un ensemble partagé sans qu'aucune ne révèle ce qu'elle détient. Le blinding est ce qui rend illisible pour Google la valeur que vous vérifiez, tout en laissant la comparaison produire une réponse correcte.
Résultat : la réponse revient, et ce n'est pas votre mot de passe qui a voyagé.
Ce qu'il ne couvre pas
C'est ici que l'honnêteté compte plus que les paroles rassurantes.
Le Contrôle des mots de passe examine les identifiants qu'il peut voir, c'est-à-dire ceux enregistrés dans votre compte Google ou dans le gestionnaire de mots de passe du navigateur. Cette portée a de vraies frontières :
- les mots de passe que vous n'avez jamais enregistrés chez Google lui sont invisibles
- les mots de passe conservés uniquement dans un autre gestionnaire sont hors de sa portée
- les anciens comptes que vous avez oubliés ne peuvent pas être vérifiés, puisque rien ne sait qu'ils existent
- il rend compte des fuites déjà présentes dans le jeu de données, donc une fuite qui n'a pas encore été rendue publique n'apparaîtra pas
Rien de tout cela ne rend l'outil mauvais. Cela le rend partiel, et savoir où un outil s'arrête fait la différence entre bien s'en servir et lui faire aveuglément confiance.
Ce que signifie réellement une alerte
Une correspondance vous indique qu'un identifiant correspondant au vôtre est apparu dans une fuite quelque part. Ce n'est pas l'affirmation que ce compte précis a été pénétré.
La bonne réaction ne dépend pas de cette distinction :
- Changez le mot de passe de ce compte, pour un mot de passe unique que vous n'avez jamais utilisé ailleurs.
- Retrouvez où vous l'avez réutilisé. C'est l'étape que les gens sautent, et c'est la plus importante : la réutilisation est le mécanisme qui convertit la fuite d'une entreprise en cinq de vos comptes compromis.
- Activez l'authentification à deux facteurs partout où elle est proposée, pour qu'un mot de passe volé ne suffise plus à lui seul.
Si l'étape deux vous semble impossible parce que vous ne vous rappelez sincèrement plus où un mot de passe est passé, c'est là le vrai constat. C'est aussi l'argument en faveur d'un gestionnaire de mots de passe dédié : non parce que la vérification de Google serait douteuse, mais parce qu'un gestionnaire connaît chacun de vos identifiants, peut en générer d'uniques et peut vous signaler une réutilisation avant qu'une fuite ne s'en charge.
En résumé
Le Contrôle des mots de passe est légitime, et la crainte pour la vie privée qui pousse les gens à chercher des garanties est précisément celle que Google a traitée par l'ingénierie plutôt qu'ignorée : le hachage, le k-anonymat et private set intersection avec blinding font que la vérification a lieu sans que votre mot de passe soit lu.
Sa limite tient à sa portée, pas à son honnêteté. Il voit ce que vous avez enregistré chez Google, et rien d'autre. Servez-vous-en, agissez sur ce qu'il trouve, et souvenez-vous que la réutilisation qu'il ne peut pas voir est la partie la plus susceptible de vous nuire.
La description du Contrôle des mots de passe, y compris l'exigence de conception énoncée d'interroger le statut de compromission sans révéler l'information interrogée, ainsi que l'usage de tours de hachage multiples, du k-anonymat et de private set intersection avec blinding, provient de l'article du Google Online Security Blog présentant la fonctionnalité en février 2019. Les implémentations évoluent ; vérifiez le comportement actuel dans la documentation de Google avant de vous fier à un détail précis. Les liens commerciaux portent l'attribut rel="sponsored nofollow" ; une commission d'affiliation peut s'appliquer sans coût supplémentaire pour vous.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Verrouille tes comptes → NordPassMots de passe forts et uniques · scanner de fuites · offre gratuite→Questions fréquentes
Le Contrôle des mots de passe Google est-il un vrai produit Google ?
Oui. C'est une véritable fonctionnalité conçue par Google, décrite sur le blog officiel Google Online Security Blog lors de son lancement en février 2019. Elle compare les identifiants que vous avez enregistrés à une base d'identifiants connus pour être apparus dans des fuites tierces, et vous alerte en cas de correspondance.
Google voit-il mon mot de passe quand le Contrôle des mots de passe s'exécute ?
Non, et la conception se donne beaucoup de mal pour l'empêcher. Google décrit lui-même l'exigence ainsi : la fonctionnalité doit interroger le statut de compromission d'un nom d'utilisateur et d'un mot de passe sans révéler l'information interrogée. Elle y parvient grâce à des tours de hachage multiples, au k-anonymat et au private set intersection avec blinding (intersection privée d'ensembles avec masquage cryptographique). Le blinding est l'élément décisif : il permet à la comparaison d'avoir lieu sans que Google lise la valeur vérifiée.
Qu'est-ce que le k-anonymat dans ce contexte ?
Cela signifie que votre requête est noyée parmi assez de requêtes similaires pour ne pas pouvoir vous être attribuée individuellement. Combiné au hachage, il garantit que ce qui quitte votre appareil n'est pas votre mot de passe ni quelque chose qui pourrait être trivialement inversé pour le retrouver, et que vérifier un identifiant ne divulgue rien sur les autres identifiants compromis présents dans la base.
Que vérifie réellement le Contrôle des mots de passe ?
Il vérifie les identifiants enregistrés dans votre compte Google ou dans le gestionnaire de mots de passe du navigateur, en les comparant à des identifiants connus comme compromis. C'est là toute sa portée. Les mots de passe que vous n'y avez jamais enregistrés, ceux stockés uniquement dans un autre gestionnaire et les comptes que vous avez oubliés échappent à son champ de vision, ce qui constitue sa principale limite pratique à garder en tête.
Si le Contrôle des mots de passe signale un mot de passe compromis, que faire ?
Changez d'abord ce mot de passe, sur ce compte, pour un mot de passe unique. Vérifiez ensuite si vous l'avez réutilisé ailleurs, car c'est la réutilisation qui transforme une seule fuite en plusieurs comptes compromis. Une alerte vous dit que l'identifiant est apparu dans une fuite quelque part, pas que ce compte précis a été pénétré, mais la bonne réaction reste la même dans les deux cas.
