Rappelons d’abord rapidement l’intérêt et les conditions d’utilisation de ces questions. On utilise les questions secrètes (ou de sécurité) le plus souvent lorsque l’utilisateur oublie le mot de passe de son compte. Cela permet de garantir que la personne qui va réinitialiser le mot de passe est bien celle qu’elle prétend être. Bien sûr, aucun système n’est infaillible, mais cela réduit considérablement les risques.

Le principe est le suivant : lors de la création d’un compte, généralement auprès d’un service dans lequel vous avez des données personnelles sensibles (banque, messagerie, etc.), on demande à l’utilisateur de choisir une ou plusieurs questions de sécurité pour lesquelles lui seul saura donner la réponse. Elles doivent être aussi sécuritaires qu’un mot de passe sans être « encryptées ». C’est là que réside le défi !

Fig. 1 – Exemple de question de sécurité chez Paypal

Dans un futur plus ou moins proche, si l’utilisateur souhaite modifier son mot de passe, il devra être en mesure de fournir la réponse aux questions de sécurité qu’il avait sélectionnées. Évidemment, pour « simplifier », les différents services auxquels il s’inscrit n’offrent pas toujours la même liste de questions !

1- Quelles sont les questions qui ne fonctionnent pas ?

Deux problématiques majeures apparaissent dans les questions de sécurités :

1. Soit la question est trop simple et il est facile pour quelqu’un de son entourage de trouver la réponse et alors faire un mauvais coup… ; )
2. Soit, la question est trop générale et il devient difficile de se souvenir de la réponse.

Il faut donc que la question donne assez d’indices de rappel tout en restant suffisamment générale. C’est là que réside la grande difficulté de l’élaboration des questions.

Exemple de questions précises à faible sécurité :

• Dans quelle ville êtes-vous né ?
• Quel est votre film favori ?
• Quelle est la marque de votre première voiture ?
• Quelle est votre couleur favorite ?

Avec un minimum de recherche, ces réponses peuvent être trouvées. Il est facile d’obtenir la liste des 100 films les plus appréciés et on ne dénombre pas plus d’une centaine de noms pour les couleurs (incluant or, crème,…).

Exemple de questions vastes avec rappel difficile :

• Quel est votre jeu vidéo favori ?
• Quelle est la personnalité historique que vous préférez ?
• Quel est votre acteur, musicien ou artiste favori ?

Pourquoi dans ce second cas, les questions posées nécessitent un rappel difficile alors qu’elles sont précises ? Attardons-nous un moment sur le fonctionnement de la mémoire et notamment sur les phénomènes de récupération et d’oubli.

Benton J. Underwood (1957) et d’autres ont montrés qu’il existait un phénomène d’interférence pouvant provoquer énormément d’oublis. Dans la vie quotidienne, on observe deux sources d’interférences qui se combinent pour provoquer un oubli pouvant toucher les noms, les dates, formules, etc.

L’une d’elles, nommée interférence rétroactive établit que l’oubli de ce que l’on retient maintenant augmente en fonction de la ressemblance des apprentissages ultérieurs.
La seconde est appelée interférence proactive. Dans ce cas, il y a intéreférence du premier apprentissage sur le suivant avec par exemple, la possibilité d’inclure des mots antérieurement mémorisés dans le rappel d’une nouvelle information.

Cependant, tout n’est pas perdu ; ) Tulving et Psotka (1971) ont montré que l’interférence est annulée si des indices de récupération sont fournis, ce qui rassure sur nos capacités de mémoire. Les indices peuvent être de plusieurs sortes : associatif (outils – marteau), phonétique (la rime) ou encore imagé. Cependant, utiliser des indices reste un moyen de rappel faible en comparaison de la reconnaissance.

Exemple d’une tâche de rappel versus de reconnaissance suite à l’apprentissage d’une liste de 6 mots :

1. Citez les 6 mots que vous avez appris hier ?
2. Dans cette liste de 30 mots, quels étaient les 6 mots que vous avez appris hier ?

De nombreuses expérimentations ont montré que le second cas donnait de bien meilleurs résultats. (Bahrick et Wittlinger, 1975). Dans le cas de notre question de sécurité demandant quel est votre jeu favori, la réponse peut évoluer avec le temps. Au moment où la personne voudra changer son mot de passe, il est probable que son jeu préféré ait changé, qu’elle ait joué à beaucoup d’autres jeux et récolté énormément d’informations sur le sujet. Dix ans plus tard, cette même personne aura certainement oublié ce jeu.
Ici, l’oubli est difficilement récupérable. Ce jeu n’était ni un événement durable, ni un événement marquant et la variation du contexte modifie la perception des indices affectant la récupération.

2- Que doit-on faire pour formuler une bonne question ?

Il est donc très important que les indices se réfèrent à quelque chose de fort et si possible ne changeant pas dans le temps. Par exemple, un épisode important dans la vie d’une personne. La question doit s’appliquer au plus grand nombre, être liée à une expérience unique et difficilement prévisible.

Bien sur, c’est en proposant un grand nombre de questions que l’utilisateur pourra choisir celle qui lui semble la plus adaptée et la moins ambiguë. Vous devez aussi vous rendre compte qu’il n’est pas aisé de formuler une bonne liste de questions et nous pensons que permettre à l’utilisateur de formuler sa propre question (comme le propose google mail) est quelque chose de risqué.

Exemple de questions que nous recommanderions :

• Quel est le nom et prénom de votre premier amour ?
• Quel est le nom de famille de votre professeur d’enfance préféré ?
• Quel est le prénom de votre arrière-grand-mère maternelle ?
• Dans quelle ville se sont rencontrés vos parents ?
• Qu’est-ce vous vouliez devenir plus grand, lorsque vous étiez enfant ?

Notons d’ailleurs que les expérimentations sur la récupération d’informations stockées en mémoire à long terme ont montré que l’image est supérieure aux mots.
Peut-on alors imaginer inclure d’autres éléments nous rappelant un contexte précis (Photo de notre environnement lors du choix de la réponse, extrait de la musique que nous écoutions, etc.) afin d’améliorer la récupération et permettre des questions plus « floues » ?

Avez-vous déjà eu à élaborer des questions de sécurité ? Quel est votre point de vue sur ce sujet ?

mise à jour du 22/09/2008 :

Voici un fait intéressant qui confirme l’importance d’une bonne question de sécurité et la sensibilisation qui doit être faite auprès des utilisateurs. Aujourd’hui, les médias nous ont appris que l’adresse électronique Yahoo de Sarah Palin a été piratée. Il semblerait que ce soit en trouvant la réponse à la question de sécurité que le cracker s’est introduit dans la boite courriel de la candidate républicaine.

Plus d’informations sur l’article du Figaro