S'appuyant sur des analyses issues de littéralement des milliards de tentatives de connexion à son service cloud Azure, Microsoft met à jour ses recommandations en matière de mots de passe et remet en cause plusieurs bonnes pratiques du secteur, en vigueur depuis longtemps.
Microsoft a récemment publié un livre blanc intitulé «Recommandations de Microsoft en matière de mots de passe», qui présente ses nouvelles recommandations en matière de mots de passe, fondées sur l’énorme quantité de données collectées lors des connexions à Azure AD. (L’entreprise recense chaque jour plus de 10 millions de tentatives de piratage par nom d’utilisateur et mot de passe .) Certaines de ces recommandations correspondent à ce que l’on pourrait imaginer… mais d’autres vont à l’encontre des idées reçues sur les mots de passe.
L'auteur (Robyn Hicock, de l'équipe de protection de l'identité de Microsoft, avec une longue liste de contributeurs issus de son équipe, de Microsoft Research et de Microsoft IT) affirme que les pratiques de longue date en matière de mots de passe ne tiennent pas face aux attaques modernes axées sur les informations d'identification. En outre, certaines de ces politiques augmentent en fait la facilité avec laquelle les mots de passe peuvent être compromis et devraient donc être modifiées ou abandonnées.
Microsoft recommande sept actions pour assurer une protection maximale de l'identité par mot de passe :
- Maintenir une longueur minimale de 8 caractères (une longueur supérieure n'est pas nécessairement préférable).
- Éliminer les exigences en matière de composition des caractères.
- Éliminer les réinitialisations périodiques obligatoires des mots de passe pour les comptes d'utilisateurs.
- Interdisez les mots de passe courants, afin d'éviter que les mots de passe les plus vulnérables n'entrent dans votre système.
- Apprenez à vos utilisateurs à ne pas réutiliser leur mot de passe à des fins non professionnelles.
- Renforcer l'enregistrement pour l'authentification multifactorielle.
- Permettre des défis d'authentification multi-facteurs basés sur le risque.
Examinons les recommandations les plus inhabituelles qui ont une incidence directe sur la manière dont une organisation définit sa politique en matière de mots de passe de domaine.
Tuer les anti-modèles
Respectez la longueur minimale de 8 caractères. Microsoft Research a constaté que les mots de passe Web longs et complexes constituent une contrainte pour les utilisateurs (ce qui n’est pas surprenant), mais qu’ils ont en réalité une efficacité limitée pour plusieurs raisons. La force du mot de passe n’a aucune importance si l’utilisateur est victime d’une attaque par hameçonnage et le divulgue, ou s’il a un logiciel malveillant de type enregistreur de frappe sur son système. Ce sont là les attaques les plus courantes selon les auteurs. Le mot de passe doit simplement être suffisamment fort pour résister à une règle de verrouillage de type « trois tentatives ». Notez que bien que cette étude porte sur les mots de passe Web, rien n’empêche qu’elle s’applique également aux mots de passe Active Directory (et à votre propre politique de verrouillage).
Supprimer les contraintes liées à la composition des caractères. C'est une bonne idée en théorie, mais Microsoft et d'autres (Bruce Schneier, par exemple) ont constaté que, face à des exigences de complexité des mots de passe, les utilisateurs tombent dans quelques schémas reconnaissables que les programmes de piratage exploitent. Par exemple, il s'avère qu'un mot de passe typique se compose d'une racine, généralement prononçable, suivie d'un suffixe tel qu'un chiffre. Et oui, ils savent très bien que vous utilisez « $ » à la place du « s », « ! » à la place du « i », etc. !
Supprimez les changements de mot de passe périodiques obligatoires pour les comptes utilisateurs. Les changements périodiques de mot de passe, là encore une bonne idée en principe, échouent lorsqu'ils passent par le cerveau humain. Pourquoi ? Parce que les gens ont tendance à créer leur nouveau mot de passe en s'inspirant de l'ancien, d'une manière très prévisible. De plus, comme les cybercriminels utilisent les mots de passe dès qu'ils les ont compromis, la mesure de confinement n'apporte aucun bénéfice (c'est-à-dire que les avertissements du type « Notre système a été compromis ; veuillez changer votre mot de passe pour éviter que votre compte ne soit piraté » arrivent bien trop tard).
Les conseils actualisés de Schneier et de Microsoft sont les suivants : à moins que vous ne pensiez que votre mot de passe ait pu être compromis, ne le changez pas. J’ajouterais à cette recommandation : renforcez la sécurité de vos mots de passe au fil du temps, mais n’essayez pas de les mémoriser vous-même : soumettez-vous à nos maîtres robotiques et utilisez un utilitaire comme LastPass pour générer des mots de passe longs, complexes et impossibles à mémoriser, puis stockez-les dans son coffre-fort crypté. Vous n’aurez alors plus qu’un seul mot de passe complexe à retenir : le mot de passe principal de votre coffre-fort. Une fois que vous confiez la gestion à un tel utilitaire, c’est vraiment très libérateur ; vous pouvez créer instantanément un mot de passe alambiqué de 18 caractères, tel que « wO2AECJ^OZhbXwY#0Y », pour un site web et être assuré qu’il est pratiquement impossible à pirater.
Appliquer les modèles de réussite
Bannissez les mots de passe courants. Microsoft estime que la mesure la plus importante que vous puissiez prendre en matière de sécurité consiste à bannir de votre système une liste de mots de passe faibles connus (par exemple abcdefg, passw0rd, etc.) afin de le renforcer contre les attaques par force brute. Microsoft a constaté que l'interdiction de ces mots de passe (ce qu'elle fait pour Azure AD) est très efficace pour éliminer les mots de passe faibles du système.
Si vous lisez ces lignes au sein d’une entreprise traditionnelle, vous vous dites sans doute : « Tout cela est bien beau, mais comment mettre en œuvre une telle politique dans mon environnement Active Directory sur site ? » Si, comme moi, vous êtes un spécialiste d’Active Directory, vous savez que cela nécessite un filtre de mot de passe personnalisé qui doit être installé sur tous les contrôleurs de domaine AD, et que Microsoft ne propose pas de fonctionnalités prêtes à l’emploi pour bloquer les mots de passe.
Il existe des produits tiers tels que Anixis Password Policy Enforcer ou nFront Password Filter qui offrent cette fonctionnalité. Microsoft travaillerait actuellement à la mise en place de sa propre prise en charge de cette fonctionnalité ; sur son compte Twitter, l’auteure indique : « Nous travaillons actuellement sur ce sujet. Restez à l’écoute », mais il est bien sûr impossible de savoir quand cette fonctionnalité sera disponible. Comme cette fonctionnalité devra s’intégrer à Active Directory de Windows Server, le délai nécessaire dépendra de la manière dont elle sera mise en œuvre. Si elle fait partie d’Active Directory, le délai nécessaire à une intégration en profondeur dans Windows Server 2016 est déjà dépassé, ce qui signifie qu’il faudra attendre deux ans jusqu’à la sortie de la prochaine version de Windows Server. Un filtre de mot de passe mis à jour (passfilt.dll) peut être mis à disposition en téléchargement à tout moment.
Sensibilisez vos utilisateurs à ne pas réutiliser leur mot de passe à des fins non professionnelles. Il n’est pas difficile d’imaginer qu’une fois qu’un utilisateur a choisi ce qu’il considère comme un bon mot de passe pour son travail, il soit tenté de le réutiliser sur d’autres sites. Malheureusement, cette pratique est si courante que les cybercriminels tentent systématiquement d’utiliser des identifiants compromis sur de nombreux sites ; Microsoft constate chaque jour que 12 millions d’identifiants divulgués (Microsoft tient à jour une vaste liste d’identifiants compromis) sont testés sur ses systèmes.
C'est un modèle vraiment difficile à mettre en place, car cela passe uniquement par la sensibilisation des utilisateurs. Et c'est un combat de longue haleine, car cela complique la tâche des utilisateurs.
Rendez obligatoire l'enregistrement pour l'authentification multifactorielle. L'authentification multifactorielle (MFA) est de plus en plus adoptée par les entreprises et les grands fournisseurs de SaaS. Disposer d'un deuxième ensemble d'informations de sécurité (comme une adresse e-mail secondaire ou un numéro de téléphone portable) pouvant être vérifié hors bande améliore considérablement la sécurité. Activez la MFA dès que vous le pouvez ! Certes, cela peut être un peu fastidieux, mais c'est bien moins pénible qu'un compte piraté.
Activer les défis d'authentification multi-facteurs basés sur le risque. Ce modèle fait passer l'authentification multifactorielle au niveau supérieur, en déclenchant une demande d'authentification multifactorielle lorsqu'une activité suspecte (telle qu'une adresse IP géographiquement différente de celle avec laquelle l'utilisateur s'est connecté auparavant) est détectée. Pour cela, il faut bien sûr que votre système de sécurité de connexion dispose de cette capacité.
Notez que si votre entreprise est soumise à des exigences de conformité, il se peut que vous ne puissiez pas mettre en œuvre tout ou partie de ces suggestions. Il est néanmoins toujours utile de se tenir informé de ce qui se passe dans la réalité. Et quoi de plus concret que les données provenant d'un site subissant 10 millions d'attaques par jour ?
