Dans la foulée des nouvelles recommandations de Microsoft en matière de mots de passe, l’Institut national des normes et des technologies (NIST) a publié ses propres directives actualisées. Ces recommandations rejoignent en grande partie celles de Microsoft, ce qui leur confère une crédibilité supplémentaire ; dans certains domaines, elles vont même plus loin. Lorsque deux acteurs majeurs du secteur de la sécurité parviennent indépendamment à des conclusions aussi similaires, cela constitue un signal fort indiquant que les entreprises devraient réexaminer attentivement leurs politiques en matière de mots de passe, tant pour leurs systèmes internes que pour leurs services accessibles depuis l'extérieur et disposant d'un référentiel d'identités.
L'importance du document du NIST
En quoi consiste cette nouvelle publication du NIST ? La norme SP 800-63-3, intitulée « Digital Authentication Guideline » (Guide d’authentification numérique), définit les exigences à respecter pour satisfaire à quatre niveaux d’assurance (LOA – le degré de certitude que vous avez qu’une entité est bien ce qu’elle prétend être ou qui elle prétend être). L’un des documents, la norme SP 600-63-3B, intitulé « Authentication & Lifecycle Management » (Authentification et gestion du cycle de vie), porte spécifiquement sur les recommandations relatives aux mots de passe.
Pourquoi ce document est-il si important ? L'une des nombreuses missions du NIST consiste à fournir des lignes directrices au secteur public, c'est-à-dire à l'ensemble des applications du gouvernement fédéral. Si bon nombre de ces lignes directrices ne constituent que des recommandations, certaines d'entre elles sont des exigences auxquelles toutes les applications doivent se conformer. Son champ d'influence est donc très large, mais il s'étend encore davantage, car de nombreux autres secteurs et entreprises suivent également ces lignes directrices.
Examinons les recommandations du NIST, comparons-les à celles de Microsoft et voyons dans quels domaines le NIST va plus loin. Un thème commun à ces deux séries de recommandations est une plus grande convivialité, en particulier lorsque ces recommandations permettent de renforcer la sécurité ou lorsque les politiques existantes, peu conviviales, ne la renforcent pas. Des études ont montré que plus les politiques de mots de passe sont strictes, plus les utilisateurs sont susceptibles de tricher ou d’utiliser une méthode prévisible (1, 2, etc.) qui peut être facilement piratée.
Le NIST encourage l'utilisation de phrases de passe longues et faciles à retenir.
Le NIST impose désormais un minimum de 8 caractères, ce qui n’est pas radical, mais il exige également un maximum supérieur à 64 caractères afin d’encourager l’utilisation de phrases de passe. C’est l’un des thèmes centraux du document : renforcer les systèmes afin qu’ils puissent prendre en charge des mots de passe plus sûrs, tout en facilitant leur mémorisation par l’utilisateur. En d'autres termes, c'est aux systèmes de prendre en charge cette charge, et non aux utilisateurs. À l'instar de Microsoft, le NIST recommande également l'utilisation d'un dictionnaire de mots de passe courants permettant de bloquer les mots de passe faibles (par exemple « passw0rd ! ») lorsque l'utilisateur tente de les définir.
Une autre exigence qui nous réjouira tous est celle d’autoriser les espaces, tous les caractères ASCII, voire potentiellement les caractères Unicode (tels que les emojis) dans les mots de passe. Vous imaginez utiliser des emojis dans vos mots de passe ? Il faudra bien que quelqu’un me montre quelques raccourcis clavier avant que je m’y risque ! Les espaces peuvent poser problème, car il est difficile de distinguer un espace d’un double espace, mais cela est un peu facilité par une autre nouvelle recommandation : l’utilisateur doit pouvoir afficher le mot de passe qu’il a saisi, à condition que celui-ci soit à nouveau masqué après un certain laps de temps. Cette fonctionnalité est de plus en plus courante, et j’en suis ravi.
Arrêter l'expiration des mots de passe
Microsoft et le NIST abordent tous deux la question de l’expiration des mots de passe, et recommandent tous deux de ne pas les faire expirer de manière arbitraire au bout d’un certain délai, sauf en cas de preuve de compromission. Contrairement aux systèmes d’identité sur site tels qu’Active Directory, la plupart des sites web ont toujours suivi cette règle. Je ne leur attribue toutefois pas le mérite d’avoir fait preuve de vision dans leurs politiques en matière de mots de passe ; ils souhaitaient simplement éviter les tracas que l’expiration des mots de passe aurait causés à leurs services d’assistance et à leurs clients.
Le NIST rejette les méthodes d'authentification basées sur des connaissances (indices) qui peuvent être découvertes ou contournées par une attaque par force brute. Il faut bien l'admettre, la plupart des pirates connaissent désormais le nom de jeune fille de votre mère. Il recommande également de ne pas utiliser de règles de composition, car celles-ci sont trop compliquées pour l'utilisateur et n'offrent pas autant de sécurité qu'on le pensait initialement.
Il est temps d'abandonner les SMS
Un changement majeur, qui a suscité de nombreux commentaires, concerne la dépréciation ( « nous n’allons pas encore l’abandonner, mais nous n’allons plus le développer ») de l’utilisation des SMS comme deuxième facteur d’authentification. De plus, l'utilisation d'un numéro VoIP (par exemple Google Voice) pour l'authentification par SMS est purement et simplement rejetée, car il ne s'agit pas réellement d'un deuxième facteur : ce n'est pas quelque chose que vous possédez. Leur préoccupation concernant les SMS en général est que ce service n'est pas aussi sécurisé qu'il le devrait, car il n'a pas été conçu pour ce type d'utilisation. Des cybercriminels ont mis au point des logiciels malveillants capables de rediriger les SMS, et le « SIM swapping » permet à un cybercriminel de détourner les messages d'un utilisateur.
Malheureusement, si vous évoluez dans un secteur soumis à des règles de conformité telles que la loi HIPAA, vous ne pouvez pas simplement mettre en œuvre ces nouvelles recommandations lorsqu’elles sont en contradiction avec ces règles. Vous devrez attendre, peut-être plusieurs années, que ces règles s’alignent sur les recommandations.
Êtes-vous en désaccord avec l'une de ces nouvelles recommandations ? Il s'agit d'un projet de spécification, et le NIST encourage vivement la participation et les commentaires sur GitHub.
