Qu’est-ce que la sécurité des mots de passe ? Importance et conseils

La sécurité des mots de passe est un composant essentiel de la cybersécurité pour les organisations. Ce guide fournit des conseils essentiels pour créer et gérer des mots de passe robustes, notamment l’utilisation de gestionnaires de mots de passe et de l’authentification multifacteur.

Découvrez les vulnérabilités courantes liées aux mots de passe et les bonnes pratiques pour sensibiliser les employés à la sécurité des mots de passe. Comprendre la sécurité des mots de passe est essentiel pour protéger les informations sensibles et empêcher les accès non autorisés.

Le mot de passe d’un utilisateur est la clé qui ouvre la porte de son compte. Selon le type d’autorisations dont dispose ce compte utilisateur une fois à l’intérieur d’un système, cette clé peut effectivement être très puissante. Si j’ai le mot de passe de votre banque en ligne, je peux accéder à votre compte et à toutes les données qu’il contient. Ce serait problématique pour vous. Mais si je peux obtenir le mot de passe de l’administrateur système de la banque en ligne au niveau du serveur, je peux mettre la main sur vos informations ainsi que sur celles de tous les autres utilisateurs. C’est ainsi qu’un nombre surprenant de violations de données se produisent.

Ce qui rend une bonne sécurité des mots de passe si importante, c’est ceci : il n’est pas nécessaire d’être particulièrement féru de technologie pour exploiter le mot de passe de quelqu’un une fois qu’on l’a obtenu. D’autres types de violations de sécurité — qu’il s’agisse de portes dérobées, d’installation à distance de malware ou d’injection de code malveillant sur des serveurs web — exigent un niveau d’expertise considérable. Mais un mot de passe ? C’est le moyen le plus simple d’accéder à des données qui ne vous appartiennent pas. C’est pourquoi il existe un marché des mots de passe sur le dark web, laissant la partie difficile (l’intrusion) à ceux qui savent comment faire, et les ravages effectifs à quelqu’un qui n’a rien d’autre que de la malveillance en tête. Le credential stuffing, le password spraying et d’autres types d’attaques basées sur les mots de passe pourraient souvent être stoppés simplement en appliquant une bonne sécurité des mots de passe.

Recommandations du NIST en matière de sécurité des mots de passe

Le National Institute of Science and Technology (NIST) étudie la question afin de renforcer la sécurité au niveau fédéral. Il a publié un projet de modifications proposées aux politiques nationales de sécurité des mots de passe afin de mieux sécuriser le système du gouvernement fédéral. Une fois mises en œuvre, ces politiques n’affecteront que les utilisateurs travaillant au sein d’une entité fédérale. Toutefois, elles devraient être prises au sérieux par toute personne chargée de maintenir la sécurité de son infrastructure IT (ou de ses comptes personnels).

Certaines des recommandations vont à l’encontre des idées reçues de longue date sur la sécurité des mots de passe :

1. Rendez plus facile pour vos utilisateurs la création de mots de passe dont ils se souviendront

N’imposez pas de restrictions sur le format du mot de passe. Lorsque vous imposez des éléments comme l’utilisation d’au moins une lettre majuscule, ou d’un chiffre, ou de caractères spéciaux, ou que vous leur dites que le mot de passe est trop long, cela ne fait que frustrer les utilisateurs et les pousse à chercher des solutions de facilité. Si John Smith décide de choisir « johnsmith » comme mot de passe, ce n’est pas acceptable. Mais en exigeant un format spécifique, vous l’encouragez à contourner ces restrictions pour créer quelque chose comme « J0hnsm1th! » — ce qui n’est pas vraiment mieux. Toute personne compétente dans le déchiffrement/décodage des mots de passe peut rapidement comprendre cette variante.

À la place, laissez à John une plus grande liberté dans sa création. Encouragez l’utilisation d’une phrase plus longue (64 caractères est désormais le maximum recommandé, et non 16), et assurez-vous que le système peut gérer n’importe quel caractère que vous lui soumettez, en incluant non seulement le texte ASCII, mais aussi tout caractère Unicode — y compris les emojis. Cela fonctionne mieux lorsque vous disposez d’un dictionnaire de mots de passe connus comme étant faibles que le système peut vérifier. Ainsi, lorsque la première tentative de John pour créer un mot de passe — « johnsmith » — est rejetée, il peut canaliser sa frustration vers quelque chose de bien plus sécurisé, comme ces 49 caractères : « Our system admin is an annoying pain in the ????. »

Bien sûr, c’est pratiquement de l’anglais courant, mais c’est plus aléatoire que de simplement remplacer des lettres par des chiffres qui leur ressemblent.

De plus, cessez de faire expirer les mots de passe et de forcer les utilisateurs à les changer. Chaque fois que vous faites cela, il est plus probable que les mots de passe deviennent plus faciles à compromettre. En outre, quelle que soit la durée d’expiration — 30 jours, 6 mois, 1 an — si vous avez tenu aussi longtemps sans que le mot de passe soit volé, cela signifie que vous faites quelque chose correctement.

Personne ne change les serrures de sa maison chaque année pour une protection supplémentaire. Si personne n’a réussi à entrer dans la maison, cela signifie que vous êtes toujours la seule personne à avoir une clé. Vous ne les changez que lorsque vous savez que quelqu’un qui ne devrait pas avoir accès a mis la main sur votre clé. C’est la même chose avec les mots de passe.

2. Cessez d’utiliser des indices de mot de passe

Nous faisons ce genre de choses depuis si longtemps qu’il semble contre-intuitif d’y renoncer. Mais, si vous y réfléchissez, mettre en place des indices et des mécanismes pour obtenir ou réinitialiser un mot de passe est précisément ce qui n’a pas de sens. Tout l’intérêt d’un indice est de faciliter l’obtention d’une réponse.

Imaginez entrer dans une banque où vous savez que Bill Gates a un compte et essayer de retirer 1 million de dollars. Le guichetier demande votre pièce d’identité, que vous n’avez pas parce que vous n’êtes pas Bill Gates. Mais au lieu de vous refuser, on vous demande : « Eh bien, quel est le nom de la ville où vous êtes né ? » C’est une information bien plus facile à obtenir et cela semble être une très mauvaise méthode pour sécuriser des actifs.

Des mots de passe robustes constituent la première étape pour protéger les actifs numériques (et dans de nombreux cas, ces actifs numériques représentent un accès à de l’argent réel). Si quelqu’un ne connaît pas un mot de passe, il vaut mieux supposer qu’il y a une raison à cela plutôt que de lui tendre la main.

3. Abandonnez l’authentification à deux facteurs par SMS

L’authentification à deux facteurs, voire multifacteur, est indispensable, bien sûr. Mais la biométrie, comme l’empreinte digitale ou le scan rétinien, est un bien meilleur moyen de protéger votre compte — et ce n’est plus cette technologie futuriste de science-fiction qu’elle était autrefois. Demain est déjà là.

Le faire par SMS est une manière assez médiocre de procéder. En matière d’obstacles, envoyer des codes d’autorisation à un téléphone portable par message texte revient à demander à un cheval de sauter une haie de quinze centimètres. Comme le montre cet article , quelqu’un d’assez malin pour mettre la main sur votre mot de passe est largement assez ingénieux pour trouver un moyen de contourner des codes d’authentification par SMS.

Et, bien sûr, maintenant que tout le monde a compris l’inefficacité de cette méthode, les blogueurs spécialisés en sécurité réfléchissent et écrivent sur les différentes façons dont ce type de protection peut être compromis.

4. Les administrateurs doivent être plus avisés quant à la manière dont les mots de passe sont stockés

En 2013, le blog Naked Security a expliqué comment l’une des plus grandes entreprises de logiciels au monde, Adobe, a porté préjudice à 150 millions de ses utilisateurs avec des pratiques déplorables en place pour protéger les mots de passe.

En plus de mettre en lumière à quel point les indices de sécurité des mots de passe sont inutiles, cela a également montré qu’Adobe utilisait un chiffrement assez basique et n’ajoutait aucune autre protection. Le résultat était une sorte de processus de décodage simple, à peine plus sophistiqué que ce que les enfants obtenaient autrefois avec des kits d’espionnage jouets.

Dans notre monde protégé par des mots de passe, la sécurité s’avère être la responsabilité de tous. Les politiques doivent être bien pensées, les utilisateurs doivent s’y conformer, et les administrateurs doivent agir correctement envers les utilisateurs en ne partant pas du principe que des intrus ne peuvent pas pénétrer pour voler des mots de passe dès le départ. Les nouvelles recommandations et conclusions du NIST constituent certainement un bon point de départ pour tout le monde.

Gestionnaires de mots de passe : peser le pour et le contre

Les gestionnaires de mots de passe sont une autre manière par laquelle les particuliers et les organisations tentent de réduire le risque lié à l’utilisation des mots de passe. Comme d’autres outils de sécurité, les gestionnaires de mots de passe peuvent aider, mais ils ne constituent pas une solution complète qui exonérera votre organisation des risques liés aux mots de passe. Un autre aspect à prendre en compte est que la plupart des gestionnaires de mots de passe se sont révélés présenter des vulnérabilités ou ont même subi des violations au fil des ans.

En déployant un gestionnaire de mots de passe auprès de votre équipe, vous confiez votre sécurité à ces outils. Quelques incidents de sécurité notables incluent LastPass, My1Login, KeePass, OneLogin, PasswordBox, MyPasswords, Avast Passwords et RoboForm. Tavis Ormandy de Google Project Zero a divulgué certaines de ces vulnérabilités, y compris des vulnérabilités dans leurs plugins de navigateur.

Nos recommandations ? Les gestionnaires de mots de passe peuvent aider à minimiser la charge IT liée à la récupération des mots de passe, mais ils introduisent également une autre attaque potentielle de type supply chain attack pour les organisations.

Conclusion

Dans notre monde protégé par des mots de passe, une politique de sécurité solide inclut les fournisseurs et les personnes de chaque équipe. Les politiques doivent être bien pensées, les utilisateurs doivent s’y conformer, et les administrateurs doivent agir correctement envers les utilisateurs en ne partant pas du principe que des intrus ne peuvent pas pénétrer pour voler des mots de passe dès le départ. Les recommandations et conclusions du NIST constituent un bon point de départ pour tout le monde.