Note technique

Recommandations de sécurité relatives aux mots de passe

1         Préambule

Malgré le développement de mécanismes d’authentification intrinsèquement plus robustes, l’usage des mots de passe est encore relativement répandu, notamment pour l’authentification sur Internet.

L’ANSSI ( Agence nationale de la sécurité des systèmes d'information ) recommande très fortement, dans tous les cas où cela est possible, l’utilisation de technologies d’authentification forte (utilisation de certificats d’authentification sur carte à puce, utilisation de schéma d’authentification à plusieurs facteurs etc.). Cependant, l’utilisateur n’est pas toujours maître des choix qui s’offrent à lui en matière d’authentification. L’objet de ce document est donc de guider l’utilisateur dans le choix de mots de passe adéquats.

2         De quoi dépend la robustesse d’un mot de passe?

Les préconisations que l’on peut retrouver dans les guides de bonne pratique en matière de robustesse de mots de passe sont parfois contradictoires. Certaines recommandations préconisent le choix de mots de passe de 12 caractères alphanumériques, d’autres de 16 lettres, etc.

En réalité, il n’existe pas de règle universelle. La robustesse d’un mot de passe dépend en pratique :

–  de la force intrinsèque du mot de passe, c’est à dire sa complexité intrinsèque^[1] ;

–    du mécanisme mis en œuvre pour vérifier le mot de passe et de ses caractéristiques techniques (temps de vérification, mécanisme cryptographique sous-jacent notamment);

–    du modèle d’attaquant considéré. La résistance contre tous les types d’attaquants imaginables est intrinsèquement plus difficile à atteindre que la simple résistance aux attaques opportunistes par lesquelles l’attaquant va essayer les mots de passe les plus triviaux les uns après les autres sans connaissance a priori du système cible;

–    éventuellement, en fonction des mécanismes techniques mis en œuvre et du modèle d’attaquant, du nombre d’authentification ratées autorisées avant blocage d’un compte protégé par le mot de passe;

–    des mécanismes d’alerte éventuels. Certains systèmes permettent à l’utilisateur de prendre connaissance de manière sûre du nombre d’échecs d’authentification infructueux. D’autres lèveront une alerte à destination d’un administrateur ou bloqueront le compte de l’utilisateur concerné.

3         Les recommandations minimales à respecter!

A minima, l’ANSSI estime que les 8 recommandations suivantes doivent s’appliquer indépendamment de tout contexte. Lorsque les systèmes d’information utilisés le permettent, certaines doivent être imposées techniquement.

4         Introduction

L’utilisation de mots de passe forts est l’une des briques de base dans la sécurisation d’un système d’information. Malheureusement cette première étape est souvent absente dans la politique de sécurité. Il est par conséquent assez fréquent de trouver des comptes avec des mots de passe triviaux, sans mot de passe ou avec des mots de passe par défaut.

Cette note a pour but :

–    de sensibiliser les utilisateurs de système d’information sur l’intérêt d’avoir des mots de passe forts;

–    de sensibiliser les administrateurs sur l’intérêt de mettre en place un contrôle systématique de la qualité des mots de passe;

–    de sensibiliser les concepteurs d’application sur l’importance d’une politique complète et cohérente concernant l’utilisation et la gestion des mots de passe;

–    de préciser les limites de la sécurité apportée par les mots de passe.

5         Comment créer un bon mot de passe?

Un bon mot de passe est avant tout un mot de passe fort, c’est à dire difficile à retrouver même à l’aide d’outils automatisés. La force d’un mot de passe dépend de sa longueur et du nombre de possibilités existantes pour chaque caractère le composant. En effet, un mot de passe constitué de minuscules, de majuscules, de caractères spéciaux et de chiffres est techniquement plus difficile à découvrir qu’un mot de passe constitué uniquement de minuscules.

Néanmoins, un bon mot de passe doit être facile à retenir pour rester fort. En effet, si un mot de passe est trop compliqué à retenir, l’utilisateur trouvera différentes astuces comme, par exemple, l’inscription du mot de passe sur un papier collé sur l’écran ou sous le clavier lui permettant de s’authentifier. Pour ne pas mettre bêtement en danger la sécurité du SI, il existe différents moyens mnémotechniques pour fabriquer et retenir des mots de passe forts.

5.1        Méthode phonétique

Cette méthode consiste à utiliser les sons de chaque syllabe pour fabriquer une phrase facile à retenir.

Par exemple la phrase « J’ai acheté huit cd pour cent euros cet après midi » deviendra ght8CD%E7am.

5.2        Méthode des premières lettres

Cette méthode consiste à garder les premières lettres d’une phrase (citation, paroles de chanson...) en veillant à ne pas utiliser que des minuscules. Par exemple, la citation « un tiens vaut mieux que deux tu l’auras » donnera 1tvmQ2tl’A.

6         Pourquoi et comment bien gérer les mots de passe?

6.1        Politique de gestion des mots de passe

Les mots de passe sont souvent la seule protection d’une station de travail. Il est donc indispensable de mettre en œuvre une politique de gestion des mots de passe intégrée à la politique de sécurité du système d’information.

Cette politique de gestion de mots de passe devra être à la fois technique et organisationnelle. Les éléments suivants pourront, entre autres, y être inscrits.

6.1.1       Sensibilisation à l’utilisation de mots de passe forts

Les utilisateurs d’un système d’information doivent être sensibilisés à l’utilisation de mots de passe forts afin de comprendre pourquoi le risque d’utiliser des mots de passe faibles peut entraîner une vulnérabilité sur le système d’information dans son ensemble et non pas sur leur poste uniquement.

6.1.2       Mot de passe initial

Le mot de passe initial doit être de préférence fourni sur un canal sûr. Lorsque ce mot de passe initial est fourni par l’administrateur du système ou lorsqu’il est communiqué sur un canal non confidentiel, il doit être changé dès la première connexion de l’utilisateur.

L’administrateur qui a fourni un mot de passe sur un canal non sûr doit avoir une vigilance plus soutenue afin de s’assurer que le mot de passe n’est pas utilisé par un tiers.

6.1.3       Renouvellement des mots de passe

Les mots de passe doivent avoir une date de validité maximale. A partir de cette date l’utilisateur ne doit plus pouvoir s’authentifier sur le système si le mot de passe n’a pas été changé. Ceci permet de s’assurer qu’un mot de passe découvert par un utilisateur mal intentionné, ne sera pas utilisable indéfiniment dans le temps.

6.1.4       Les critères prédéfinis pour les mots de passe

Plusieurs critères peuvent être définis et mis en œuvre dans de nombreux systèmes pour s’assurer de la qualité des mots de passe. Ces critères sont, par exemple :

–    une longueur minimale obligatoire prédéfinie;

–    l’impossibilité de réutiliser les n derniers mots de passe;

–    le nombre de tentatives possibles avant verrouillage de compte;

–    la manière de déverrouiller un compte qui a été bloqué. Pour éviter les dénis de service liés au blocage de tous les comptes sur un système d’information, il peut être intéressant que le déblocage des comptes se fasse de manière automatique après un certain délai;

–    la mise en place d’une veille automatique avec un déblocage par saisie du mot de passe.

6.1.5       Confidentialité du mot de passe

Un mot de passe sert à s’authentifier sur un système. Dans ce but, il est important de veiller à ne pas divulguer son mot de passe. Un mot de passe ne doit jamais être partagé ni stocké dans un fichier ni sur papier sans protection adaptée. Ainsi, il est possible que la politique de sécurité demande aux utilisateurs d’un système d’information de stocker les mots de passe sur papier dans un lieu sûr (enveloppe cachetée dans un coffre ignifugé) pour le cas où un problème surviendrait.

6.1.6       Configuration des logiciels

Une large majorité de logiciels comme par exemple les logiciels de navigation Internet proposent d’enregistrer les mots de passe, par le biais d’une petite case à cocher « retenir le mot de passe », pour éviter à l’utilisateur la peine d’avoir à les ressaisir. Ceci pose plusieurs problèmes de sécurité notamment lorsqu’une personne mal intentionnée prend le contrôle de l’ordinateur d’un utilisateur, il lui suffit de récupérer le fichier contenant la liste des mots de passe enregistrés pour pouvoir se connecter sur des sites à accès protégé.

6.2        Utilisation de mots de passe différents

Il est important de garder à l’esprit qu’un mot de passe n’est pas inviolable dans le temps. C’est pour cette raison qu’il est nécessaire de changer régulièrement son mot de passe et qu’il est important de ne pas utiliser le même mot de passe pour tous les services vers lesquels on se connecte.

En effet, si le poste de travail est compromis et qu’un renifleur de clavier est installé, un utilisateur mal intentionné peut récupérer tous les mots de passe entrés au clavier durant la période pendant laquelle le renifleur de clavier était installé (même si ces mots de passe sont forts) et accéder à l’ensemble des services nécessitant ces mots de passe. Tant que les mots de passe capturés n’ont pas été changés, des accès malveillants sont possibles, l’impact de l’attaque est durable.

C’est pourquoi changer régulièrement de mots de passe, à partir de machines saines, permet de diminuer la durée de l’impact de l’attaque.

6.3        Utilisation de mots de passe non rejouables (One Time Password)

Il est possible d’utiliser des solutions permettant de s’authentifier à un système par le biais d’un mot de passe ne pouvant être utilisé qu’une seule fois. Cette solution présente l’avantage que lorsqu’un mot de passe est découvert, il ne peut pas être réutilisé. Cette technique reste toutefois vulnérable aux attaques de l’intercepteur (man in the middle).

6.4        Mettre en place un contrôle systématique des mots de passe

Pour s’assurer de l’absence de mots de passe faibles, il peut être intéressant pour un administrateur, s’il y est autorisé, de réaliser des tests sur la robustesse des mots de passe utilisés sur son système d’information. Des outils commerciaux ou gratuits sont disponibles sur l’Internet. Le choix de l’outil le plus adapté dépend du type de mots de passe que l’on désire analyser. Une telle démarche peut être très utile à des fins de sensibilisation des utilisateurs.