C'est la fin de la complexité des mots de passe telle que nous la connaissons.
Après avoir passé des années à exhorter les entreprises à imposer des changements fréquents de mot de passe et à exiger de leurs employés qu’ils utilisent des mots de passe complexes composés de lettres, de chiffres et de caractères spéciaux, le NIST (National Institute of Standards and Technology) a publié de nouvelles recommandations surprenantes — car il s’avère que toutes ces anciennes méthodes ne fonctionnent pas.
Les recommandations du NIST, récemment mises à jour , préconisent que les mots de passe comportent entre 15 et 64 caractères et suggèrent aux entreprises d'utiliser des générateurs de mots de passe aléatoires et des gestionnaires de mots de passe pour garantir la sécurité de ces codes.
Ces nouvelles recommandations ont surpris certains acteurs du secteur, bien que les membres du NIST aient évolué dans cette direction depuis quelques années. En réalité, Bill Burr, un cadre intermédiaire à l'origine du document « 2003 » du NIST recommandant d'utiliser des mots de passe complexes, a reconnu que ce conseil était erroné. « Je regrette aujourd’hui une grande partie de ce que j’ai fait », a déclaré M. Burr, désormais à la retraite, au Wall Street Journal en 2017.
Roger Grimes, expert renommé en authentification chez KnowBe4, affirme que, même si les entreprises ont suivi les recommandations en matière de complexité, il n'existe guère – voire aucune – preuve indiquant que la création de mots de passe selon une méthode particulière puisse les rendre inviolables.
«Les pirates informatiques sont aujourd’hui capables de cracker même des mots de passe complexes de 18 caractères s’ils ne sont pas véritablement aléatoires », explique-t-il. « La complexité donne l'illusion de la sécurité, mais dans la pratique, elle conduit souvent à des schémas prévisibles, voire à la réutilisation de mots de passe d'un site à l'autre. »
Ce point de vue semble être au cœur des nouvelles recommandations du NIST, qui suggèrent que des phrases de passe simples de 19 caractères, telles que « OfficeLunchOrder2024 », seraient plus sûres que des mots de passe plus complexes de 10 caractères, tels que « P@ssw0rd1 ! ». car elles sont plus longues à déchiffrer à l'aide de méthodes par force brute.
« Les mots de passe très complexes présentent une nouvelle vulnérabilité potentielle : ils sont plus difficiles à mémoriser et risquent davantage d’être notés ou stockés électroniquement de manière non sécurisée », indique la proposition du NIST.
Cessez d'imposer des changements de mot de passe
L'une des nouvelles recommandations les plus surprenantes du NIST est que les organisations cessent d'exiger des changements réguliers de mot de passe. Depuis des années, de nombreuses équipes informatiques imposent des cycles de changement de mot de passe de 60 ou 90 jours, estimant que cela permettrait de réduire au minimum le risque de vol de mot de passe.
«Les mots de passe très complexes présentent un nouveau risque potentiel : ils sont plus difficiles à mémoriser et donc plus susceptibles d’être notés ou enregistrés électroniquement de manière non sécurisée. »De nouvelles recommandations du NIST concernant les mots de passe ont été publiées en août
Toutefois, en modifiant sa recommandation, le NIST a reconnu que les changements fréquents de mot de passe peuvent entraîner davantage de complications qu'ils n'en résolvent. Les utilisateurs pressés et impatients mettent régulièrement à jour leurs mots de passe en utilisant des versions plus récentes qui reprennent d'anciens schémas faibles et « s », faciles à deviner – comme le fait de remplacer « Summer2024 » par « Fall2024 ».
Il est remarquable de constater que le NIST va encore plus loin, en affirmant que les organisations ne sont pas tenues d'exiger la réinitialisation des mots de passe tant qu'aucune violation de sécurité n'a été constatée. Le NIST estime que cela réduira la charge cognitive pesant sur les employés et permettra au service informatique de se concentrer sur les véritables menaces de sécurité plutôt que sur des réinitialisations arbitraires de mots de passe. Et ces deux éléments contribuent grandement à améliorer l'expérience globale des collaborateurs d' .
Grimes estime que ce conseil va trop loin, car il ne tient pas compte du fait que la faiblesse des mots de passe peut, en soi, entraîner des failles de sécurité.
« La plupart des gens ne savent pas que leurs mots de passe ont été compromis », explique-t-il. « Si vous dites aux gens : “Ne changez pas vos mots de passe”, et qu’ils ne les changent pas pendant des années, un ou plusieurs modèles de mots de passe finiront par figurer sur ces listes de mots de passe piratés et mettront l’organisation en danger. »
L'authentification multifactorielle : la clé d'une entreprise sécurisée ?
Outre la modification de ses recommandations en matière de mots de passe, le NIST a souligné l’importance de l’authentification multifactorielle (MFA) pour la sécurité des entreprises. Malheureusement, alors que près de 97 % des grandes entreprises appliquent des politiques en matière de mots de passe, seules 38 % d'entre elles ont déployé l'authentification multifactorielle (MFA) à l'échelle de l'entreprise, selon une récente enquête menée par l' KnowBe4.
«La plupart des gens ignorent que leurs mots de passe ont été compromis. » « [Leurs] habitudes en matière de mots de passe se retrouvent dans ces listes de mots de passe divulgués et exposent l’organisation à des risques. »Roger Grimes, expert renommé en authentification, KnowBe4
Cela met en évidence une lacune, c'est certain. Toutefois, cette faille pourrait encore exister pour les entreprises utilisant l'authentification multifactorielle (MFA), car, à leur insu, la plupart d'entre elles ont recours à des méthodes obsolètes telles que les SMS – et les pirates informatiques ont ciblé ces systèmes avec un succès croissant. L'une des techniques qu'ils utilisent est la « fatigue liée à l'authentification multifactorielle » ( , MFA fatigue), qui consiste à submerger les utilisateurs de demandes répétées d'authentification multifactorielle, ce qui les conduit à approuver des demandes frauduleuses par frustration ou par habitude. Le piratage d'entreprises mal sécurisées proposant des services d'authentification multifactorielle (MFA) aux entreprises en est un autre. Au début de cette année, par exemple, un fournisseur chargé de la gestion de l'authentification multifactorielle (MFA) de Cisco a été victime d'une attaque de type « » ( ) par ingénierie sociale.
Andrew Shikiar, PDG de l’ FIDO Alliance, un consortium industriel mondial dont l’objectif est de mettre fin à la dépendance mondiale vis-à-vis des mots de passe, affirme qu’une solution plus performante est désormais disponible : les clés d’accès (passkeys) basées sur le cadre « FIDO2 » de l’organisation.
Les « passkeys » reposent sur des paires de clés cryptographiques plutôt que sur des secrets partagés tels que les mots de passe, où un utilisateur connaît (en principe) et saisit un code qui se trouve également sur le serveur d’une organisation. Cela les rend bien plus résistantes aux attaques par force brute et d'ingénierie sociale, telles que celles utilisées pour contourner les anciennes méthodes d'authentification multifactorielle (MFA).
[Lire aussi : Qu'est-ce que l'ingénierie sociale en cybersécurité – un guide complet]
Il est pratiquement impossible de se procurer des « passkeys » par hameçonnage, car celles-ci utilisent des paires de clés publiques et privées : toute authentification s'effectue par le biais d'un dialogue chiffré entre ces clés, ce qui empêche les pirates d'amener les utilisateurs à divulguer des informations sensibles. Cette boîte de dialogue ne s'affiche qu'après que l'utilisateur s'est identifié localement sur son appareil – ce qui se fait généralement par la même action simple que celle utilisée pour déverrouiller cet appareil –, par exemple en utilisant les données biométriques du téléphone (comme Face ID) ou un code PIN.
Ce que les recommandations du NIST impliquent pour les mots de passe, les clés d'accès… et votre organisation
Les « passkeys » vont-elles enfin remplacer les mots de passe ?
«Nous constatons un intérêt croissant des entreprises pour les passkeys, car celles-ci offrent une protection renforcée contre les vecteurs d’attaque les plus courants aujourd’hui : le phishing et le credential stuffing. »Andrew Shikiar, PDG de l'Alliance FIDO
Même Shikiar, l'un de leurs plus fervents défenseurs, admet que les mots de passe sont tellement ancrés dans le monde de l'entreprise qu'il sera difficile de s'en débarrasser. Il souligne toutefois que le cadre FIDO, qui ne nécessite pas de mot de passe, gagne du terrain grâce au soutien de grands fournisseurs de plateformes tels qu’Apple, Google et Microsoft. « Plus de 20 % des principaux sites web mondiaux prennent désormais en charge les clés d'accès », ajoute-t-il, « et des millions de clients d'Amazon et de Bank of America s'y connectent déjà grâce à celles-ci ».
« Nous constatons un intérêt croissant des entreprises pour les passkeys, car celles-ci offrent une protection renforcée contre les vecteurs d’attaque les plus courants aujourd’hui : l’, le phishing et le credential stuffing », explique-t-il.
Les recommandations du NIST ne sont que cela : des recommandations. Les services informatiques peuvent les adopter ou non. Grimes fait remarquer que de nombreuses organisations ne respectaient de toute façon pas les directives antérieures. Néanmoins, les experts recommandent aux entreprises d'au moins prendre en considération ces nouvelles recommandations ainsi que quelques bonnes pratiques visant à réduire les risques et à renforcer leur niveau de sécurité, notamment :
1. Privilégiez la longueur du mot de passe plutôt que sa complexité
Exigez des mots de passe ou des phrases de passe que les employés puissent mémoriser plus facilement, mais qui comptent au moins 18 caractères. L'objectif est de ne plus utiliser « P@ssw0rd ! » et vers quelque chose comme « ProjectKiteboard2025 ».
2. Limiter les changements de mot de passe obligatoires
À moins qu'un incident ou une violation spécifique ne se soit produit, il n'est pas nécessaire d'obliger les employés à changer leurs mots de passe aussi fréquemment qu'ils le faisaient jusqu'à présent. Mme Grimes affirme que, même compte tenu de la recommandation du NIST, cela n'est pas nécessaire tant qu'il n'y a pas eu de violation de sécurité, et qu'il serait judicieux d'imposer un changement de mot de passe environ une fois par an.
3. Exigez l'authentification à plusieurs facteurs (MFA) dans la mesure du possible
Mettez en place et imposez l'authentification à plusieurs facteurs (MFA) aussi largement que possible, en particulier pour les comptes sensibles ou les systèmes métier critiques. Change Healthcare, l'une des plus grandes sociétés mondiales de traitement des paiements dans le secteur de la santé, l'a appris à ses dépens. Au début de cette année, la filiale d'UnitedHealth, qui traite 15 milliards de demandes de remboursement médical chaque année, a été mise hors ligne car elle n'utilisait pas l'authentification multifactorielle (MFA). On estime qu'un tiers des Américains ont vu leurs données sensibles divulguées sur le dark web à la suite de cet incident.
4. Mettez des gestionnaires de mots de passe à la disposition de vos collaborateurs
Shikiar souligne que tout mot de passe est susceptible de faire l'objet d'une tentative d'hameçonnage. Tout mot de passe peut être piraté. « Ainsi, si vous utilisez encore des mots de passe, il vaut mieux les protéger à l’aide d’un gestionnaire de mots de passe », explique-t-il. Ils ne sont pas infaillibles. Eux aussi peuvent être piratés. Cependant, en générant et en utilisant des mots de passe aléatoires, uniques pour chaque site et chaque service, ils peuvent contribuer à réduire les menaces liées au hameçonnage.
« Si vous ne pouvez pas utiliser une authentification multifactorielle (MFA) résistante au phishing, utilisez tout de même la MFA ; si vous ne pouvez pas utiliser la MFA, utilisez un gestionnaire de mots de passe », explique M. Grimes. « Si la plupart des gens agissaient ainsi, ils s'en sortiraient bien mieux. » « Si vous n'utilisez pas de gestionnaire de mots de passe, vous risquez de mettre votre entreprise en danger. »
Les organisations qui adopteront ces changements réduiront leur surface d'attaque et simplifieront la gestion de la sécurité pour leurs équipes. Pour reprendre une expression, « les mots de passe sont les cafards d’Internet : ils sont difficiles à éliminer ». Mais grâce à des outils tels que l'authentification multifactorielle (MFA) infalsifiable, les clés d'accès et les gestionnaires de mots de passe, les services informatiques peuvent enfin assurer leur sécurité sans importuner les utilisateurs ni épuiser leur propre personnel.
