Les mots de passe existent depuis aussi longtemps que les systèmes informatiques. Mais à mesure que le nombre de comptes, de sites web et d'applications que nous devons sécuriser a augmenté, il est devenu plus difficile de gérer ces identifiants.
Aujourd'hui, plus de la moitié (57 %) des Américains continuent de noter leurs mots de passe professionnels sur des post-it. Vous êtes surpris ? Eh bien, peut-être ne devrions-nous pas l'être, compte tenu de ce que nous savons de la nature humaine.
Souvent, ces difficultés sont aggravées par des politiques trop strictes imposant des identifiants complexes et difficiles à mémoriser, ainsi que des changements réguliers de mot de passe. Il est essentiel de trouver le juste équilibre entre sécurité et commodité.
Afin de vous aider à l'occasion de cette Journée mondiale du mot de passe, examinons quelques idées reçues courantes concernant la sécurité des mots de passe. Et expliquez en quoi consiste une bonne politique.
Regardez cet épisode de « To the Point » avec deux experts de Tanium : Chris Hallenbeck, responsable de la sécurité des systèmes d'information pour les Amériques, et Oliver Cronk, architecte informatique en chef pour la région EMEA.
https://youtu.be/0ri1bQsobig
Démystifier les quatre principaux mythes sur les mots de passe
Mythe n° 1 — Les mots de passe doivent être complexes pour être plus sûrs.
Ce n'est pas forcément le cas. Des études ont montré qu'une phrase ou une expression longue, relativement facile à mémoriser, peut s'avérer plus difficile à déchiffrer ou à deviner pour les pirates qu'un mot plus court et plus complexe.
Mythe n° 2 — Il faut changer fréquemment ses mots de passe.
Votre politique d'entreprise en matière de mots de passe doit être adaptée de manière dynamique en fonction des risques. S'il s'agit d'un compte administrateur ou d'un compte disposant de privilèges élevés, il est nécessaire de changer les mots de passe assez fréquemment. Mais s'il s'agit d'un compte d'utilisateur final, des mises à jour forcées fréquentes ne feront qu'encourager les mauvaises pratiques, comme dans l'exemple des post-it ci-dessus. Il s'agit là d'un exercice d'équilibre qui nécessite une réflexion approfondie de la part du service informatique.
Mythe n° 3 — Si j’utilise l’authentification multifactorielle (MFA) d’ et un mot de passe fort, je suis à l’abri de tout.
Malheureusement, il n'existe pas de protection à 100 % en matière de cybersécurité. Même si vous avez bloqué une voie d'accès grâce à une authentification efficace des utilisateurs, il peut en exister d'autres que les pirates pourraient exploiter, comme le vol des cookies du navigateur contenant des identifiants. Mais l'objectif est de compliquer autant que possible la tâche de votre adversaire. Et grâce à l'authentification multifactorielle (MFA) et à l'obligation d'utiliser des mots de passe forts à l'échelle de l'entreprise, vous partez du bon pied — surtout si ces mesures sont mises en œuvre dans le cadre d'une approche « Zero Trust » d' .
Mythe n° 4 — Si mon compte est piraté, c'est que quelqu'un m'en veut.
Pas du tout. Dans la plupart des cas, les intrusions sont assez aléatoires et opportunistes. Les attaques par « credential stuffing », par exemple, peuvent se produire si vous avez réutilisé votre mot de passe sur un autre site qui a ensuite été piraté. Ces identifiants sont ensuite acquis par des cybercriminels sur des marchés du dark web, puis testés simultanément sur de nombreux sites, dans l'espoir de parvenir à accéder à certains de vos autres comptes.
Recommandations relatives aux mots de passe
Heureusement, les organisations et les particuliers peuvent prendre de nombreuses mesures pour renforcer la sécurité de leurs mots de passe. Et cela ne nécessite pas forcément beaucoup de temps ni d'efforts supplémentaires. Réfléchissez à ce qui suit :
- Les fournisseurs de solutions de gestion des identités, tels que Google et Microsoft, proposent des bilans de sécurité qui peuvent constituer un bon moyen de vérifier si vous utilisez, sur l'ensemble de vos comptes, des mots de passe faibles, déjà utilisés ou ayant déjà fait l'objet d'une fuite. Si les résultats vous semblent insurmontables, concentrez-vous simplement sur les comptes que vous considérez comme « prioritaires », tels que vos services bancaires en ligne et votre messagerie électronique. C'est à cette adresse que les fournisseurs enverront les liens de réinitialisation de mot de passe ; il est donc essentiel que vous les protégiez à l'aide de mots de passe forts et uniques, ainsi que d'une authentification multifactorielle (MFA).
- Changez les mots de passe de vos comptes administrateurs et de vos comptes d'entreprise disposant de privilèges élevés plus fréquemment que ceux des comptes d'utilisateurs standard.
- La fonction MFA doit être activée pour tous les utilisateurs, en particulier les administrateurs.
- Privilégiez la longueur lorsque vous choisissez vos mots de passe : une phrase complète est plus sûre qu'un mot de passe de 10 à 12 caractères.
- Veillez à vérifier que les politiques sont bien respectées en vous assurant que les identifiants ne sont pas stockés sur des sites tels que GitHub, ce qui pourrait exposer l'organisation à des risques supplémentaires inutiles.
- Vous pouvez également vérifier si votre adresse e-mail a été concernée par une fuite de données sur le site — « Have I been pwned ? »
- Les entreprises peuvent profiter d'occasions telles que la Journée mondiale du mot de passe pour sensibiliser le public, mais elles ne doivent pas se limiter aux seuls mots de passe. C'est également le moment idéal pour passer en revue leurs protocoles d'accès. Le fait de pirater un mot de passe faible permet d'y accéder. C'est sur ce qu'un cybercriminel peut faire grâce à cet accès que les organisations devraient concentrer leurs efforts.
Comment Tanium peut vous aider
Tanium peut contribuer à soutenir ces efforts de deux manières :
Nous vous offrons la visibilité et le contrôle dont vous avez besoin, avec rapidité et à grande échelle, afin de garantir l'application des politiques mondiales sur les terminaux. Par exemple, en vous permettant de vérifier si des fichiers contenant des mots de passe en clair sont utilisés au sein de l'entreprise.
Nous adoptons une approche « Zero Trust » conforme aux meilleures pratiques en authentifiant l'appareil avant que les utilisateurs de l'entreprise ne puissent se connecter. La gestion des identités constitue une étape cruciale. Mais si vos terminaux ont été compromis, cela pourrait tout de même permettre aux attaquants de contourner les défenses de l'entreprise.
Pour en savoir plus sur la mise en place d'une sécurité par mot de passe au sein de votre organisation, rendez-vous sur notre site web ou contactez-nous pour une démonstration.
