Password Reuse in Disguise: An Often-Missed Risky Workaround

Le Piège des Mots de Passe Quasi Identiques : Une Vulnérabilité Souvent Ignorée

La réutilisation de mots de passe, même avec de légères modifications, représente un risque de sécurité majeur pour les organisations. Les politiques de mots de passe actuelles, axées sur la complexité, échouent souvent à contrer cette pratique, car les utilisateurs modifient leurs mots de passe de manière prévisible pour rester conformes aux règles tout en les rendant faciles à mémoriser. Les attaquants exploitent ces schémas prévisibles, souvent en utilisant des identifiants issus de fuites de données antérieures et en appliquant des transformations courantes pour accéder à de nouveaux comptes.

Points Clés

• La réutilisation de mots de passe quasi identiques, où des changements mineurs sont apportés à un mot de passe existant (ajout/modification de chiffres, de caractères, de symboles ou de casse), est une vulnérabilité courante.
• Ce comportement est motivé par la difficulté pour les utilisateurs de gérer un grand nombre de mots de passe uniques et complexes.
• Les politiques de mots de passe basées uniquement sur la complexité ne suffisent pas à empêcher cette pratique, car les mots de passe modifiés respectent formellement les règles.
• Les attaquants exploitent la prévisibilité de ces modifications à grande échelle, notamment en utilisant des outils automatisés sur des identifiants compromis.

Vulnérabilités

L’article ne mentionne pas de CVE spécifiques, mais la vulnérabilité intrinsèque réside dans :

• Réutilisation de mots de passe quasi identiques : Permet aux attaquants d’inférer de nouveaux mots de passe à partir d’anciens, même s’ils respectent les règles de complexité.
• Prévisibilité des schémas de modification des mots de passe : Les utilisateurs appliquent des transformations similaires, rendant les mots de passe plus faciles à cracker.

Recommandations

• Visibilité sur l’état des identifiants : Surveiller en continu si les mots de passe apparaissent dans des fuites de données connues et analyser les schémas de similarité des mots de passe.
• Analyse intelligente de similarité : Aller au-delà des contrôles statiques pour détecter les mots de passe trop proches des précédents.
• Mise à jour des politiques de mots de passe : Bloquer explicitement les mots de passe trop similaires aux anciens pour prévenir les contournements courants.
• Solutions de gestion des politiques de mots de passe centralisées : Utiliser des outils permettant de définir, mettre à jour et appliquer des règles de mots de passe robustes et adaptées à la détection de similarités.

Source