Can you enforce strong Active Directory password rules without frustrating users?
Mis à jour :
Optimiser la sécurité des mots de passe Active Directory sans nuire à l’expérience utilisateur
La gestion des mots de passe dans Active Directory (AD) nécessite un équilibre entre sécurité rigoureuse et simplicité pour l’utilisateur, afin d’éviter le recours à des pratiques risquées (mots de passe notés, répétitions).
Points clés :
- Priorité à la longueur : Privilégier les phrases de passe (passphrases) de 15 caractères minimum plutôt que la complexité traditionnelle (symboles/majuscules obligatoires), souvent contournée par les utilisateurs.
- Protection contre les compromissions : Bloquer l’utilisation de mots de passe déjà apparus dans des fuites de données connues (plus de 5,4 milliards de références).
- Révision de l’expiration : Abandonner l’expiration obligatoire forcée si les mots de passe sont longs et robustes, afin d’éviter les modifications incrémentales prévisibles.
- Autonomie utilisateur : Mettre en place le libre-service pour la réinitialisation des mots de passe afin de réduire la charge sur le support technique.
- Communication proactive : Fournir des retours en temps réel lors de la création d’un mot de passe et envoyer des notifications claires avant expiration.
Vulnérabilités associées : L’article souligne l’exposition aux attaques par “Password Spraying” (pulvérisation de mots de passe), qui exploitent les choix de mots de passe faibles, communs ou déjà compromis. Bien qu’aucune CVE spécifique ne soit mentionnée, ces vecteurs d’attaque sont des vulnérabilités critiques courantes dans les environnements AD.
Recommandations :
- Auditer : Utiliser des outils d’audit pour identifier les faiblesses actuelles du répertoire (ex: Specops Password Auditor).
- Bannir les listes noires : Créer des dictionnaires personnalisés interdisant les termes basés sur des noms d’utilisateurs, des suites logiques ou des mots de passe déja compromis.
- Adopter un gestionnaire de mots de passe : Encourager l’usage d’un gestionnaire d’entreprise pour centraliser et générer des identifiants uniques et robustes.
- Assurer un retour utilisateur immédiat : Intégrer des compteurs de force et des messages d’erreur explicites lors du changement de mot de passe pour guider l’utilisateur.