Conception de la politique de mot de passe

Votre organisation a des exigences complexes pour les mots de passe, et les utilisateurs trouvent toujours un moyen de les contourner. Il faut une majuscule, un chiffre et un caractère spécial, alors vous changez

Jaroslaw102026!

à

Jaroslaw112026!

Oui, Jaroslaw est mon nom, si vous ne l'avez pas deviné.

Celui qui a écrit les règles de mot de passe l’a fait il y a longtemps et n’est jamais revenu les vérifier par rapport aux bases de données de mots de passe compromis ou aux modèles actuels.

Les règles de complexité

De nombreuses organisations ont construit leur politique autour des anciennes recommandations du NIST. Elles ont été rédigées pour les systèmes fédéraux d’authentification, mais les organisations privées pouvaient les adopter volontairement, et beaucoup l’ont fait. Les utilisateurs ont ensuite trouvé le moyen le plus simple de satisfaire chaque exigence. Quand les mots de passe sont devenus trop complexes à retenir, les gens les notaient sur un papier. Échanger des caractères dans quelque chose de mémorable est devenu la nouvelle norme.

Les attaquants le savent et construisent leurs outils en conséquence. Les directives actuelles du NIST (SP 800-63B) ont abandonné les règles de composition au profit du filtrage des mots de passe contre des listes communes et compromises.

Attaques qu'une politique de mot de passe peut prévenir

Une politique ne stoppera pas toutes les attaques, mais elle supprime les victoires faciles. Ce sont celles qu’elle affecte directement.

Attaques par dictionnaire. Les attaquants testent de longues listes de mots courants et de mots de passe connus sur un compte. Une politique qui bloque les mots du dictionnaire fait échouer ces tentatives avant qu'elles ne commencent.

Attaques basées sur des règles et mutations. Les outils de cracking n’essaient pas seulement "password." Ils essaient aussi Password1!, P@ssw0rd, et toutes les substitutions courantes d’une lettre par un chiffre ou un symbole. Si votre politique vérifie seulement la présence d’un caractère spécial, ces mots de passe passent. Une politique qui détecte la substitution de caractères les rejette.

Password spraying. Au lieu de cibler un seul compte, les attaquants essaient quelques mots de passe courants sur des milliers de comptes pour rester sous les seuils de verrouillage. Des modèles comme Winter2026! ou Company123! sont les cibles habituelles. Bloquer les modèles prévisibles supprime les mots de passe dont dépend le password spraying.

Credential stuffing. Les attaquants utilisent des noms d’utilisateur et des mots de passe issus de violations antérieures et les essaient sur vos systèmes, pariant que les gens les réutilisent. Vérifier les nouveaux mots de passe avec les données de violation bloque ceux déjà en circulation.

Deviner ciblée. Si votre nom est Jaroslaw, un attaquant qui le trouve sur LinkedIn essaiera Jaroslaw plus une année. Bloquer les noms personnels et les noms d’utilisateur élimine les suppositions les plus évidentes.

Craquage hors ligne. Lorsque les attaquants volent des hachages de mots de passe, les mots de passe faibles tombent en premier. Une politique ne peut pas empêcher le vol, mais rejeter les mots de passe prévisibles rend le craquage beaucoup plus long.

Ce que votre politique de mot de passe doit rejeter

Lorsque vous redessinez votre politique, décidez de votre position sur chacun de ces points :

• Noms personnels et noms d’utilisateur : bloquez-les.
• Motifs répétitifs : rejeter Jarojaro et Jaaaaaro.
• Modèles de clavier : rejeter ASDFG et séquences similaires.
• Substitutions de caractères : les détecter, afin qu’un motif comme abcd ne puisse pas être transformé en quelque chose qui passe.
• Mots de passe compromis : vérifiez par rapport aux données de violations connues, à la création et selon un planning.

Les exigences en majuscules, minuscules, chiffres et caractères spéciaux ont toujours leur place. Construisez les règles de modèle par-dessus.

Comment Netwrix Password Policy Enforcer aide

Les politiques de mot de passe natives d’Active Directory ne peuvent pas faire la plupart de ce qui précède. Netwrix Password Policy Enforcer ajoute :

• Politiques de mot de passe multiples pour utilisateurs, groupes et OUs
• Contrôles de complexité personnalisés pour la longueur, les jeux de caractères et les phrases de passe
• Protection par dictionnaire et motifs qui bloque les mots courants, substitutions et modèles prévisibles
• Blocage du nom d’utilisateur, pour empêcher les gens de créer un mot de passe à partir de leur propre nom de compte
• Blocage de motifs clavier, tels que ASDFG
• Vérifications des mots de passe compromis par rapport aux données de violation, telles que Have I Been Pwned, lors de la création du mot de passe ou des analyses programmées
• Retour en temps réel pour que les utilisateurs sachent si le nouveau mot de passe qu’ils saisissent respecte les exigences définies par la politique
• Test des politiques avant déploiement, pour voir l'impact avant les utilisateurs
• Modèles de conformité intégrés pour CIS, HIPAA, NERC CIP, NIST, PCI DSS et CJIS

Deux choses de plus à faire

Activez MFA. Les outils d'IA peuvent deviner un mot de passe de 15 caractères s'il est prévisible. MFA protège le compte lorsque le mot de passe est compromis malgré tout.

Stockez les mots de passe dans un coffre-fort. Un coffre-fort offre aux utilisateurs un endroit sûr pour les identifiants au lieu de papier ou d'un tableur. Netwrix Password Secure couvre cela.