Microsoft supprime les stratégies d'expiration de mot de passe

Dans la nouvelle version préliminaire de la documentation de base sur la sécurité, Microsoft a supprimé la stratégie qui demande aux utilisateurs de modifier régulièrement leurs mots de passe.

Les nouveaux paramètres de sécurité s’appliquent à Windows 10 versions 1903 et Windows Server 1903, et la modification voit Microsoft admettre que sa politique consistant à imposer des modifications périodiques du mot de passe constitue "une mesure de protection ancienne et obsolète de très faible valeur". La société propose une série de suggestions pour améliorer la sécurité des mots de passe.

La nouvelle base de sécurité proposée est décrite dans un article publié sur le blog Microsoft Security Guidance par Aaron Margosis. Dans l'article, il souligne qu'en forçant les gens à modifier leurs mots de passe, ils risquent davantage de les oublier ou de choisir quelque chose de prévisible - ce qui va à l'encontre de l'idée de sécurité par mot de passe.

Margosis dit: :

Il ne fait aucun doute que l’état de la sécurité par mot de passe pose problème depuis longtemps. 

• Lorsque les humains choisissent leurs propres mots de passe, ils sont trop souvent faciles à deviner ou à prédire. 
• Lorsque des humains sont assignés ou forcés à créer des mots de passe difficiles à retenir, ils les écrivent trop souvent là où les autres peuvent les voir. 
• Lorsque les humains sont obligés de changer leurs mots de passe, ils apportent trop souvent une petite modification prévisible à leurs mots de passe existants et / ou oublient leurs nouveaux mots de passe. 

En cas de vol de mots de passe ou de leurs hachages correspondants, il peut être difficile, au mieux, de détecter ou de restreindre leur utilisation non autorisée.

Il explique ensuite la raison de ce changement, soulignant que Microsoft ne cherche pas à apporter d'autres modifications aux exigences en matière de mot de passe, telles que la longueur ou la complexité.

• L'expiration périodique du mot de passe est un moyen de défense  uniquement  contre la probabilité qu'un mot de passe (ou un hachage) soit volé pendant son intervalle de validité et soit utilisé par une entité non autorisée. Si un mot de passe n'est jamais volé, il n'est pas nécessaire de le faire expirer. Et si vous avez la preuve qu'un mot de passe a été volé, vous agiriez probablement immédiatement plutôt que d'attendre l'expiration pour résoudre le problème.
•  S'il est évident qu'un mot de passe risque d'être volé, combien de jours est une durée de temps acceptable pour continuer à permettre au voleur d'utiliser ce mot de passe volé? La valeur par défaut de Windows est de 42 jours. Cela ne vous semble-t-il pas  ridiculement long ? Eh bien, si, et pourtant notre base de référence actuelle dit 60 jours - et disait 90 jours - parce que forcer une expiration fréquente introduit ses propres problèmes. Et s'il n'est  pas  acquis que les mots de passe seront volés, vous n'acquerrez ces problèmes sans aucun avantage. En outre, si vos utilisateurs sont disposés à répondre aux enquêtes sur le parking qui échangent une barre chocolatée contre leurs mots de passe, aucune politique d’expiration du mot de passe ne vous aidera.
• Nos lignes de base sont conçues pour pouvoir être utilisées avec une modification minimale, voire nulle, par la plupart des entreprises bien gérées et soucieuses de la sécurité. Ils sont également destinés à servir de guide aux auditeurs. Alors, quelle devrait être la période d’expiration recommandée? Si une organisation a implémenté avec succès des listes de mots de passe interdits, une authentification multifactorielle, la détection d'attaques de détection de mot de passe et la détection de tentatives de connexion anormales, a-t-elle besoin d'  une  expiration périodique du mot de passe? Et s’ils n’ont pas mis en œuvre les mesures d’atténuation modernes, quelle protection bénéficieront-ils  réellement  de l’expiration du mot de passe?
• Les résultats des analyses de conformité de base sont généralement mesurés par le nombre de paramètres non conformes: "Combien de rouge avons-nous sur le graphique?" Lors de l'audit, il n'est pas rare que les organisations considèrent les chiffres de conformité comme plus importants que la sécurité réelle. Si une base de référence recommande 60 jours et qu'une organisation avec des protections avancées choisit 365 jours - ou aucune date d'expiration -, elle sera inutilement auditée et pourrait être obligée de se conformer à la recommandation de 60 jours.
• L'expiration périodique du mot de passe est une mesure d'atténuation ancienne et obsolète de très faible valeur, et nous ne pensons pas qu'il soit utile que notre base de référence applique une valeur spécifique. En le retirant de notre base de référence plutôt que de recommander une valeur particulière ou l'absence d'expiration, les organisations peuvent choisir ce qui leur convient le mieux, sans contredire nos conseils. Dans le même temps, nous devons réitérer que nous   recommandons vivement des protections supplémentaires, même si elles ne peuvent pas être exprimées dans nos lignes de base.

Bien que le changement proposé ne concerne pas les utilisateurs domestiques, il peut encourager les entreprises et les utilisateurs professionnels à examiner de plus près leurs stratégies de sécurité.

-------------------------------------------------------------------------------------------------------------------------------

De plus, si vous êtes intéressé par la lecture de tels articles, veillez à suivre ce blog en cliquant sur le bouton "S'abonner".

Et si vous avez des questions, n'hésitez pas à communiquer avec nous ou à commenter directement ci-dessous, ou sur "News Républic" application disponible sur smartphone Android, iios, windows phone, une fois installé, recherchez :  "Global Informatique" .... Certains sujet sont écrits directement sur "News Républic".., Sinon sur Facebook Page "News Global Technology"

Source : betanews