- Mise en œuvre de politiques de complexité et de longueur minimale basées sur les normes de sécurité actuelles.
- Utilisation de politiques de mots de passe à granularité fine (FGPP) pour imposer des restrictions strictes aux utilisateurs privilégiés.
- Différenciation entre le stockage de hachage LM et NT pour optimiser la résistance aux attaques.
- Adoption de phrases de passe et de l'authentification multifacteur pour atténuer les risques d'attaques par force brute et le vol d'identifiants.
En matière de sécurité des réseaux d'entreprise, le point faible réside sans conteste dans la gestion des identifiants. Il est avéré que les cybercriminels n'emploient pas toujours des techniques sophistiquées ; parfois, une attaque par force brute ou la simple devinette de schémas courants suffit à infiltrer un système et à se déplacer latéralement à travers l'infrastructure jusqu'à trouver la faille.
Pour éviter que notre réseau ne devienne une passoire, il est crucial de configurer Active Directory de manière à ce que les mots de passe ne soient pas pris à la légère. Il ne s'agit pas seulement de définir une longueur minimale, mais de mettre en œuvre une stratégie globale combinant des politiques strictes, un stockage sécurisé des hachages et, surtout, une formation continue afin que les employés ne finissent pas par coller leur mot de passe sur un post-it collé à leur écran d'ordinateur.
Comment les clés sont-elles stockées dans l'écosystème Windows ?
Windows ne stocke pas les mots de passe en clair (ce serait du suicide numérique), mais utilise des fonctions à sens unique, plus connues sous le nom de hachage cryptographique . Il s'agit d'une opération mathématique qui transforme le mot de passe en une chaîne de caractères irréversible. Dans les domaines Active Directory, deux principaux types sont utilisés : le hachage unidirectionnel LM (LAN Manager) et le hachage unidirectionnel NT.
Le système LM est désormais obsolète et n'est maintenu que pour des raisons de compatibilité, car il divise la clé en deux blocs de 7 octets et présente une vulnérabilité importante. En revanche, le hachage NT utilise l'algorithme MD4 et constitue la norme d'authentification dans les domaines modernes. Il est important de noter que ces clés résident dans le fichier NTDS.DIT de la base de données Active Directory et sont protégées par des couches de chiffrement telles que AES-256 dans les dernières versions de Windows Server.
Outre la base de données centrale, il existe un SAM local sur les ordinateurs et des informations d'identification mises en cache . Ces dernières permettent à un utilisateur de se connecter même si l'ordinateur a perdu sa connexion au contrôleur de domaine, grâce à un hachage dérivé du nom d'utilisateur et du NT OWF.
Configuration des politiques de mots de passe : étape par étape
Pour mettre de l'ordre dans ce chaos, nous pouvons gérer les clés depuis la console de gestion des stratégies de groupe (GPMC). En accédant à Configuration ordinateur > Paramètres de sécurité > Stratégies de compte , nous pouvons définir les règles pour l'ensemble du domaine.
- Longueur et complexité : Huit caractères ne suffisent plus. Des organisations comme INCIBE suggèrent un minimum de Caractères 12La complexité devrait être activée pour imposer l'utilisation des lettres majuscules, des lettres minuscules, des chiffres et des symboles.
- Historique et validité : Pour empêcher l'utilisateur d'utiliser deux mots de passe similaires de manière interchangeable, il est recommandé de historique de 24 mots de passeEn ce qui concerne la date d'expiration, une validité maximale d'environ 45 jours peut être établie pour imposer un renouvellement.
- Blocage de compte : Pour stopper les attaques par pulvérisation de mots de passe, il est essentiel de configurer le seuil de blocage (par exemple, 8 tentatives infructueuses) et définir un délai d'attente, tel que 30 minutes, avant que le compte ne se déverrouille automatiquement ou ne nécessite l'intervention d'un administrateur.
Directives relatives à la granularité fine (FGPP)
Tous les utilisateurs ne présentent pas le même niveau de risque. Une réceptionniste n'a pas besoin de la même politique de sécurité qu'un administrateur système disposant de privilèges élevés . C'est là qu'interviennent les politiques de mots de passe forts (FGPP), disponibles depuis Windows Server 2008.
Ces éléments sont gérés via le Centre d'administration Active Directory (ADAC) , plus précisément dans le conteneur « Configuration des mots de passe ». Il est possible d'y créer un objet de configuration de mot de passe (PSO) et de l'attribuer à un groupe de sécurité spécifique, par exemple le groupe « gs_workers » . Ainsi, les administrateurs peuvent être tenus d'utiliser des mots de passe beaucoup plus longs et complexes que les autres employés.
Différence entre mots de passe et phrases de passe
Parfois, on s'obsède à utiliser des symboles étranges que personne ne retient, alors que la véritable force réside dans la longueur. C'est là qu'interviennent les phrases de passe . Contrairement à un mot de passe classique, une phrase de passe est une longue suite de mots qui comprend généralement des espaces.
Ils sont beaucoup plus difficiles à casser par ordinateur car l' espace de recherche est immense . De plus, ils sont plus faciles à mémoriser pour les humains, ce qui réduit le risque que l'utilisateur note son mot de passe dans un endroit non sécurisé. Pour empêcher la génération de hachages LM (le type le plus faible), une technique efficace consiste à créer des mots de passe robustes en exigeant une longueur supérieure à 14 caractères.
Maintenance, audit et dépannage
Une fois les règles mises en œuvre, il est important d'en contrôler la conformité. Vous pouvez utiliser des commandes comme `net accounts` dans l'invite de commandes pour afficher la stratégie actuelle, ou la commande `Get-ADDefaultDomainPasswordPolicy` via PowerShell pour obtenir les détails du domaine.
Si un utilisateur signale que la nouvelle stratégie ne lui est pas appliquée, nous pouvons exécuter `gpupdate /force` pour actualiser les stratégies ou utiliser `gpresult /r` pour analyser quelles GPO sont effectivement appliquées à la machine. Il est également crucial de surveiller la réplication entre les contrôleurs de domaine avec `repadmin /replsummary` , car un défaut de synchronisation peut entraîner le blocage d'un utilisateur sur un serveur mais pas sur un autre.
Pour éviter de surcharger les employés de restrictions excessives, l'utilisation d'outils tiers est recommandée. Les gestionnaires de mots de passe open source permettent d'utiliser des mots de passe uniques et robustes sans avoir à tous les mémoriser, tandis que les systèmes de réinitialisation de mot de passe (SSPR) évitent de submerger le support technique d'appels à chaque oubli de mot de passe.
La sécurité des identités dans Active Directory repose sur un équilibre entre la robustesse technique, l'utilisation de hachages modernes tels que NT et AES-256, l'application de politiques granulaires basées sur le risque utilisateur et la mise en œuvre de mesures supplémentaires telles que l'authentification multifacteurs (MFA) , qui constitue l'ultime barrière lorsque le mot de passe échoue.
