vendredi , 23 octobre 2020

Bonnes pratiques pour l’identité numérique et les mots de passe

En juin, le NIST a publié ses lignes directrices sur l’identité numérique. Le document émet une série d’exigences techniques pour les agences fédérales américaines qui mettent en œuvre des services d’identité numérique.

Des lignes directrices pour les identités numériques

Ces lignes directrices se concentrent sur l’authentification des personnes interagissant avec les systèmes gouvernementaux sur des réseaux ouverts. Le résultat du processus d’authentification peut être utilisé localement par le système effectuant l’authentification ou peut être revendiqué ailleurs dans un système d’identité fédéré. Ce document définit en outre les exigences techniques pour chacun des trois niveaux d’assurance de l’authentificateur


️ Pour m'offrir un café en échange du travail de veille réalisé gratuitement

Cliquer pour accéder à NIST.SP.800-63b.pdf

Stop aux contraintes de sécurité dépassées

Entre autres choses, il fait trois suggestions importantes en ce qui concerne les mots de passe:

  1. Arrêtez avec les règles ennuyeuses de complexité de mot de passe. Ils rendent les mots de passe plus difficiles à retenir. Ils augmentent les erreurs parce que les mots de passe artificiellement complexes sont plus difficiles à saisir. Et ils n’aident pas beaucoup la sécurité. Il est préférable de permettre aux gens d’utiliser des phrases de passe.
  2. Arrêtez avec l’expiration du mot de passe. C’était une vieille idée pour une ancienne façon que nous avions d’utiliser les ordinateurs. Aujourd’hui, ne faites pas changer les mots de passe à moins d’avoir une indication de compromission.
  3. Laisser les gens utiliser les gestionnaires de mots de passe. C’est ainsi que nous traitons mieux tous les mots de passe dont nous avons besoin.

Le problème des systèmes de sécurité, pas de l’utilisateur

En effet, ces règles de mot de passe ont échoué quant à leur adoption par l’utilisateur. Bruce Schneier propose de retourner le problème et de partir du principe que les utilisateurs ne sont pas le problème de la sécurité.

[aesop_quote type=”block” background=”#282828″ text=”#ffffff” align=”left” size=”1″ quote=”Users aren’t the problem with security. It’s that we’ve designed our computer systems’ security so badly that we demand the user do all of these counterintuitive things.” cite=”Bruce Schneier” parallax=”off” direction=”left” revealfx=”off”]

C’est que nous avons tellement mal conçu la sécurité de nos systèmes informatiques que nous demandons à l’utilisateur de faire toutes ces choses contre-intuitives. Mieux vaut donc maintenant adapter les systèmes de sécurité.

Inspiré de cet article:

Changes in Password Best Practices

NIST recently published its four-volume SP800-63b Digital Identity Guidelines . Among other things, it makes three important suggestions when it comes to passwords: Stop it with the annoying password complexity rules. They make passwords harder to remember. They increase errors because artificially complex passwords are harder to type in.

Et un article intéressant en lien avec les mots de passe du SANS Institute “Time for Password Expiration to Die”:

Time for Password Expiration to Die

OUTDATED THREAT MODEL : In the past twenty plus years, both technology and the threat model have radically at University of College London has documented, every behavior has a cost and having every employee change X number of passwords every X number of months is a big one.

About Marc Barbezat

Blogueur et spécialiste en cybersécurité

Check Also

Les voitures autonomes peuvent être trompées en affichant des objets virtuels

Les voitures à conduite autonome sont l'une des innovations technologiques les plus cool du 21e siècle mais elles présentent des failles

webcam

Des images de webcams personnelles piratées et diffusées sur des sites pour adultes #veille (18 oct 2020)

Les actualités de cybersécurité qu’il ne fallait pas manquer cette semaine

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

La newsletter