Microsoft : Azure Active Directory supporte désormais les mots de passe à 256 caractères,

Pour améliorer la sécurité

Le service d’annuaire est l’un des composants les plus importants d’un système d’information. Il permet d’offrir des moyens de stocker toutes les informations qui caractérisent l’ensemble des ressources pouvant exister dans une entreprise ainsi que de disposer des services capables de rendre ces informations globalement accessibles aux utilisateurs et cela en fonction de leurs droits et privilèges. Les ingénieurs Microsoft ne sont sans doute pas les derniers à le savoir. Ils l’ont compris et cela se traduit par davantage d’innovations sur leur plateforme Azure Active Directory (Azure AD) et principalement sur l’aspect sécuritaire. C’est dans cet esprit que Microsoft annonce la suppression de la limite de 16 caractères pour les mots de passe sur Azure Active Directory, permettant ainsi aux administrateurs de pouvoir utiliser jusqu'à 256 caractères avec un minimum de 8 caractères.

Pour rappel, Azure Active Directory est le service de Microsoft qui gère les annuaires et les identités basées sur le cloud mutualisé. Ce programme inclut une suite complète de fonctionnalités telles que l’authentification multifacteur, l’administration des mots de passe et l'inscription d’appareils. Il intègre également une fonctionnalité pour gérer des comptes privilégiés, le contrôle d’accès selon le rôle, la surveillance de l’utilisation de l’application, la création d’audit complet, la sécurité, les alertes...

Les services professionnels Microsoft Online tels qu'Office 365 ou Microsoft Azure requièrent Azure AD pour la connexion et la protection de l'identité. Si vous vous abonnez à un service professionnel Microsoft Online, vous obtenez automatiquement Azure Active Directory avec un accès à toutes les fonctionnalités gratuites.

Sécurité dans le Cloud

Grâce à des solutions de pointe telles que l’accès conditionnel, l’implémentation de la stratégie de défense en profondeur sur l’identité, les mots de passe, les données, les hôtes et les réseaux, Microsoft soutient détenir la clé de la sécurité sur Azure AD et publie de nouvelles stratégies et exigences associées aux comptes d'utilisateur dans Azure Active Directory.


Ci-dessous quelques-unes de ces stratégies et exigences.

Stratégies d'expiration de mot de passe dans Azure AD

Un administrateur général ou un administrateur d'utilisateurs d'un service du cloud de Microsoft peut utiliser le module Microsoft Azure AD pour Windows PowerShell afin de définir les mots de passe des utilisateurs pour qu'ils n'expirent pas. Vous pouvez également utiliser les applets de commandes Windows PowerShell pour supprimer la configuration jamais expirée ou pour voir les mots de passe utilisateur définis pour ne jamais expirer.

Politique de réinitialisation des mots de passe administrateur

Microsoft applique une stratégie de réinitialisation du mot de passe à deux entrées par défaut pour tout rôle d'administrateur Azure. Cette stratégie peut être différente de celle que vous avez définie pour vos utilisateurs et ne peut pas être modifiée. Vous devez toujours tester la fonctionnalité de réinitialisation du mot de passe en tant qu'utilisateur, sans aucun rôle d'administrateur Azure attribué.

Stratégies du UserPrincipalName qui s'appliquent à tous les comptes d'utilisateur

Chaque compte d'utilisateur qui doit se connecter à Azure AD doit avoir une valeur d'attribut UPN (User Principal Name) unique associée à son compte.

Stratégies de mots de passe qui s'appliquent uniquement aux comptes d'utilisateurs dans le nuage

La liste suivante décrit quelques paramètres de stratégies de mots de passe appliqués aux comptes d'utilisateur créés et gérés dans Azure AD.

Restrictions de mot de passe

Exigences :

• un minimum de 8 caractères et un maximum de 256 caractères ;
• requiert trois des quatre des éléments suivants :
  
  • caractères minuscules,
  • caractères majuscules,
  • nombres (0-9) ;
    
• symboles (voir les restrictions de mot de passe précédentes) ;
• etc.
  

Caractères non autorisés

Exigences :

• caractères Unicode ;
• ne peut contenir un caractère de point « . » précédant immédiatement le symbole « @ ».
  

Durée d'expiration du mot de passe

valeur par défaut : 90 jours, la valeur est configurable à l'aide de la commande Set-MsolPasswordPolicycmdlet du module Azure Active Directory pour Windows PowerShell.

Verrouillage de compte

Après 10 tentatives de connexion infructueuses avec un mot de passe incorrect, l'utilisateur est verrouillé pendant une minute. D'autres tentatives de connexion incorrectes bloquent l'utilisateur pour des durées croissantes. Le verrouillage intelligent suit les trois derniers hachages de mots de passe incorrects pour éviter d'incrémenter le compteur de verrouillage pour le même mot de passe. Si quelqu'un saisit le même mot de passe incorrect plusieurs fois, ce comportement ne provoquera pas le verrouillage du compte.

Quel est l'intérêt de passer à 256 caractères pour un mot de passe, me direz-vous ?

Les cybercriminels utilisent différents types d’attaques pour compromettre les systèmes parmi lesquelles les attaques de mots de passe. Ces dernières constituent un problème permanent pour les ingénieurs en sécurité réseau. Les acteurs de la menace utilisent de nombreuses méthodes, y compris les attaques hors ligne appelées cassage de mot de passe.

Les attaques par mot de passe hors ligne sont beaucoup plus dangereuses. Dans une attaque en ligne, le mot de passe a la protection du système dans lequel il est stocké à l'exemple des stratégies développées ci-dessus. Il n'existe pas de telle protection lors d'attaques hors ligne. Dans ce dernier cas, l'attaquant capture la forme chiffrée du mot de passe pour ensuite faire d'innombrables tentatives afin de déchiffrer le mot de passe sans être remarqué. Pour ce faire, l'acteur de la menace a besoin d'outils tels que des extracteurs pour deviner l'algorithme de hachage, la table arc-en-ciel pour rechercher les mots de passe en texte clair et des snipers de mots de passe pour extraire les informations d’authentification. Le concept des tables arc-en-ciel est que le cybercriminel calcule les mots de passe possibles et leurs hachages dans un système donné et place les résultats dans une table de recherche appelée « table table arc-en-ciel ». Cela permet à un attaquant d'obtenir le mot de passe en clair. Pour atténuer les attaques des tables arc-en-ciel, l'utilisation des mots de passe longs est nécessaire.

En se limitant à ce problème de sécurité sur les mots de passe, on peut rapidement comprendre l’importance de la longueur des mots de passe sur Azure Active Directory.

Défis sécuritaire sur Azure active Directory

L’un des principes clés du Cloud computing est la réduction de la propriété et de la maintenance du matériel et des logiciels, ce qui permet aux organisations de se concentrer sur leurs stratégies et leurs points forts. Cependant, en adoptant un service de Cloud computing, les entreprises doivent abandonner le contrôle direct de tout système qu’elles déplacent vers le Cloud, ce qui engendre naturellement des inquiétudes et suscite de nombreuses questions quant à la sécurité et aux responsabilités. Avec, pour certains, la conviction que sa sécurité est impossible à garantir. Généralement, les API et les interfaces utilisateur constituent la partie la plus exposée de tout système d’application Cloud. Par conséquent, des contrôles adéquats les protégeant d’Internet ne constitueraient pas la première ligne de défense ?

Source : Microsoft

Et vous ?

Microsoft ne devrait-elle pas peut être se pencher davantage sur les préoccupations de sécurité courantes des entreprises concernant le déplacement de leur infrastructure vers le Cloud ?
Que pensez-vous de la stratégie de sécurité de Microsoft Azure Active Directory ?

Peut on prétendre à une sécurité absolue dans le Cloud ?

Voir aussi

Azure AD Password Protection disponible, la fonctionnalité de gestion de mots de passe réduit le risque d'attaques de type Password Spraying
Microsoft annonce la disponibilité générale d'Azure Dev Spaces, un add-on pour Azure Kubernetes Service, qui ambitionne de booster la productivité
93 % des Français utilisent des mots de passe faibles, d'après une enquête d'Avast, qui met la lumière sur les pratiques des Français en la matière