Utilise mots de passe uniques, gestionnaire, MFA et récupération sûre

01Commence par l’unicité

Un service compromis
+ mot de passe réutilisé
= accès possible à plusieurs services

Un mot de passe unique limite la propagation du credential stuffing.

02Utilise la longueur et une blocklist

Les recommandations actuelles du NIST distinguent le mot de passe utilisé seul de celui qui accompagne un second facteur :

Authentification par mot de passe seul
→ minimum 15 caractères

Mot de passe utilisé dans une MFA
→ minimum 8 caractères

Dans tous les cas
→ accepter les mots de passe longs
→ comparer aux valeurs courantes ou compromises
→ ne pas imposer arbitrairement une composition complexe
→ ne pas forcer une rotation périodique sans preuve de compromission

Une organisation peut choisir une exigence plus forte selon son risque, mais elle doit rester utilisable et justifiée.

03Autorise le gestionnaire et le collage

Un gestionnaire permet :

- un secret aléatoire et unique par service
- l'autoremplissage sur le domaine attendu
- la réduction de la mémorisation humaine
- le partage contrôlé de certains accès organisationnels

Bloquer le collage ou l’autoremplissage peut pousser vers des secrets plus faibles.

04Distingue MFA et résistance au phishing

Un code saisi dans une fausse page peut être relayé. Un authentificateur cryptographique lié au domaine attendu réduit ce risque.

05Adapte l’authentificateur au compte

Administrateur
→ authentification résistante au phishing
→ authentificateur de secours gouverné
→ récupération renforcée

Utilisateur standard
→ MFA au minimum
→ amélioration progressive vers une méthode résistante

Prestataire externe
→ sponsor, durée limitée, revue et révocation

Compte de service
→ pas de connexion interactive
→ clé sous coffre, périmètre minimal, rotation et traçabilité

Un compte de service ne doit pas être traité comme un utilisateur avec un mot de passe partagé.

06Protège la récupération

La récupération peut contourner l’authentification principale.

Bon canal de récupération
- identifié à l'avance
- vérifié
- séparé autant que possible du compte principal
- protégé par une procédure et une trace

Canal faible
- adresse non vérifiée
- simple réponse à des questions devinables
- appel entrant non authentifié
- code transmis à un tiers

La récupération doit être testée sans exposer les codes réels.

07Observe la revue synthétique

lab=/tmp/soria-cyber-threats-identity-$USER
bash module2-cyber-threats-identity.sh setup "$lab"
bash module2-cyber-threats-identity.sh run "$lab"
column -s, -t "$lab/output/identity-review.csv"

Exemples :

ACC-001 → PASS_PHISHING_RESISTANT
ACC-002 → BLOCK_RECOVERY_UNVERIFIED
ACC-003 → BLOCK_PASSWORD_REUSE_AND_WEAK_RECOVERY
ACC-004 → IMPROVE_NON_RESISTANT_MFA
ACC-005 → ENABLE_MFA
ACC-007 → REVIEW_NON_INTERACTIVE_KEY

Le lab n’affiche, ne génère et ne valide aucun mot de passe ou code réel.

08Prépare les preuves

Politique déclarée
→ longueur, unicité, blocklist, MFA, récupération

Preuve de couverture
→ comptes inclus, méthode, exceptions, date de revue

Preuve de résistance
→ authentificateur cryptographique et domaine lié

Preuve de récupération
→ procédure testée, rôles, journal et révocation

Le nombre de comptes « avec MFA » ne suffit pas à décrire leur niveau de protection.