De trop nombreuses entreprises considèrent les mots de passe comme une des protections les plus faibles. Mais vous devriez pourtant les considérer comme votre inévitable première ligne de défense, qu'ils soient utilisés au niveau le plus bas ou le plus haut du système informatique. Et plus cette ligne de défense est solide, plus votre business est protégé. Cet article est construit sous la forme d'une sorte de check-list traitant de la meilleure manière dont vous pouvez employer les mots de passe.
Tout d’abord, vous devez absolument être convaincu que les mots de passe, aussi pénibles qu’ils puissent paraître, ne sont absolument pas obsolètes. Et si vous êtes administrateur système, votre mission est de vous assurer que tous les utilisateurs finaux et les membres de l'entreprise soient convaincus de leur valeur.
Toutes les conséquences d'une faille dans la sécurité doivent être connues de tous les employés et collaborateurs. Dis-le fort et clair, écrivez-le partout, rappelez-le oralement à chaque personne que vous croisez lorsque vous en avez l'occasion, car tout plan d'ensemble repose toujours sur des actions situées à de plus petits niveaux. Le plus petit de ces niveaux est, évidemment, celui de chaque employé.
Quel est le concept de "risque" ?
Retour au bon vieux SWOT
Lorsque l'on parle du concept de "risque", vous devez savoir que la seule sécurité absolue réside dans l'isolement strict et total d'un système; et très peu de systèmes peuvent se permettre d'être totalement isolés. Tout comme vous devez vous assurer que chaque point d'entrée est correctement sécurisé à l'aide d'un mot de passe, vous devez également protéger votre réseau informatique en utilisant toutes les techniques, stratégies et outils que vous connaissez : configuration des pare-feu matériels et logiciels, désactivation des ports USB, désactivation de "l'exécution automatique", définition de stratégies antivirus et anti-malware strictes, etc.
Crédits photo : Pixabay sous CC0 Public Domain
D'une manière générale, la seule question qui devrait présider à toutes vos décisions en matière de sécurité est “est-ce que "CE" SERVICE SPECIFIQUE requiert "CE" VOLUME D'EFFORTS pour être protégé ?”. La réponse est la suivante : la sécurité revient à systématiquement mettre en balance les risques et les coûts (efforts, argent, temps, etc.). Ni plus, ni moins.
Votre vie privée et celle des chaque utilisateur final doivent toujours rester votre priorité (et la leur). La sécurité des données de toute l'entreprise est en jeu, et donc (in)directement les emplois de tous. Qu'il soit connecté à Internet ou qu'il possède simplement un port USB ou un slot pour carte SD, absolument chaque ordinateur, smartphone ou tablette est vulnérable aux intrusions. Vous ne souhaitez bien évidemment pas que les personnes illégitimes aient accès aux données, outils et secrets de votre entreprise.
Comme votre temps et vos ressources sont limités, vous devez déterminer comment les affecter et les utiliser le plus efficacement possible. L'objectif de tout plan de protection consiste à renforcer la sécurité de toutes les sections de vos infrastructures, rien d'autre. Il n'y a aucune bonne raison d'ignorer certaines d'entre elles, et même les outils à faible portée ou présentant des risques mineurs doivent voire leur sécurité pensée et réfléchie.
Certains systèmes peuvent supporter une protection faible, voire aucune. Mais cela doit être volontairement décidé, et après réflexion. Lorsqu'il y a peu ou pas de risque d'être compromis, il est parfaitement acceptable de suivre une politique de sécurité moins stricte. Cependant, si votre organisation ou votre entreprise a décidé de restreindre l'accès à un service, il ne s'agit pas d'une fantaisie ou d'un hasard. Voilà pourquoi vous devez examiner attentivement les risques et équilibrer les coûts de mise en œuvre et de gestion d'une stratégie de mot de passe, en complément d'autres mesures de sécurité.
La sécurité consiste à mettre en balance les risques et les coûts.
Cette équation implique de prendre en compte avec précision la facilité d'utilisation pour les utilisateurs finaux, le temps dont vous ou votre équipe aurez besoin pour gérer ces mots de passe, ainsi que les dégâts pouvant éventuellement être provoqués par une intrusion, qu'elle soit externe, ou provienne d'un employé ou collaborateur de l'entreprise. Cela garantira que vos systèmes sont suffisamment puissants pour rester à l'écart de toute vendetta provenant d'employés mécontents ou aigris.
Pour faire simple : si le risque d'exposition est minimal, la sécurité peut également l'être. Dans le cas contraire, vous devez tout simplement vous protéger, tout le temps. Si vous ne savez pas quelles mesures de sécurité vous devez mettre en œuvre, de nombreux auditeurs et consultants en sécurité qualifiés peuvent vous aider dans cette tâche d'évaluation, et vous fournir des informations précieuses. Un bon mot de passe fort vous aidera toujours à réduire votre surface d'attaque.
La menace réseau
Ce qui est ouvert est vulnérable
Crédits photo : Jcomp - Freepik.com
Ce type de menace est particulièrement vrai si vous gérez un réseau de plusieurs ordinateurs et stations de travail, chacun ayant accès à de nombreux outils : un petit défaut au niveau le plus bas peut permettre à un pirate d'accéder à de nombreuses informations, prendre le contrôle d'autres stations et pénétrer en cascade dans d'autres outils. Cela causera de très graves dommages à votre entreprise et peut nuire à son avenir, ainsi qu'à celui de tous les employés, parfois de manière aigüe.
N'oubliez pas que chaque membre de votre entreprise est lié aux autres par le biais de votre réseau. Protéger un ordinateur ou un compte revient à protéger tous les autres. Et cela n’est efficace que si tous les ordinateurs et tous les comptes procèdent de même !
Nous vous encourageons à être particulièrement pointilleux quant à la manière dont vous configurez tout logiciel d'accès à distance. Teamviewer, AnyDesk, WebEx, VNC Connect, LogMeIn, Microsoft Remote Desktop, Apple Remote Desktop (et bien d'autres) peuvent tous être configurés de manière à fournir et autoriser un accès permanent, la plupart du temps au moyen d'un mot de passe fixe. La meilleure défense est de n'installer aucun d'entre-eux ! Mais dans le cas où cela s'avère nécessaire, notre conseil est ici de choisir un mot de passe complexe et d'en changer fréquemment. Voir votre souris bouger toute seule (c'est-à-dire : contrôlée par un inconnu) est une situation dont vous souhaitez absolument vous tenir éloigné !
Un mot de passe n'est qu'une partie de votre stratégie de sécurité globale. Un bon mot de passe sera sans effet si vous n'effectuez pas les mises à jour de sécurité sur vos systèmes d'exploitation, laissant ainsi des failles de sécurité que les pirates informatiques se feront un plaisir de mettre à profit. Le premier conseil semble donc évident : Appliquez les mises à jour dès qu'elles sont rendues disponibles par les éditeurs de logiciels, afin d'éviter les failles "Zero-Day" .
Mots de passe des serveurs d'entreprise et serveurs web
Un Admin pour les dominer tous
Crédits photo : Erik Araujo
Certains mots de passe critiques doivent être changés régulièrement, comme le compte utilisateur 'root' sur les environnements linux, ou le compte 'Administrator' sur les systèmes Windows. Ceci est particulièrement vrai pour les serveurs d'entreprise, les serveurs de données et les serveurs Web. Prenez garde à ne pas ignorer vos serveurs de sauvegarde : leurs mots de passe doivent également être mis à jour régulièrement.
Tout d’abord, il est essentiel que vous compreniez que votre mot de passe n’est qu’une partie d’une stratégie de sécurité plus ample. Un bon mot de passe sera rien si vous n'effectuez pas de mises à jour de sécurité sur votre système d'exploitation, ce qui rendrait votre système vulnérable aux vers, logiciels malveillants, virus et autres formes d'attaques.
Ensuite, étant donné que votre entreprise utilise régulièrement plusieurs mots de passe à différents niveaux et sur de nombreux services, tels que FTP, SSH, RDP, comptes d'hébergement, comptes de messagerie, vous devez être méthodique et bien organisé.
Si vous êtes responsable de la publication de votre propre site Web (ou du site Web de votre société) via FTP, ou de la gestion des comptes de messagerie, il est très probable que vous devrez gérer un ensemble de mots de passe très sensibles. Tout d'abord, vous devez comprendre que vous êtes en charge d'une part essentielle de votre entreprise, dont dépendent son image et sa réputation, voire sa survie économique.
N'oubliez jamais que l'espionnage industriel existe depuis longtemps, et qu'il est aujourd'hui grandement facilité par le nombre toujours croissant d'outils technologiques disponibles pour tous, y compris (bien entendu) par les plus mauvaises mains. Cet espionnage peut provenir d’entreprises de votre pays d’origine, mais de plus en plus de pays étrangers et de concurrents dont vous ignorez totalement l’existence.
Les mots de passe n'étant qu'une partie d'un plan plus vaste de protection de votre infrastructure, vous devez élargir votre champ d'action : ACL, règles de pare-feu, mises à jour de l'OS, mise en place de droits granulaires pour certaines catégories d'utilisateurs, … Le Département de la Défense Américain (DoD Cyber Exchange) publie régulièrement des recommandations (STIGS) sur la manière de renforcer la protection de tel ou tel logiciel. Vous pouvez télécharger ces listes de recommandations à partir du site web UCF . Leur liste est très complète !
Mots de passe des Comptes d'hébergement web
Le point d'entrée Royal
Crédits photo : d3images - Freepik.com
Votre compte d'hébergement est généralement fourni par votre société d'hébergement avec un mot de passe prédéfini. Si vous décidez de le changer (et nous vous encourageons à le faire), vous devez vous assurer d'en choisir un qui soit sécurisé.
Les pirates sont en effet particulièrement friands des mots de passe dotés de privilèges élevés. En effet, à partir du moment où ils auront accès à votre mot de passe, ils pourront faire presque tout ce qu'ils désirent : commander de nouveaux services Web, commander des options coûteuses et inutiles (c'est encore pire si vous travaillez dans une grande entreprise avec un compte prépayé), suspendre ou résilier votre hébergement Web, ou même le défigurer votre site internet.
Ils peuvent désorganiser vos ressources et fichiers pour le plaisir, ou bien utiliser leur accès acquis illégitimement pour revenir plus tard et perpétrer d’autres actions indésirables, telles que voler les données de votre entreprise, effacer complètement toutes vos données clients, ou changer tous les autres mots de passe. Dans le pire des cas, les pirates informatiques placent des malwares et des scripts malveillants sur votre site Web ou créent de nouveaux répertoires contenant des listes des produits contrefaits bon marché (une de leurs activités préférées). Dans ce dernier cas, les conséquences seront absolument dévastatrices pour votre réputation et votre référencement.
Vous entendez régulièrement parler de scandales liés à la sécurité , comme des vols de données personnelles et de mots de passe, telles que les mésaventures dont ont été victimes Yahoo en 2013 , Adult Friend Finder, ou même Uber à la fin de l'année 2016. Le point commun de ces attaques est qu'elles ont été rendues possibles grâce à l'usage d'identifiants de connexion de haut niveau volés ou devinés, au moins à certains moments clés de l'attaque. Veillez donc de très près à la sécurité de vos identifiants d’hébergement Web.
Mots de passe des outils de publication FTP
Là où les pirates tentent leur chance en premier
Crédits photo : T. Al Nakib
En plus de votre compte d'hébergement, vous devez vous assurer que chaque mot de passe de publication FTP est suffisamment long et sécurisé. Vous devez également envisager d'utiliser des protocoles FTP sécurisés pour publier votre site Web, car le protocole FTP standard est ancien et vulnérable et présente des lacunes pouvant être facilement exploitées par un pirate informatique moyen (sFTP , ou FTP via SSL sont recommandés car plus sûrs). Un mot de passe complexe d'une longueur de 24 à 36 caractères doit être de mise (et notre site web "HighTools" en génère pour vous aussi souvent que nécessaire). Si vous avez le moindre doute sur le fait que votre sécurité a été compromise, vous devez immédiatement générer un nouveau mot de passe.
Si, par malheur (pour vous), et par chance (pour lui), un pirate entre en possession de votre mot de passe FTP, il a gagné sa journée ! Il peut purement et simplement supprimer votre site internet et tout son contenu, voler vos bases de données, corrompre et défigurer votre page d'accueil, ajouter de nouvelles pages, remplacer du contenu, injecter des malwares, virus, et toute une palette de contenus illégaux et répréhensibles. Toutes ces activités toxiques sont effectuées par des "robots bandits" (des ordinateurs autonomes). Seule une toute petite fraction des opérations de piratage est effectuée par des humains.
Vous ne devez jamais utiliser un mot de passe identique à votre nom de domaine ou à votre société, tout comme vous devez absolument éviter d'utiliser votre propre nom ou le nom de vos collègues. Si vous effectuez des tests ou devez gérer des accès "de développement" pour votre site Web, vous devez avoir le même niveau d'exigence : Il est absolument hors de question d'utiliser des mots de passe tels que “password” ou “test”. Maintenir les versions de développement et les dossiers critiques confinés dans un bac à sable au moyen de répertoires protégés par mot de passe est une des meilleures idées à appliquer dès maintenant pour rester loin des regards indiscrets.
Mots de passe des Comptes et serveurs E-mail
Voici pourquoi vous souhaitez absolument éviter d'être blacklisté
Mettre en place des mots de passe forts pour CHAQUE adresse E-mail (y compris postmaster@votredomaine.fr) n'est pas suffisant, bien qu'indispensable. Vous devez également envisager de sécuriser votre serveur mail en installant des règles de bannissement automatique d'IP, en configurant des services et filtres anti-spam, et, encore plus important, vous assurer que votre serveur mail n'est pas un relais ouvert (open-relay) . Ce type de vulnérabilité est bien plus courant que vous ne le pensez. Vérifiez donc la configuration de votre serveur de messagerie.
Crédits photo : y0s1a
Un serveur de messagerie mal configuré peut amener votre entreprise à être totalement coupée du monde voire à l'arrêt. Même si seulement 1 seul mot de passe de compte email a été trouvé par un pirate informatique, il sera utilisé pour envoyer des tonnes de spam, et la punition sera immédiate : votre site web et les emails de tout le staff seront bloqués, avec une 'cerise' (pourrie) sur le gâteau : l'adresse IP du serveur Email de votre entreprise sera blacklistée (placée sur liste noire), l'empêchant de communiquer avec quiconque, et bloquant votre site, vos emails et d'autres services… en un mot : la paralysie totale de votre activité.
Faire dé-blacklister votre adresse IP est réellement une tâche longue, pénible, et qui laisse des séquelles. Cela peut prendre des semaines, et laisser des marques pendant plusieurs mois voire à vie. Du fait que de nombreuses RBL sont très sensibles, dans certains cas, votre IP ne sera jamais déblacklistée !
Précisons également un point important : dans plusieurs pays et juridictions, envoyer des spams est illégal, que votre démarche soit volontaire, ou que l'envoi résulte d'un piratage de votre serveur indépendant de votre volonté. Cela peut vous amener à devoir vous défendre contre des accusations qui pourraient vous être adressées (ou à votre entreprise). Dans certains des cas les plus critiques, des amendes et/ou peines de prison sont prévues. Il est donc essentiel que vous accordiez une attention particulière aux mots de passe attribués à chaque adresse électronique, et à la sécurité de votre serveur mail.
Astuces pour les administrateurs système
Éduquez vos utilisateurs
Crédits photo : Pixabay sous CC0 Public Domain
En premier lieu, assurez-vous que chaque section critique est protégée par mot de passe. Cela commence avec vos propres ordinateurs et outils d'administration. Malheureusement, les administrateurs et collaborateurs du service informatique changent rarement leurs mots de passe ! C'est pourtant une très sérieuse erreur car les outils à leur disposition peuvent potentiellement agir sur tous les autres, et ils représentent un point d'entrée de premier choix pour les hackers. Les outils d'administration sont en effet prioritairement ciblés du fait qu'ils possèdent un haut degré de contrôle sur le réseau et les autres outils. Aux yeux des hackers, une fois entre leurs mains, ces outils possèdent un haut pouvoir de nuisance. Si un intrus suffisamment malin ou expérimenté obtient l'accès à l'un de vos outils d'administration, cela peut être (sera) dévastateur !
En vérité, il n'est pas rare que de nombreux services et logiciels soient livrés avec des accès et mots de passe faibles ou "standard" par défaut. Certains outils sous Linux ou Windows (mention spéciale pour Windows Server 2003) sont livrés avec des mots de passe standard bien connus des hackers, et qu'ils tenteront d'utiliser en tout premier lieu ! De manière similaire, lorsque vous installez Microsoft SQL Server, certains comptes utilisateurs sont pré-configurés avec des mots de passe standard. Vous devez absolument les remplacer par des plus sécurisés avant d'entreprendre d'autres actions.
Résistez à la tentation de choisir des mots de passe basiques pour gagner du temps. Ou préparez-vous à des nuits blanches !
Lorsqu'ils ont la responsabilité de nombreux utilisateurs finaux (employés, managers, fournisseurs, partenaires, collaborateurs), trop d'administrateurs système ont tendance à être réticents à implémenter des stratégies de mots de passe complexes. Historiquement, la complexité des mots de passe déterminait de manière mécanique la proportions d'utilisateurs qui appelaient le support en indiquant avoir oublié leur mot de passe.
Trop souvent, les administrateurs craignant qu'un trop grand nombre d'appels et plaintes d'utilisateurs trouvant leur mot de passe trop compliqué ne vienne les ralentir et les déranger avaient choisi l'option de la simplicité, en acceptant des mots de passe simples. Vous devez absolument supprimer cette pensée de votre esprit, et résister à la tentation d'autoriser/accepter des mots de passe trop simples et basiques. Bien au contraire, préférez des mots de passe longs et complexes mais faciles à prononcer. Notre générateur offre une fonction permettant de générer des mots de passe facile à prononcer : mettez-le dans les mains de vos utilisateurs ! Assurez-vous qu'ils disposent également d'une fonction automatisée de type "Mot de passe oublié", et vous pourrez enfin profiter de votre temps à accomplir des tâches plus intéressantes durant vos journées de travail ! La résultante sera un tout petit nombre de personnes vous contactant pour le motif qu'ils ont perdu leur mot de passe, et ces derniers ne le feront que pour les outils ne proposant pas de fonction automatisée de type "Mot de passe oublié". Autrement dit, presque plus d'appels à ce sujet !
Si vous pensez que votre société est trop petite pour avoir besoin de mettre en place des stratégies de mot de passe strictes, ou si vous estimez que ce sujet n'est pas un "vrai" problème pour votre entreprise, nous vous invitons à vous reporter au paragraphe "Quel est le concept de "risque" ?"
En ce qui concerne les attaques “Brute-Force”, elles ont de très nombreuses conséquences néfastes sur votre infrastructure, même si elles échouent à deviner le moindre mot de passe : elles ralentissent vos infrastructures, et peuvent même les paralyser ! Lisez notre article sur ce sujet, et apprenez-en plus sur les outils et techniques qui vous protégeront de ce type d'attaques.
Méfiez-vous de l'utilisation masquée par les employés
Vous êtes responsable de ce que vous ne contrôlez pas
Crédits photo : Joshua Davis
Chaque administrateur système devrait parfois penser comme un manager ou un employé classique. Après tout, les outils et appareils informatiques n'ont qu'un seul et unique but : aider les gens à gagner en productivité. L'époque est révolue où les employés refusaient d'utiliser les outils qui leurs sont proposés. Tout à l'inverse, ils sont aujourd'hui habitués à utiliser (et parfois abuser de) la multitude de services de partage de fichiers comme WeTransfer or Dropbox, les services cloud (comme Google docs), les applications de messagerie instantanée, et tout un tas d'outils et services qui sont bien en dehors de votre périmètre. C'est une chance pour votre entreprise, mais cela peut devenir un casse-tête pour l'administrateur système souhaitant gérer paisiblement son infrastructure.
Ce phénomène n’est pas nouveau. Certains employés utilisent depuis toujours l’ordinateur de leur entreprise à la maison, mais on constate aujourd’hui la croissance de nombreux autres usages dans des proportions telles qu'ils entrent "DE FACTO" dans votre périmètre informatique. De la même manière, les collaborateurs utilisent les appareils de votre entreprise à des fins personnelles (comptes de messagerie personnels, Facebook, Twitter, navigation privée, ...). Les utilisateurs utilisent non seulement exclusivement l'ordinateur de la société pour accéder à des données sensibles, mais également à de nombreux autres appareils et terminaux, tels que les smartphones personnels et les tablettes privées, conçus à l'origine pour leur usage personnel ou leurs loisirs. En tant qu'administrateur système, vous devez être conscient de ce fait.
Dans les années 90, il était encore possible d'ériger des murs autour de votre réseau et vos outils afin de protéger les données de votre entreprise. Ce n'est désormais plus possible. Dans ce contexte, l'une des meilleures protections que vous puissiez fournir est une politique de mot de passe forte, comprenant un changement régulier de tous les mots de passe utilisés dans votre infrastructure informatique. Notre générateur peut aider vos employés à générer eux-mêmes de nouveaux mots de passe.
Seulement 10% des services et outils utilisés proviendra du champ contrôlé par votre entreprise. 90% proviendront de l'extérieur.
Étant donné que de nombreuses applications utilisées sur les tablettes et les smartphones ont un niveau de sécurité bas, ou une stratégie de chiffrement intégrée très médiocre, voire inexistante, les risques sont maximisés. Cette perte de contrôle sur la façon dont les employés travaillent avec les données de votre entreprise est un réel sujet de préoccupation. Selon une étude réalisée par Gartner, avant 2030, 90% des services informatiques et des outils technologiques utilisés par les internautes proviendront de l'extérieur du cadre informatique de votre entreprise. Cela signifie que seulement 10% des accès aux données se feront à partir de votre réseau ou de vos appareils.
Il existe déjà de nombreux outils et logiciels dédiés pour vous aider à contrôler votre parc d'appareils et à gérer les multiples points d'accès finaux que vos employés utilisent pour se connecter aux données de votre entreprise. Mais ces types d’outils peuvent être très coûteux et difficiles à configurer et/ou gérer. Toutes les organisations ne peuvent pas se permettre de tels systèmes et ne disposent pas des ressources humaines et techniques nécessaires pour les configurer correctement. De plus, ces systèmes de contrôle d’accès, d’authentification ou de chiffrement ne sont disponibles que pour les appareils que votre société contrôle directement, c’est-à-dire… 15% à ce jour, et seulement 10% à la fin de cette décennie. En résumé… bien peu!
Le cloud à cet égard a un impact particulièrement évident. Des études montrent une forte corrélation entre l'utilisation du cloud et les risques de violation de données. Lorsque l'utilisation du cloud augmente de 10%, la probabilité de violation de données augmente de 30%.
Conclusion
Alors, bien sûr, définir et maintenir des processus et cadres solides pour gérer votre système informatique vous aidera à réduire les risques, mais le meilleur moyen de protéger vos données est de vous concentrer sur un "bon vieux mot de passe fort" sur chaque outil, pour chaque personne, à tous les niveaux!
Les 10 erreurs à éviter dans votre mot de passe
Choisir un mot de passe peut s'avérer fastidieux, et certains pièges doivent absolument être évités pour être bien protégé. Ne faites jamais ce qui est listé dans cet article, et votre mot de passe sera fiable et de qualité !
10 Astuces pour créer un mot de passe sécurisé
10 astuces très simples mais efficaces qui vous aideront à renforcer vos mots de passe et à mettre en échec les hackers et robots !
