Comment vérifier que les utilisateurs n'écrivent pas leurs mots de passe?
J'ai une politique de mot de passe qui stipule que les utilisateurs ne doivent pas écrire et stocker leurs mots de passe en clair. Comment puis-je m'assurer qu'ils ne l'ont pas fait en écrivant leur mot de passe dans des e-mails, des scripts, des documents ou des fichiers?
Comme d'autres l'ont dit, vous ne pouvez pas les arrêter. Mais vous pouvez supprimer l'incitation.
Votre politique de mot de passe nécessite-t-elle l'un des éléments suivants?
- Changement à intervalles réguliers
- Saisie manuelle (gestionnaires de mots de passe bloqués)
- Format complexe (cas différents, caractères spéciaux, etc.)
Si c'est le cas, vous incitez activement les gens à écrire le mot de passe. Supprimez la politique de mot de passe obsolète et vos utilisateurs seront beaucoup plus susceptibles de jouer le jeu.
Recommandations basées sur les nouvelles directives du NIST. Il y a un joli résumé ici .
Il n'y a aucun moyen d'être sûr qu'un utilisateur n'a pas écrit son mot de passe. Même si vous avez un accès complet à leur ordinateur, que faire s'ils l'ont noté dans leur téléphone? Ou sur papier?
Et même si vous avez eu accès à tous leurs appareils, vous ne pouvez vérifier qu'ils n'ont pas écrit le mot de passe si vous, en tant qu'administrateur système, vous connaissez le mot de passe. Ce que vous ne devriez pas! Les mots de passe doivent toujours être hachés, et jamais stockés en texte brut ou sous une forme qui vous permet de récupérer le mot de passe d'origine.
Qu'en est-il des gestionnaires de mots de passe? Ils sont connus pour augmenter considérablement la sécurité, car l'utilisateur n'a plus qu'à se souvenir d'une phrase secrète et est moins susceptible d'utiliser un mot de passe facile à deviner pour votre système.
Il s'agit d'un problème social, qui ne peut être résolu qu'en informant vos utilisateurs/employés sur les dangers de laisser des mots de passe écrits en texte clair autour.
Installez une caméra derrière leur bureau, mieux encore plusieurs caméras pour couvrir tous les angles, et demandez à quelqu'un de les regarder.
Vous pourriez être gêné par le fait que cela soit contraire à l'éthique, mais ne vous inquiétez pas, ce n'est en aucun cas pire que presque tout autre moyen qui permet d'atteindre ce que vous voulez faire.
À ce sujet presque:
Utilisez des "mots de passe" qui ne peuvent pas être raisonnablement représentés en texte clair par un utilisateur. Analyses d'empreintes digitales, cartes-clés/dongles, authentification à 2 facteurs, analyses de la rétine, ... chacune d'entre elles réalise ce que vous voulez.
Non.
En interdisant aux utilisateurs d'écrire leurs mots de passe, vous leur interdisez d'utiliser le deuxième meilleur gestionnaire de mots de passe existant. Les gens sont généralement assez bons pour protéger le contenu de leur portefeuille; une liste de mots de passe complexes écrits sur un morceau de papier stocké entre leur permis de conduire et leur carte de crédit est à peu près aussi sûre que vous pouvez raisonnablement vous y attendre.
Au lieu de créer des règles "ne faites pas cela", fournissez à vos utilisateurs des directives sur la façon dont ils devraient sécuriser leurs mots de passe. S'ils ont une liste de "Password Manager X, Password Manager Y, une feuille de papier dans votre portefeuille" pour travailler, ils sont beaucoup plus susceptibles de stocker leurs mots de passe en toute sécurité que si vous essayez d'énumérer toutes leurs façons de - ne devrait pas stocker leurs mots de passe et les appliquer par des moyens punitifs.
Quel est votre modèle de menace?
Je sais que je pose cette contre-question à presque tout ici, mais la plupart des questions sur la sécurité n'indiquent jamais contre quoi ils essaient de se protéger.
Des personnes non autorisées se trouvent-elles régulièrement dans votre environnement et pourraient-elles repérer des mots de passe écrits? Si tel est le cas, la sensibilisation de vos utilisateurs peut être améliorée par rapport à cette menace spécifique et facilement compréhensible, et elle aura un effet (certain, limité).
Si votre modèle de menace est un initié, la sensibilisation a tendance à être beaucoup, beaucoup moins efficace. Interdire officiellement l'écriture de mots de passe, avec une menace de sanctions, peut gagner quelques pour cent de conformité, mais est rarement efficace dans une mesure qui compte.
Donner aux gens des moyens approuvés de stocker les mots de passe en toute sécurité, comme un gestionnaire de mots de passe préinstallé, vous donnera également une certaine conformité et est probablement le moyen le plus convivial de résoudre le problème.
La meilleure façon est de supprimer les mots de passe. Si vous avez un SSO, c'est en fait relativement facile à faire. Tout ce dont vous avez besoin est une authentification sans mot de passe auprès du SSO et allez-y. Du jeton matériel aux applications pour smartphone, en passant par l'utilisation du smartphone lui-même comme jeton, il existe déjà de nombreuses solutions sur le marché. Choisissez-en un. Parce que le seul mot de passe que vos utilisateurs sont garantis de ne jamais écrire est celui qu'ils n'ont même pas.
Tout d'abord, je suis d'accord avec les réponses qui disent que c'est une mauvaise idée pour diverses raisons.
Deuxièmement, il semble que vous essayez d'utiliser la technologie pour résoudre un problème humain. Il est très, très rare que cela se termine bien.
Au lieu de vous concentrer sur les mesures techniques pour empêcher l'écriture de mots de passe, tels que les caméras, les champs de mots de passe non collables, etc., vous devez vous concentrer sur le problème (perçu ou réel) que les utilisateurs voient et qui les pousse à vouloir écrire les mots de passe (ou en utiliser des non sécurisés, ou quel que soit le problème) en premier lieu.
Une façon de procéder pourrait être d'envoyer un avis à tous les employés du type "si vous écrivez, partagez ou réutilisez vos mots de passe liés au travail de quelque manière que ce soit, nous aimerions savoir comment et pourquoi" et offre une réponse complètement anonyme. (Ce dernier est important, car les gens sont généralement plus honnêtes au sujet des choix imparfaits liés à la sécurité lorsqu'ils n'ont pas à s'inquiéter d'avoir des ennuis pour être honnêtes.) Par exemple, vous pouvez mettre en place une boîte physique où les gens peuvent laisser tomber des morceaux de papier avec leur réponse, et qui est clairement non trivial pour entrer d'une manière qui n'est pas visible. (Il n'a pas besoin d'être falsifié résistant, il suffit de falsifier évident.) Ensuite, regardez les réponses que vous obtenez.
Si une grande partie des réponses disent quelque chose comme "il est si difficile de se souvenir d'un nouveau mot de passe complexe chaque mois", corrigez ça. Les récentes directives du NIST ne sont pas à moitié mauvaises, en fait; exiger un mot de passe long, encourager l'utilisation de mots de passe, mais ne pas définir d'autres exigences de complexité ou de renouvellement, va très loin.
Si une grande partie des réponses disent quelque chose comme "J'utilise des mots de passe courts parce qu'il est si gênant de déverrouiller l'ordinateur après qu'il se verrouille automatiquement après deux minutes pendant que je lis une page Web", corrigez cela.
Si une grande partie des réponses disent quelque chose comme "Je ne peux pas penser à de bons mots de passe", proposez des conseils sur la façon de sélectionner de bons mots de passe. Diceware (parfois appelé "mots de passe xkcd" après xkcd 936 ) est un bon début. Cela nécessite que le système prenne en charge les mots de passe longs, ce que tout système moderne construit de manière saine.
Etc.
Les personnes qui écrivent des mots de passe de manière non sécurisée sont des humains, et ils le font presque certainement pour des raisons humaines, pas technologiques. Les problèmes humains doivent être résolus par des moyens humains et non technologiques.
Comme tout le monde l'a dit, vous ne le faites pas.
Vous devez déterminer si les mots de passe (authentification à facteur unique) sont adaptés à vos besoins. Même si tous vos utilisateurs respectent les directives de mot de passe, il existe d'autres risques tels que les surfeurs d'épaule et les enregistreurs de frappe. Une bien meilleure solution est l'authentification à deux facteurs. Il existe différents dongles que vous pouvez acheter, ou l'authentifiant Google gratuit et ouvert qui peut être installé sur n'importe quel smartphone. L'utilisateur peut avoir un mot de passe assez simple et facile à retenir et n'a jamais besoin de le changer, car il existe également un numéro à six chiffres qui change toutes les trente secondes, sans lequel son mot de passe est inutile.
Devrait peut-être ajouter, un surfeur d'épaule n'a même pas besoin d'être dans le bâtiment. À l'époque où j'étais étudiant, quelqu'un a acheté un télescope et a montré à tout le monde ce qui pouvait être vu à travers les fenêtres d'un hôtel sur une tour à environ un kilomètre. Personne n'a pris la peine de tirer les rideaux du 14e étage! Aujourd'hui, ils le feraient probablement dans un hôtel la nuit, mais dans un bureau le jour?
Je me rends compte que je suis en retard pour faire la fête, mais ...
Comment puis-je m'assurer qu'ils ne l'ont pas fait en écrivant leur mot de passe dans des e-mails, des scripts, des documents ou des fichiers
Tu ne peux pas. Pas pratiquement.
Les mots de passe sont un mécanisme d'autorisation à une seule couche. Si vous vous souciez que les mots de passe soient "écrits" ou enregistrés, vous devez:
Quantifier le facteur de risque et atténuer ces types de risques. Quel est le risque si quelqu'un d'autre lit le mot de passe? Si c'est un collègue, un membre du public? Ajoutez des couches de sécurité pour atténuer ces risques (comme demander des informations supplémentaires lors de la connexion)
Si vous effectuez des tâches telles que le suivi de vos journaux de frappe de base d'utilisateurs, le suivi de vos mouvements physiques de base d'utilisateurs, le suivi de tout ce qui concerne votre base d'utilisateurs en temps réel afin de vous assurer qu'ils ne mettent pas en texte clair leurs mots de passe, alors vous vraiment, vraiment besoin d'améliorer votre jeu, et au lieu de dépenser des milliers d'essayer de faire le plein de votre vieille ford cortina, investissez dans une Nissan Skyline et donnez votre authentification par jeton matériel et informations d'identification 2FA .
Encouragez un meilleur comportement des utilisateurs. Les mots de passe mémorisés sont facile à retenir et par cette nature vont être faible - Vous avez donc le choix entre un mot de passe complexe que plus de gens écriront, pour référence, ou un mot de passe simple qui est exponentiellement plus facile pour une machine à forcer ou à compromettre autrement. Faites donc pression et encouragez votre base d'utilisateurs à utiliser un gestionnaire de mots de passe . Pour qu'ils puissent utiliser des mots de passe complexes sans avoir à s'en souvenir [~ # ~] ou [~ # ~] les noter.
Je répète; si vous vous souciez autant que vos utilisateurs n'écrivent pas leurs mots de passe, vous must leur fournir des alternatives valides et fiables, comme détaillé sur les différentes réponses ici.
La manière typique de faire respecter cela est avec une politique de bureau propre. Mais j'aime votre question; Je pense que la solution peut être amenée à un extrême ridicule :)
Il est courant d'appliquer des groupes de caractères, comme les minuscules, les majuscules, etc.
Si vous pouvez définir une longueur minimale raisonnable, définissez un seuil de verrouillage très bas, puis imposez l'inclusion d'un groupe de caractères "cercles" [o, O, 0] et imposez l'utilisation d'un groupe de caractères "lignes" [I, l , 1, | ] alors vous pourriez théoriquement faire qu'un mot de passe écrit ait une très faible valeur d'utilité.
Si vos utilisateurs sont bilingues, vous avez encore plus d'options; par exemple. [c C с С] etc.
OK, ce qui précède est une plaisanterie limite, et devrait illustrer combien il est futile de "vérifier que les utilisateurs ne [font pas quelque chose]". MAIS: n'y a-t-il pas une carotte et un bâton?
Si vous lisez NIST 800-6 vous trouverez de nouveaux conseils pour permettre aux utilisateurs de choisir librement leurs propres mots de passe, et de ne pas les forcer à tourner à moins qu'il y ait des raisons de croire que le mot de passe est compromis. En être témoin:
Les vérificateurs NE DEVRAIENT PAS imposer d'autres règles de composition (par exemple, exiger des mélanges de différents types de caractères ou interdire les caractères répétés consécutivement) pour les secrets mémorisés. Les vérificateurs NE DEVRAIENT PAS exiger que les secrets mémorisés soient modifiés arbitrairement (par exemple, périodiquement). Cependant, les vérificateurs DOIVENT forcer un changement s'il y a des preuves de compromission de l'authentificateur.
Si les mots de passe ne sont pas difficiles à retenir pour les utilisateurs, cela n'empêcherait-il pas leur écriture?
Transformez vos mots de passe en mots non textuels. Comme ils peuvent choisir parmi un ensemble aléatoire d'images. Tout ce qui n'est pas facile à écrire. Voici ce que Wikipedia a sur elle aujourd'hui:
"Les mots de passe non textuels, tels que les mots de passe graphiques ou les mots de passe basés sur le mouvement de la souris. [70] Les mots de passe graphiques sont un autre moyen d'authentification pour la connexion destiné à être utilisé à la place du mot de passe conventionnel; ils utilisent des images, des graphiques ou couleurs au lieu de lettres, de chiffres ou de caractères spéciaux. Un système oblige les utilisateurs à sélectionner une série de visages comme mot de passe, en utilisant la capacité du cerveau humain à se rappeler facilement les visages. [71] Dans certaines implémentations, l'utilisateur doit choisir parmi une série de [72] Une autre solution de mot de passe graphique crée un mot de passe à usage unique à l'aide d'une grille d'images générée aléatoirement. Chaque fois que l'utilisateur doit s'authentifier, il recherche les images qui correspondent à son -catégories choisies et entrez le caractère alphanumérique généré aléatoirement qui apparaît dans l'image pour former le mot de passe à usage unique. [73] [74] Jusqu'à présent, les mots de passe graphiques sont prometteurs, mais ne sont pas largement utilisés. Les études sur ce sujet ct ont été faits pour déterminer son utilité dans le monde réel. Alors que certains pensent que les mots de passe graphiques seraient plus difficiles à déchiffrer, d'autres suggèrent que les gens seront tout aussi susceptibles de choisir des images ou des séquences communes que de choisir des mots de passe communs. "
Contributeurs Wikipedia. "Mot de passe." Wikipedia, l'encyclopédie libre. Wikipedia, The Free Encyclopedia, 25 juin 2019. Web. 5 juil.2019.
Par exemple, si vous avez utilisé la méthode des visages, vous pouvez utiliser des images d'archives aléatoires de personnes. Ils ne peuvent donc pas simplement écrire Steve from sales. Si les images sont très similaires et montrent simplement un portrait simple. Ils ne peuvent pas non plus écrire quelque chose comme the woman with the red scarf ou the guy with big ben in the background.