Discussion :

[Christophe P.]

Bonjour,

sur les AD configurés par défaut l'ancien mot de passe semble encore actif pendant 1 heure (le nouveau fonctionne aussi).
Savez-vous où cette durée se paramètre ?

[A&Nexus]

Hello,
Tu as essayé l’ancien mot de passe sur un pc ou la personne ne s’est jamais connectée ? (Ça ne devrait pas fonctionné).
Essaye de changer deux fois le mot de passe (l’ancien ne devrait plus être en cache - de mémoire).

L’ancien mot de passe est en cache dans le ticket Kerberos.

II n’est pas trop recommandé de toucher à ça.

[Christophe P.]

Merci pour ta réponse.
Je vais demander à faire ce test.

As-tu un lien Microsoft au sujet du cache Kerberos ? J'ai besoin d'une explication officielle.

[Christophe P.]

Je viens de trouver cette page : https://support.microsoft.com/en-us/...ation-behavior (le lien vers cette page menait à une erreur 404 quand j'y ai regardé et dès le lendemain MS l'a corrigé !)
Il est donc possible de modifier (via le registre) la durée de vie de l'ancien mot de passe (par défaut 1 heure).

[A&Nexus]

Ça semblerai marcher si tu as l’historique des password activés.
Il semble également que le TIPS indiqué permette d’invalider l’ancien mot de passe «*le plus vite possible*» :
If a user's password is known to be compromised, the administrator should reset the password for that user. The administrator should ask the user to change the password at the next logon to invalidate the old password as soon as possible.

[Christophe P.]

L'historique des mots de passe est effectivement activé afin que les utilisateurs ne puissent pas réutiliser les anciens.

[sevyc64]

L'historique des mots de passe est effectivement activé afin que les utilisateurs ne puissent pas réutiliser les anciens.

Comme ça les utilisateurs sont obligés de se fabriquer une règle (qui a parlé du post-it sous le tapis de souris ?) pour inventer des mots de passe et surtout les retenir, règle qui génèrera immanquablement des mots de passe faible et donc un niveau de sécurité en chute libre

J'ai connu ça aussi, un mot de passe changeant tous les mois, et impossible de réutiliser les 20 précédents. Résultat : au bout de 6 mois, 80% de la boite un mot de passe constitué du mois et de l'année codifié selon différentes manières, mais toujours simple à trouver

[Christophe P.]

Nous sommes d'accord sur l'effet pervers de forcer les utilisateurs à faire quelque chose qu'ils ne veulent pas... mais s'est ce qui est demandé par le client.