1 pièce(s) jointe(s)
Azure AD Password Protection, la fonctionnalité de protection des mots de passe d'Azure AD
Azure AD Password Protection disponible
la fonctionnalité de gestion de mots de passe réduit le risque d'attaques de type Password Spraying
Une attaque informatique du type Password Spraying consiste à tester dans un système, un ensemble limité de mots de passe sur un ensemble de comptes pour, à l’inverse d’une tentative par Force Brute, rester discret et ne pas déclencher les blocages des comptes ou les alertes. Lors de ce type d'attaque, plusieurs comptes vont être exposés en particulier ceux dont les utilisateurs avaient des mots de passe faisant partie des plus communs. Dans le but de protéger les utilisateurs de ce genre d'attaques et d'améliorer la sécurité sur leur plateforme, les équipes d'Azure ont développé une fonctionnalité de gestion des mots de passe qui est d'ailleurs déjà disponible.
Azure Active Directory est un outil d’intégration d’identité locale, qui permet de connecter plusieurs utilisateurs à Microsoft Office 365 ainsi qu'à des milliers d’applications SaaS. Les utilisateurs disposent ainsi d’une authentification unique pour l’intégralité des applications web locales et fonctionnant sur le cloud. Cette nouvelle fonctionnalité servira donc à bloquer les mots de passe couramment utilisés et compromis, ce qui réduira considérablement les risques liés aux attaques de type Password Spraying.
Une première version de cette fonctionnalité avait déjà été publiée en juin de l'année dernière, mais la version actuelle a été optimisée. Elle est livrée avec un algorithme de gestion des mots de passe bannis, qui a été enrichi avec une base de données contenant des mots de passe récemment utilisés lors des violations de données ainsi que plus d'un million de variantes de substitution de caractères de ces mots de passe.
Désormais, il est impossible pour les utilisateurs de pouvoir choisir un mot de passe facile à deviner ou déjà inclus dans la liste des mots de passe bannis. D'ailleurs Alex Simons, vice-président de la gestion des programmes de la division Microsoft Identity, a fait savoir qu'Azure mettra régulièrement à jour la base de données des mots de passe interdits en se basant sur des milliards d'authentifications et sur l'analyse des informations d'identification divulguées sur le web.
Ainsi, s'il arrivait qu'un utilisateur veuille remplacer son mot de passe par un de ceux ayant été bannis, il verrait s'afficher un message d'erreur disant ceci : « Malheureusement, votre mot de passe contient un mot, une phrase ou un motif qui permet de facilement le deviner ». Cette fonctionnalité est déjà disponible pour les environnements cloud et hybrides.
La nouvelle fonctionnalité peut facilement être configurée à partir du portail Azure AD, mais il faut au préalable se connecter à ce portail avec un compte administrateur global. Ensuite, accéder au panneau Méthodes d'Authentification et d'y découvrir enfin la fonctionnalité Password Protection. A partir de là, il est possible de la configurer, ce qui implique la gestion de la protection par mot de passe pour Azure AD et Windows Server AD sur site. Il y est également possible de personnaliser les paramètres de verrouillage intelligent Azure AD et spécifier une liste de mots de passe supplémentaires à bloquer, propre à une entreprise.
Source : Microsoft
Et vous ?
:fleche: Qu'en pensez-vous ?
Voir aussi :
:fleche: Microsoft dévoile l'Azure Kinect, un nouveau périphérique qui tire parti du Cloud et de l'IA, Zoom sur le successeur de la Kinect pour Windows
:fleche: Microsoft présente Azure Sentinel et Threat Experts pour aider les professionnels de la sécurité à réagir plus rapidement lors de cyberattaques
:fleche: Azure DevOps : Microsoft annonce le successeur de Visual Studio Team Services et un service d'intégration et déploiement continus intégrés à GitHub
1 pièce(s) jointe(s)
Microsoft : Azure Active Directory supporte désormais les mots de passe à 256 caractères
Microsoft : Azure Active Directory supporte désormais les mots de passe à 256 caractères
Pour améliorer la sécurité
Le service d’annuaire est l’un des composants les plus importants d’un système d’information. Il permet d’offrir des moyens de stocker toutes les informations qui caractérisent l’ensemble des ressources pouvant exister dans une entreprise ainsi que de disposer des services capables de rendre ces informations globalement accessibles aux utilisateurs et cela en fonction de leurs droits et privilèges. Les ingénieurs Microsoft ne sont sans doute pas les derniers à le savoir. Ils l’ont compris et cela se traduit par davantage d’innovations sur leur plateforme Azure Active Directory (Azure AD) et principalement sur l’aspect sécuritaire. C’est dans cet esprit que Microsoft annonce la suppression de la limite de 16 caractères pour les mots de passe sur Azure Active Directory, permettant ainsi aux administrateurs de pouvoir utiliser jusqu'à 256 caractères avec un minimum de 8 caractères.
Pour rappel, Azure Active Directory est le service de Microsoft qui gère les annuaires et les identités basées sur le cloud mutualisé. Ce programme inclut une suite complète de fonctionnalités telles que l’authentification multifacteur, l’administration des mots de passe et l'inscription d’appareils. Il intègre également une fonctionnalité pour gérer des comptes privilégiés, le contrôle d’accès selon le rôle, la surveillance de l’utilisation de l’application, la création d’audit complet, la sécurité, les alertes...
Les services professionnels Microsoft Online tels qu'Office 365 ou Microsoft Azure requièrent Azure AD pour la connexion et la protection de l'identité. Si vous vous abonnez à un service professionnel Microsoft Online, vous obtenez automatiquement Azure Active Directory avec un accès à toutes les fonctionnalités gratuites.
Sécurité dans le Cloud
Grâce à des solutions de pointe telles que l’accès conditionnel, l’implémentation de la stratégie de défense en profondeur sur l’identité, les mots de passe, les données, les hôtes et les réseaux, Microsoft soutient détenir la clé de la sécurité sur Azure AD et publie de nouvelles stratégies et exigences associées aux comptes d'utilisateur dans Azure Active Directory.
Ci-dessous quelques-unes de ces stratégies et exigences.
Stratégies d'expiration de mot de passe dans Azure AD
Un administrateur général ou un administrateur d'utilisateurs d'un service du cloud de Microsoft peut utiliser le module Microsoft Azure AD pour Windows PowerShell afin de définir les mots de passe des utilisateurs pour qu'ils n'expirent pas. Vous pouvez également utiliser les applets de commandes Windows PowerShell pour supprimer la configuration jamais expirée ou pour voir les mots de passe utilisateur définis pour ne jamais expirer.
Politique de réinitialisation des mots de passe administrateur
Microsoft applique une stratégie de réinitialisation du mot de passe à deux entrées par défaut pour tout rôle d'administrateur Azure. Cette stratégie peut être différente de celle que vous avez définie pour vos utilisateurs et ne peut pas être modifiée. Vous devez toujours tester la fonctionnalité de réinitialisation du mot de passe en tant qu'utilisateur, sans aucun rôle d'administrateur Azure attribué.
Stratégies du UserPrincipalName qui s'appliquent à tous les comptes d'utilisateur
Chaque compte d'utilisateur qui doit se connecter à Azure AD doit avoir une valeur d'attribut UPN (User Principal Name) unique associée à son compte.
Stratégies de mots de passe qui s'appliquent uniquement aux comptes d'utilisateurs dans le nuage
La liste suivante décrit quelques paramètres de stratégies de mots de passe appliqués aux comptes d'utilisateur créés et gérés dans Azure AD.
Restrictions de mot de passe
Exigences :
- un minimum de 8 caractères et un maximum de 256 caractères ;
- requiert trois des quatre des éléments suivants :
- caractères minuscules,
- caractères majuscules,
- nombres (0-9) ;
- symboles (voir les restrictions de mot de passe précédentes) ;
- etc.
Caractères non autorisés
Exigences :
- caractères Unicode ;
- ne peut contenir un caractère de point « . » précédant immédiatement le symbole « @ ».
Durée d'expiration du mot de passe
valeur par défaut : 90 jours, la valeur est configurable à l'aide de la commande Set-MsolPasswordPolicycmdlet du module Azure Active Directory pour Windows PowerShell.
Verrouillage de compte
Après 10 tentatives de connexion infructueuses avec un mot de passe incorrect, l'utilisateur est verrouillé pendant une minute. D'autres tentatives de connexion incorrectes bloquent l'utilisateur pour des durées croissantes. Le verrouillage intelligent suit les trois derniers hachages de mots de passe incorrects pour éviter d'incrémenter le compteur de verrouillage pour le même mot de passe. Si quelqu'un saisit le même mot de passe incorrect plusieurs fois, ce comportement ne provoquera pas le verrouillage du compte.
Quel est l'intérêt de passer à 256 caractères pour un mot de passe, me direz-vous ?
Les cybercriminels utilisent différents types d’attaques pour compromettre les systèmes parmi lesquelles les attaques de mots de passe. Ces dernières constituent un problème permanent pour les ingénieurs en sécurité réseau. Les acteurs de la menace utilisent de nombreuses méthodes, y compris les attaques hors ligne appelées cassage de mot de passe.
Les attaques par mot de passe hors ligne sont beaucoup plus dangereuses. Dans une attaque en ligne, le mot de passe a la protection du système dans lequel il est stocké à l'exemple des stratégies développées ci-dessus. Il n'existe pas de telle protection lors d'attaques hors ligne. Dans ce dernier cas, l'attaquant capture la forme chiffrée du mot de passe pour ensuite faire d'innombrables tentatives afin de déchiffrer le mot de passe sans être remarqué. Pour ce faire, l'acteur de la menace a besoin d'outils tels que des extracteurs pour deviner l'algorithme de hachage, la table arc-en-ciel pour rechercher les mots de passe en texte clair et des snipers de mots de passe pour extraire les informations d’authentification. Le concept des tables arc-en-ciel est que le cybercriminel calcule les mots de passe possibles et leurs hachages dans un système donné et place les résultats dans une table de recherche appelée « table table arc-en-ciel ». Cela permet à un attaquant d'obtenir le mot de passe en clair. Pour atténuer les attaques des tables arc-en-ciel, l'utilisation des mots de passe longs est nécessaire.
En se limitant à ce problème de sécurité sur les mots de passe, on peut rapidement comprendre l’importance de la longueur des mots de passe sur Azure Active Directory.
Défis sécuritaire sur Azure active Directory
L’un des principes clés du Cloud computing est la réduction de la propriété et de la maintenance du matériel et des logiciels, ce qui permet aux organisations de se concentrer sur leurs stratégies et leurs points forts. Cependant, en adoptant un service de Cloud computing, les entreprises doivent abandonner le contrôle direct de tout système qu’elles déplacent vers le Cloud, ce qui engendre naturellement des inquiétudes et suscite de nombreuses questions quant à la sécurité et aux responsabilités. Avec, pour certains, la conviction que sa sécurité est impossible à garantir. Généralement, les API et les interfaces utilisateur constituent la partie la plus exposée de tout système d’application Cloud. Par conséquent, des contrôles adéquats les protégeant d’Internet ne constitueraient pas la première ligne de défense ?
Source : Microsoft
Et vous ?
:fleche:Microsoft ne devrait-elle pas peut être se pencher davantage sur les préoccupations de sécurité courantes des entreprises concernant le déplacement de leur infrastructure vers le Cloud ?
:fleche:Que pensez-vous de la stratégie de sécurité de Microsoft Azure Active Directory ?
:fleche:Peut on prétendre à une sécurité absolue dans le Cloud ?
Voir aussi
:fleche:Azure AD Password Protection disponible, la fonctionnalité de gestion de mots de passe réduit le risque d'attaques de type Password Spraying
:fleche:Microsoft annonce la disponibilité générale d'Azure Dev Spaces, un add-on pour Azure Kubernetes Service, qui ambitionne de booster la productivité
:fleche:93 % des Français utilisent des mots de passe faibles, d'après une enquête d'Avast, qui met la lumière sur les pratiques des Français en la matière
