Directives NIST sur les mots de passe

• La longueur du mot de passe est plus importante que sa complexité : Contrairement aux idées reçues, les mots de passe longs sont plus difficiles à décrypter que les mots de passe complexes en cas de vol. La longueur du mot de passe recommandée par le NIST est de huit caractères au minimum.
• Réinitialisation périodique des mots de passe : Le NIST recommande de réinitialiser les mots de passe uniquement lorsqu'on soupçonne qu'un mot de passe a été compromis, afin que les utilisateurs ne créent pas des mots de passe identiques à leurs anciens mots de passe, ce qui pourrait se produire si l'on les invitait à changer régulièrement de mot de passe.
• Vérifier les nouveaux mots de passe à l'aide de listes de mots de passe couramment utilisés et compromis : Tous les nouveaux mots de passe doivent être vérifiés pour s'assurer qu'il ne s'agit pas de mots de passe couramment utilisés, de mots du dictionnaire, de chiffres ou de lettres séquentiels, ou de mots de passe compromis.

• Activer l'affichage du mot de passe lors de la saisie : En affichant le mot de passe aux utilisateurs pendant qu'ils le tapent, ils ont plus de chances de le taper correctement du premier coup, ce qui permet d'éviter les blocages de compte et les réinitialisations de mot de passe inutiles.
• Autoriser le collage des mots de passe : Empêcher les utilisateurs de coller du texte dans le champ du mot de passe peut ralentir la création de comptes et la connexion, encourageant ainsi les utilisateurs à définir des mots de passe faibles.
• Ne pas utiliser d'indices de mot de passe : Le NIST déconseille fortement l'utilisation d'indices de mots de passe ou de questions de sécurité pour aider les utilisateurs à se souvenir de leurs mots de passe, car ils peuvent inciter les cybercriminels à deviner les mots de passe.
• Limiter le nombre de tentatives de mots de passe échoués avant le verrouillage du compte : En limitant le nombre de tentatives de mots de passe infructueuses, les attaques par force brute peuvent être freinées.
• Utiliser l'authentification multifactorielle (MFA) : L'utilisation d'autres facteurs d'authentification que les mots de passe peut contrecarrer les attaques par hameçonnage en rendant le compte inaccessible même si le mot de passe a été compromis.

• Sécuriser les bases de données : L'accès aux bases de données contenant les mots de passe des utilisateurs doit être limité au personnel essentiel afin de restreindre les activités des cybercriminels.
• Salt and hash les mots de passe : Selon les normes du NIST, les mots de passe doivent être salés avec au moins 32 bits de données et hachés avec une fonction de dérivation de clé à sens unique (comme PBKDF2 ou Balloon).

Ces paramètres permettent notamment d'imposer le nombre de caractères spéciaux, numériques et Unicode. Vous pouvez également définir le type de caractère par lequel le mot de passe doit commencer.

Satisfaire aux exigences du NIST en matière de mots de passe en configurant l'inclusion de caractères alphanumériques dans les mots de passe.

Ces paramètres permettent de limiter l'utilisation de caractères consécutifs provenant de noms d'utilisateur ou de mots de passe antérieurs. La répétition consécutive d'un même caractère peut également être limitée.

Empêcher les utilisateurs de réutiliser leurs anciens mots de passe lors de la création du mot de passe.

Les paramètres de cet onglet permettent de restreindre les mots, motifs et palindromes du dictionnaire personnalisé qui pourraient être couramment utilisés.

> Empêcher les utilisateurs d'utiliser des motifs courants, des mots du dictionnaire et des palindromes dans leurs mots de passe.

Ces règles vous permettent de définir un nombre minimum et maximum de caractères pour le mot de passe.

Configurez la longueur minimale et maximale du mot de passe pour satisfaire aux directives du NIST en matière de mot de passe.