Contre le piratage de mot de passe - des contre-mesures

Prendre des contre-mesures générales peut empêcher le piratage de vos mots de passe importants. Un mot de passe pour un système est généralement égal aux mots de passe de nombreux autres systèmes, car de nombreuses personnes utilisent les mêmes mots de passe sur tous les systèmes qu'ils utilisent. Pour cette raison, vous pouvez envisager de demander aux utilisateurs de créer des mots de passe différents pour différents systèmes, en particulier sur les systèmes qui protègent les informations les plus sensibles.

Le seul inconvénient est que les utilisateurs doivent garder plusieurs mots de passe et, par conséquent, pourraient être tentés de les écrire, ce qui peut annuler tous les avantages.

Stockage des mots de passe

Si vous devez choisir entre des mots de passe faibles que vos utilisateurs peuvent mémoriser et des mots de passe forts que vos utilisateurs doivent écrire, demandez aux lecteurs d'écrire des mots de passe et de stocker les informations en toute sécurité. Entraînez les utilisateurs à stocker leurs mots de passe écrits dans un endroit sûr - pas sur des claviers ou dans des fichiers informatiques protégés par mot de passe. Les utilisateurs doivent enregistrer un mot de passe écrit dans l'un de ces emplacements:

Coffre de sécurité verrouillé pour un bureau ou un bureau
Cryptage de disque complet (entier) qui peut empêcher un intrus d'accéder au système d'exploitation et aux mots de passe stockés sur le système.
Un outil de gestion de mots de passe sécurisé tel que
- LastPass
- Password Safe, un logiciel open source développé par Counterpane

Règles de mot de passe

En tant que hacker éthique, vous devez montrer aux utilisateurs mots de passe Voici quelques conseils sur la façon de le faire:

Démontrez comment créer des mots de passe sécurisés. Reportez-vous aux phrases secrètes , car les utilisateurs préfèrent littéralement les mots de passe et n'utilisent que des mots, qui peuvent être moins sécurisés.
Montrez ce qui peut arriver lorsque des mots de passe faibles sont utilisés ou que des mots de passe sont partagés.
Augmentez la sensibilisation des utilisateurs aux attaques d'ingénierie sociale.

Appliquer (ou au moins encourager l'utilisation de) une stratégie de création de mot de passe forte qui inclut les critères suivants:

Utilisez des lettres majuscules et minuscules, des caractères spéciaux et des chiffres. N'utilisez jamais que des chiffres. De tels mots de passe peuvent être craqués rapidement.
Ignorer les mots ou créer des acronymes à partir d'une citation ou d'une phrase. Par exemple, ASCII est un acronyme de Code normalisé américain pour l'échange d'informations qui peut également être utilisé comme mot de passe.
Utilisez des caractères de ponctuation pour séparer les mots ou les acronymes.
Changez les mots de passe tous les 6 à 12 mois ou immédiatement s'ils sont suspectés d'être compromis. Tout ce qui est plus fréquent introduit un inconvénient qui ne sert qu'à créer plus de vulnérabilités.
Utilisez des mots de passe différents pour chaque système. Ceci est particulièrement important pour les hôtes de l'infrastructure réseau, tels que les serveurs, les pare-feu et les routeurs. Il est possible d'utiliser des mots de passe similaires - il suffit de les rendre légèrement différents pour chaque type de système, comme SummerInTheSouth-Win7 pour les systèmes Windows et Linux + SummerInTheSouth pour les systèmes Linux.
Utilisez des mots de passe de longueur variable. Cette astuce peut dissuader les pirates car ils ne connaîtront pas la longueur minimale ou maximale requise des mots de passe et devront essayer toutes les combinaisons de longueur de mot de passe.
N'utilisez pas de mots d'argot ou de mots courants dans un dictionnaire.
Ne comptez pas complètement sur des caractères similaires, tels que 3 au lieu de E, 5 au lieu de S, ou ! au lieu de 1. Les programmes de craquage de mot de passe peuvent vérifier cela.
Ne réutilisez pas le même mot de passe dans au moins quatre à cinq changements de mot de passe.
Utilisez des économiseurs d'écran protégés par mot de passe. Les écrans déverrouillés sont un excellent moyen de compromettre les systèmes même si leurs disques durs sont cryptés.
Ne partagez pas les mots de passe. A chacun son propre!
Évitez de stocker les mots de passe utilisateur dans un emplacement central non sécurisé , tel qu'une feuille de calcul non protégée sur un disque dur. Ceci est une invitation au désastre. Utilisez Password Safe ou un programme similaire pour stocker les mots de passe des utilisateurs.

Autres contre-mesures

Voici d'autres contre-mesures de piratage de mot de passe:

Activez l'audit de sécurité pour surveiller et suivre les attaques par mot de passe.
Testez vos applications pour vous assurer qu'elles ne stockent pas indéfiniment les mots de passe en mémoire ou ne les écrivent pas sur le disque. Un bon outil pour cela est WinHex.
Gardez vos systèmes corrigés. Les mots de passe sont réinitialisés ou compromis lors des dépassements de tampon ou d'autres conditions de déni de service (DoS).
Connaissez vos ID utilisateur. Si un compte n'a jamais été utilisé, supprimez ou désactivez le compte jusqu'à ce qu'il soit nécessaire. Vous pouvez déterminer les comptes inutilisés par une inspection manuelle ou en utilisant un outil tel que DumpSec, un outil qui peut énumérer le système d'exploitation Windows et recueillir des ID utilisateur et d'autres informations.

En tant qu'administrateur de la sécurité de votre organisation, vous pouvez activer le verrouillage du compte pour empêcher les tentatives de piratage de mot de passe. Le verrouillage de compte est la possibilité de verrouiller les comptes d'utilisateurs pendant un certain temps après qu'un certain nombre d'échecs de tentatives de connexion s'est produit. La plupart des systèmes d'exploitation ont cette capacité.

Ne le réglez pas trop bas, et ne le placez pas trop haut pour donner à un utilisateur mal intentionné une plus grande chance de percer. Quelque part entre 5 et 50 pourrait fonctionner pour vous. Tenez compte des points suivants lors de la configuration du verrouillage de compte sur vos systèmes:

Pour interdire les conditions DoS de l'utilisateur, utilisez deux mots de passe différents et ne définissez pas de délai de verrouillage pour le premier si cette fonctionnalité est disponible. dans votre système d'exploitation.
Si vous autorisez la réinitialisation automatique du compte après une certaine période - souvent appelée verrouillage d'intrus - ne définissez pas une période courte.Trente minutes fonctionnent souvent bien.

Un compteur de connexion ayant échoué peut augmenter la sécurité du mot de passe et minimiser les effets globaux du verrouillage du compte si le compte subit une attaque automatisée. Un compteur de connexion peut forcer un changement de mot de passe après un certain nombre de tentatives infructueuses. Si le nombre de tentatives de connexion échouées est élevé et s'est produit sur une courte période, le compte a probablement subi une attaque par mot de passe automatique.

Les autres contre-mesures de protection par mot de passe incluent

Méthodes d'authentification plus strictes. Exemples de défis / réponses, de cartes à puce, de jetons, de biométrie ou de certificats numériques.
Réinitialisation automatique du mot de passe. Cette fonctionnalité permet aux utilisateurs de gérer la plupart de leurs problèmes de mot de passe sans impliquer d'autres personnes. Sinon, ce problème de support devient coûteux, en particulier pour les grandes organisations.
Protection par mot de passe du BIOS du système. Ceci est particulièrement important sur les serveurs et les ordinateurs portables qui sont sensibles aux menaces et aux vulnérabilités de sécurité physique.