Qu'entendez-vous par vieillissement du mot de passe sous Unix ?

Idée de base :

* Expiration basée sur le temps : Après un certain nombre de jours (défini par l'administrateur système), le mot de passe d'un utilisateur devient « ancien » et nécessite de le modifier lors de sa prochaine connexion.

Fonctionnement (attributs clés) :

* `age` dans `/etc/shadow` : L'implémentation la plus courante est gérée via le fichier `/etc/shadow` (qui stocke les informations de mot de passe en toute sécurité). Ce fichier contient des attributs liés à l'ancienneté du mot de passe pour chaque utilisateur. Les principaux attributs que vous pourriez voir sont :

* `last_changed` (Date de la dernière modification) : Nombre de jours depuis l'époque (1er janvier 1970) à laquelle le mot de passe a été modifié pour la dernière fois. C'est le point de départ du calcul du vieillissement.

* `min_days` (âge minimum du mot de passe) : Le nombre minimum de jours qui doivent s'écouler *avant* qu'un utilisateur soit autorisé à modifier à nouveau son mot de passe. Cela empêche les utilisateurs de revenir immédiatement à un ancien mot de passe potentiellement compromis.

* `max_days` (âge maximum du mot de passe) : Nombre maximum de jours pendant lesquels un mot de passe peut être valide. Passé ce délai, l'utilisateur est obligé de le modifier lors de la prochaine connexion.

* `warn_days` (Période d'avertissement) : Le nombre de jours *avant* l'expiration de « max_days » pendant lequel l'utilisateur commencera à recevoir des avertissements concernant l'expiration de son mot de passe. Cela leur donne le temps de le changer facilement.

* `inactive_days` (Période d'inactivité) : Nombre de jours après l'expiration d'un mot de passe pendant lequel le compte est désactivé. Verrouille efficacement l'utilisateur.

* `expire_date` (Date d'expiration du compte) : Une date fixe (jours depuis l'époque) à laquelle l'intégralité du compte devient inutilisable. Il s'agit d'un concept distinct mais souvent utilisé en conjonction avec la vieillissement des mots de passe pour gérer les comptes temporaires.

* `drapeau` : Un indicateur qui peut être utilisé pour désactiver la fonction de vieillissement du mot de passe ou pour forcer un changement de mot de passe lors de la prochaine connexion.

* Commande `passwd` : Les utilisateurs et les administrateurs utilisent généralement la commande « passwd » pour modifier les mots de passe. Lorsqu'un utilisateur modifie son mot de passe, la date `last_changed` dans `/etc/shadow` est mise à jour.

* Processus de connexion : Lorsqu'un utilisateur tente de se connecter, le système vérifie la date `last_changed` par rapport aux valeurs `max_days` et `warn_days` dans `/etc/shadow`. Si le mot de passe a expiré, l'utilisateur est invité à le modifier *avant* de pouvoir accéder à son compte. Si le mot de passe est sur le point d'expirer, un message d'avertissement s'affiche.

Exemple :

Disons que `/etc/shadow` a l'entrée (simplifiée) suivante pour un utilisateur nommé "john" :

```

john:$6$somesalt$hashstring:19400:7:90:7:-1 :::

```

Voici comment interpréter cela (en supposant les significations standard des champs) :

* `john` :nom d'utilisateur.

* `$6$somesalt$hashstring` :hachage du mot de passe.

* `19400` :`last_changed` (jours depuis l'époque).

* `7` :`min_days` (il faut attendre au moins 7 jours avant de changer à nouveau).

* `90` :`max_days` (le mot de passe expire après 90 jours).

* `7` :`warn_days` (avertir l'utilisateur 7 jours avant l'expiration).

* `-1` :`inactive_days` (désactivé). Non utilisé dans cet exemple.

* `:::` - Date d'expiration du compte (vide, ce qui signifie pas d'expiration de compte)

Cela signifie:

1. John a changé son mot de passe pour la dernière fois le jour 19400 (depuis l'époque).

2. Il doit attendre au moins 7 jours avant de le changer à nouveau.

3. Son mot de passe expirera 90 jours après 19400.

4. Il sera prévenu de l'expiration 7 jours avant cette date d'expiration.

Outils de gestion :

* Commande `passwd` : Comme mentionné, les utilisateurs et les administrateurs utilisent « passwd » pour modifier les mots de passe.

* Commande `chage` : La commande `chage` (change age) est spécifiquement conçue pour gérer les paramètres de vieillissement des mots de passe dans `/etc/shadow`. Les administrateurs l'utilisent pour définir les « min_days », « max_days », « warn_days », etc., pour les utilisateurs individuels.

* PAM (modules d'authentification enfichables) : PAM est un framework qui vous permet de personnaliser les mécanismes d'authentification. Le vieillissement des mots de passe est généralement géré via les modules PAM, qui offrent une flexibilité dans la manière dont il est mis en œuvre. Vous configurez PAM dans les fichiers sous `/etc/pam.d/`.

* `/etc/login.defs` : Ce fichier définit les valeurs par défaut à l'échelle du système pour la vieillissement des mots de passe et d'autres paramètres liés à la connexion. Les valeurs définies ici sont souvent utilisées comme point de départ à moins qu'elles ne soient remplacées par des paramètres utilisateur spécifiques dans `/etc/shadow`.

Pourquoi utiliser le vieillissement des mots de passe ?

* Atténuer le piratage des mots de passe : Même si un mot de passe est faible ou compromis par des attaques par force brute ou par dictionnaire, il finira par être modifié, limitant ainsi la fenêtre d'opportunité de l'attaquant.

* Réduire l'impact des mots de passe réutilisés : De nombreux utilisateurs réutilisent les mots de passe sur plusieurs comptes. Si un service est compromis, les mots de passe des utilisateurs sur d'autres services sont menacés. Des changements réguliers de mot de passe peuvent aider à atténuer ce problème.

* Conformité : De nombreuses politiques et réglementations de sécurité exigent le vieillissement des mots de passe comme meilleure pratique de sécurité.

* Menaces internes : Le vieillissement des mots de passe peut aider à atténuer les risques liés aux employés mécontents ou aux anciens employés qui pourraient connaître un mot de passe.

Inconvénients :

* Gêne de l'utilisateur : Les utilisateurs trouvent souvent les changements fréquents de mot de passe ennuyeux, ce qui entraîne :

* Mots de passe prévisibles : Les utilisateurs peuvent simplement incrémenter un chiffre à la fin de leur mot de passe, ce qui les rend facilement prévisibles.

* Notes Post-it : Écrire des mots de passe va à l’encontre de l’objectif.

* Fatigue des mots de passe : Les utilisateurs peuvent oublier leurs mots de passe plus souvent, ce qui augmente les appels au service d'assistance.

* Ne traite pas du phishing ni de l'ingénierie sociale : Le vieillissement des mots de passe ne suffira pas à empêcher les utilisateurs de divulguer volontairement leurs mots de passe.

Considérations modernes (au-delà du vieillissement traditionnel des mots de passe) :

Même si le vieillissement des mots de passe est une pratique de sécurité de longue date, les recommandations modernes suggèrent souvent une évolution vers :

* Mots de passe forts : Appliquez les exigences en matière de complexité des mots de passe (longueur, types de caractères) et empêchez les utilisateurs d'utiliser des mots de passe faibles ou faciles à deviner. Des outils tels que « pwquality » et les modules PAM aident à cela.

* Authentification multifacteur (MFA) : Ajoutez une couche de sécurité supplémentaire au-delà d'un simple mot de passe (par exemple, un code provenant d'une application mobile).

* Gestionnaires de mots de passe : Encouragez les utilisateurs à utiliser des gestionnaires de mots de passe pour générer et stocker des mots de passe forts et uniques pour chaque compte.

* Surveillance et alerte : Détectez les activités de connexion suspectes (par exemple, emplacements de connexion inhabituels, plusieurs tentatives de connexion infructueuses).

* Détection de mot de passe compromis : Utilisez des services qui détectent si des mots de passe ont été divulgués lors de violations de données et avertissent les utilisateurs de les modifier.

En soi, le vieillissement des mots de passe n’est plus considéré comme une solution de sécurité complète, mais il peut néanmoins constituer un élément utile dans une stratégie de sécurité plus large, en particulier lorsqu’il est combiné avec d’autres bonnes pratiques. La meilleure approche dépend des besoins de sécurité spécifiques et de la tolérance au risque de l'organisation.