Comment configurer une politique d’expiration des mots de passe de domaine ?

Windows Server Active Directory

Vous gérez les politiques d'expiration des mots de passe dans Active Directory à l'aide de la stratégie de groupe. Voici un guide étape par étape :

1. Ouvrir la gestion des stratégies de groupe :

* Allez dans Démarrer , tapez `gpmc.msc` et appuyez sur Entrée . Cela ouvre la console de gestion des stratégies de groupe (GPMC).

* Vous pouvez également le trouver sous Outils d'administration. .

2. Accédez au domaine ou à l'unité d'organisation :

* Dans la GPMC, développez votre Forêt , puis développez vos domaines .

* Faites un clic droit sur :

* Votre domaine : Cela applique la stratégie à *tous* les utilisateurs du domaine. Ceci n’est généralement *pas* recommandé pour le contrôle granulaire.

* Unité organisationnelle (UO) : Cela vous permet d'appliquer différentes politiques à différents groupes d'utilisateurs. Il s’agit d’une bonne pratique pour gérer différentes politiques de mot de passe.

* Sélectionnez "Créer un GPO dans ce domaine et liez-le ici..." (ou "Lier un GPO existant..." si vous disposez déjà d'un GPO approprié). Donnez au nouveau GPO un nom descriptif (par exemple, "Politique d'expiration du mot de passe - Utilisateurs standard").

3. Modifiez l'objet de stratégie de groupe (GPO) :

* Cliquez avec le bouton droit sur l'objet de stratégie de groupe nouvellement créé (ou lié) dans la GPMC et sélectionnez "Modifier". . Cela ouvre l'éditeur de gestion des stratégies de groupe.

4. Accédez aux paramètres de mot de passe :

* Dans l'éditeur de gestion des stratégies de groupe, accédez à :

* Configuration de l'ordinateur (C'est ici que les politiques de mot de passe sont configurées)

* Politiques

* Paramètres Windows

* Paramètres de sécurité

* Politiques de compte

* Politique de mot de passe

5. Configurez les paramètres de la stratégie de mot de passe :

* Vous verrez plusieurs paramètres que vous pouvez configurer :

* "Appliquer l'historique des mots de passe" : Cela empêche les utilisateurs de réutiliser d'anciens mots de passe. Définissez une valeur telle que « 24 mots de passe mémorisés » pour empêcher les utilisateurs de simplement parcourir de légères variations du même mot de passe.

* "Âge maximum du mot de passe" : C'est le paramètre que vous recherchez. Ceci définit la durée de validité d'un mot de passe avant que l'utilisateur ne soit obligé de le modifier. Définissez cette valeur sur une valeur raisonnable, telle que « 90 jours » ou « 120 jours ». *Important :recherchez les meilleures pratiques et les exigences réglementaires avant de définir cela. Les courtes durées de vie des mots de passe peuvent parfois conduire à des mots de passe plus faibles, car les utilisateurs choisissent des options faciles à deviner.*

* "Âge minimum du mot de passe" : Cela empêche les utilisateurs de modifier leur mot de passe trop fréquemment (par exemple, immédiatement après avoir été obligés de le modifier en raison de son expiration). Une valeur courante est « 1 jour ». Cela empêche les utilisateurs de contourner l'historique des mots de passe en modifiant immédiatement leur mot de passe plusieurs fois.

* "Longueur minimale du mot de passe" : C'est *critique*. Appliquez une longueur minimale de mot de passe forte. *Au minimum*, utilisez 12 caractères. 14-16 est préférable. Les mots de passe plus longs sont exponentiellement plus difficiles à déchiffrer.

* "Le mot de passe doit répondre aux exigences de complexité" : Activez ceci. Ce paramètre nécessite que les mots de passe contiennent un mélange de lettres majuscules, de lettres minuscules, de chiffres et de symboles. C'est très important pour la sécurité.

* "Stocker les mots de passe à l'aide d'un cryptage réversible pour tous les utilisateurs du domaine" : NE PAS ACTIVER CECI. Ce paramètre est destiné à des scénarios de compatibilité ascendante très spécifiques (généralement des applications très anciennes). Il affaiblit considérablement la sécurité en stockant les mots de passe d'une manière relativement facile à déchiffrer.

6. Appliquer la stratégie (si elle n'est pas déjà liée à une unité d'organisation) :

* Assurez-vous que le GPO est lié au domaine ou à l'UO auquel vous souhaitez l'appliquer (étape 2).

* La stratégie de groupe est mise à jour périodiquement (généralement toutes les 90 minutes avec un décalage de 30 minutes), mais vous pouvez forcer une mise à jour sur un ordinateur client ou sur le serveur avec la commande :`gpupdate /force`

7. Test :

* Après avoir appliqué la stratégie, testez-la pour vous assurer qu'elle fonctionne comme prévu. Connectez-vous avec un utilisateur test dans l'unité d'organisation et essayez de modifier le mot de passe. Vérifiez les journaux d'événements pour détecter les erreurs. Attendez que la période d'expiration soit écoulée et voyez si l'utilisateur est invité à modifier son mot de passe.

Considérations importantes concernant les stratégies de mot de passe Active Directory :

* Politiques de mots de passe à granularité fine (FGPP) : Si vous avez besoin de politiques de mot de passe différentes pour différents utilisateurs ou groupes *au sein de la même unité d'organisation*, vous devrez utiliser des politiques de mot de passe à granularité fine (FGPP). FGPP offre un contrôle beaucoup plus granulaire. Les FGPP sont configurés à l'aide du Centre d'administration Active Directory ou de PowerShell. Ils sont plus complexes à configurer qu’un GPO standard. Les FGPP peuvent avoir priorité sur les politiques de domaine standard, vous devez donc comprendre l'ordre de priorité.

* Complexité du mot de passe : La complexité des mots de passe est vitale. Ne sous-estimez pas l'importance d'exiger un mélange de types de personnages.

* Éducation des utilisateurs : Éduquez vos utilisateurs sur l’importance des mots de passe forts et sur la politique en matière de mots de passe. Expliquez pourquoi ils doivent changer leurs mots de passe et donnez des conseils pour créer des mots de passe forts et mémorables.

* Révision régulière : Examinez régulièrement votre politique de mot de passe et ajustez-la si nécessaire en fonction des meilleures pratiques de sécurité et des besoins de votre organisation.

* Politique de verrouillage de compte : Configurez une politique de verrouillage de compte (également trouvée sous Politiques de compte) pour verrouiller les comptes d'utilisateurs après un certain nombre de tentatives de connexion infructueuses. Cela permet d’éviter les attaques de mots de passe par force brute. Pensez à définir une durée de verrouillage raisonnable (par exemple 30 minutes).

* Journalisation d'audit : Activez l'audit pour les événements de gestion de compte. Cela vous aidera à suivre les modifications de mot de passe et d'autres activités liées au compte.

Linux (présentation générale)

Sur les systèmes Linux, les politiques de mot de passe sont généralement gérées à l'aide de « pam_pwquality.so » (qui fait partie des Pluggable Authentication Modules, ou PAM). La configuration se fait via `/etc/pam.d/` et `/etc/security/pwquality.conf`. Les spécificités dépendent de la distribution (par exemple, Debian/Ubuntu, Red Hat/CentOS).

1. Modifiez `/etc/pam.d/common-password` (Debian/Ubuntu) :

* Ouvrez ce fichier avec un éditeur de texte (en tant que root).

* Recherchez la ligne qui inclut `pam_unix.so`. Cela ressemblera à quelque chose comme :

```

mot de passe requis pam_unix.so ...

```

* Ajoutez `pam_pwquality.so` *avant* `pam_unix.so`. L'ordre est important. Par exemple:

```

mot de passe requis pam_pwquality.so retry=3

mot de passe requis pam_unix.so ...

```

2. Modifiez `/etc/security/pwquality.conf` :

* Ouvrez ce fichier avec un éditeur de texte (en tant que root).

* Ce fichier définit les règles de politique de mot de passe. Les paramètres courants incluent :

* `minlen =12` (longueur minimale du mot de passe)

* `minclass =3` (nombre minimum de classes de caractères - majuscules, minuscules, chiffres, symboles)

* `dcredit =-1` (crédit maximum pour les chiffres)

* `ucredit =-1` (crédit maximum pour les lettres majuscules)

* `lcredit =-1` (crédit maximum pour les lettres minuscules)

* `ocredit =-1` (crédit maximum pour les autres caractères, c'est-à-dire les symboles)

* `reject_username =true` (ne pas autoriser les mots de passe à contenir le nom d'utilisateur)

* `difok =3` (le nombre de caractères du nouveau mot de passe qui doit différer de l'ancien mot de passe)

* `maxrepeat =3` (le nombre maximum de caractères répétés autorisés)

* `gecoscheck =1` (Empêcher que les mots de passe soient dérivés du champ GECOS (informations de l'utilisateur)

3. Expiration du mot de passe (commande chage) :

* Les systèmes Linux utilisent généralement la commande `chage` pour gérer le vieillissement des mots de passe.

* `chage -l ` :affiche les informations de vieillissement du mot de passe pour un utilisateur.

* `chage -M ` :Définit le nombre maximum de jours pendant lesquels un mot de passe est valide.

* `chage -m ` :définit le nombre minimum de jours pendant lesquels un utilisateur doit conserver un mot de passe avant de pouvoir le modifier.

* `chage -W ` :définit le nombre de jours avant l'expiration du mot de passe pendant lequel l'utilisateur reçoit un avertissement.

* `chage -d 0 ` :oblige l'utilisateur à changer son mot de passe lors de sa prochaine connexion. (Réinitialise la date de dernière modification au 1970-01-01).

* Pour définir une politique d'expiration de mot de passe par défaut pour *tous* les nouveaux utilisateurs, vous pouvez modifier `/etc/login.defs`. Recherchez les lignes suivantes et ajustez en conséquence :

```

PASS_MAX_DAYS 90 # Nombre maximum de jours pendant lesquels un mot de passe peut être utilisé.

PASS_MIN_DAYS 0 # Nombre minimum de jours autorisés entre les changements de mot de passe.

PASS_WARN_AGE 7 # Nombre de jours d'avertissement donné avant l'expiration d'un mot de passe.

```

4. Test :

* Créez un utilisateur test et essayez de définir un mot de passe qui enfreint la politique.

* Connectez-vous avec l'utilisateur test et vérifiez les avertissements d'expiration du mot de passe.

Considérations importantes concernant les politiques de mots de passe Linux :

* Spécifique à la distribution : L'emplacement exact des fichiers de configuration et les options disponibles peuvent varier en fonction de la distribution Linux. Consultez la documentation de votre distribution.

* Privilèges root : Vous aurez besoin des privilèges root (en utilisant « sudo » ou en vous connectant en tant que root) pour modifier ces fichiers de configuration.

* PAM : Comprendre PAM est essentiel pour configurer les politiques d'authentification et de mot de passe sous Linux.

* Commande `chage` : Familiarisez-vous avec la commande `chage` pour gérer le vieillissement des mots de passe des utilisateurs individuels.

Bonnes pratiques générales (applicables à Windows et Linux) :

* Mots de passe forts : Le cœur de toute politique de mot de passe consiste à appliquer des mots de passe forts. Cela signifie:

* Longueur suffisante (au moins 12 caractères, de préférence plus longue)

* Complexité (mélange de majuscules, minuscules, chiffres et symboles)

* Unicité (ne permet pas la réutilisation des mots de passe précédents)

* Évitement des informations personnelles (pas de mots du dictionnaire, noms, anniversaires, etc.)

* Authentification multifacteur (MFA) : Mettez en œuvre l’authentification multifacteur (MFA) autant que possible. Cela ajoute une couche de sécurité supplémentaire au-delà des mots de passe, ce qui rend beaucoup plus difficile pour les attaquants d'accéder aux comptes, même s'ils ont volé le mot de passe.

* Gestionnaires de mots de passe : Encouragez l’utilisation de gestionnaires de mots de passe. Les gestionnaires de mots de passe peuvent générer et stocker des mots de passe forts et uniques pour chaque site Web et application, permettant ainsi aux utilisateurs de suivre plus facilement une bonne hygiène des mots de passe.

* Audits réguliers : Examinez régulièrement vos politiques et configurations de mots de passe pour vous assurer qu’elles sont efficaces et à jour. Vérifiez les journaux pour détecter toute activité suspecte.

* Principe du moindre privilège : Accordez uniquement aux utilisateurs les privilèges minimaux nécessaires. Cela limite l’impact d’un compte compromis.

* Zéro Confiance : Adoptez un modèle de sécurité Zero Trust. Supposons que tous les utilisateurs et appareils sont potentiellement compromis et nécessitent une authentification et une autorisation strictes avant d’accorder l’accès aux ressources.

En suivant ces étapes et bonnes pratiques, vous pouvez créer et maintenir une politique d'expiration de mot de passe solide qui contribue à protéger vos systèmes et vos données contre tout accès non autorisé. N'oubliez pas d'adapter la politique à votre environnement spécifique et à vos besoins de sécurité. Bonne chance!