🔐 C3.2.2 — Politique MDP & MFA

Accroche (10 min)

En juin 2024, la compilation RockYou2024 a été publiée : elle contient 9 948 575 739 mots de passe uniques, résultant de 20 ans de fuites. Si votre mot de passe y figure, il peut être cracké en quelques secondes. Chez InnovatTech, certains employés utilisent "innovattech2024". Votre rôle : éduquer, appliquer des contrôles techniques et adopter des solutions adaptées.

Section 1 — Politique de mots de passe moderne (~45 min)

Recommandations NIST SP 800-63B

Les recommandations contemporaines du NIST abandonnent les règles de complexité imposées pour privilégier :

Vérification contre les mots de passe compromis

La vérification peut se faire via Have I Been Pwned (HIBP) avec la méthode k-anonymat : seul le préfixe SHA-1 du mot de passe est envoyé, les suffixes correspondants sont reçus — le mot de passe en clair ne quitte jamais le client.

Algorithmes de hachage pour le stockage

MD5 et SHA-1 sont proscrits pour les mots de passe (trop rapides → attaques par force brute). Recommandations modernes :

import bcrypt

# Hachage avec bcrypt (factor 12 = 2^12 itérations)
mot_de_passe = b"MonMotDePasse123"
sel = bcrypt.gensalt(rounds=12)
hache = bcrypt.hashpw(mot_de_passe, sel)
print(hache)  # $2b$12$... — contient le sel ET le hash

# Vérification
if bcrypt.checkpw(mot_de_passe, hache):
    print("Mot de passe correct")

Argon2 (recommandé OWASP) est "memory-hard" : il utilise volontairement une grande quantité de mémoire pour limiter l'efficacité des attaques GPU/ASIC.

Gestionnaires de mots de passe

Section 2 — Authentification Multi-Facteurs (MFA) (~30 min)

La MFA combine des facteurs de différentes catégories :

• Connaissance : quelque chose que vous savez (mot de passe, PIN)
• Possession : quelque chose que vous avez (téléphone TOTP, clé FIDO2)
• Inhérence : quelque chose que vous êtes (empreinte, FaceID)

TOTP (RFC 6238)

Le TOTP génère des codes numériques (6 chiffres) toutes les 30 secondes via HMAC-SHA1 d'un secret partagé et de l'horodatage. Le code expiré est inutilisable → voler le mot de passe seul ne suffit plus.

FIDO2 / WebAuthn

Les clés physiques (YubiKey) résistent au phishing : lors du protocole WebAuthn, la clé signe une attestation liée au domaine exact consulté → un site de phishing ne peut pas réutiliser la signature. Recommandé pour les comptes à très hauts privilèges.

Risques MFA push

MFA bombing / push fatigue : un attaquant sature un utilisateur de demandes d'approbation push, espérant qu'il accepte par erreur. Mitigation : limiter le nombre de demandes, exiger une correspondance numérique (number matching).

Services devant être protégés par MFA chez InnovatTech

• Accès VPN (pfSense)
• Comptes administrateurs (Domain Admins AD, root serveurs Debian)
• Messagerie (accès externe)
• Systèmes RH/finance
• Interface d'administration NAS Synology et pfSense

Configuration PAM TOTP pour SSH (Debian)

# Installer libpam-google-authenticator
sudo apt update && sudo apt install -y libpam-google-authenticator

# Configurer pour l'utilisateur cible (interactif — génère QR code)
google-authenticator

# Ajouter dans /etc/pam.d/sshd AVANT @include common-auth :
# auth required pam_google_authenticator.so

# Activer la réponse aux challenges dans sshd_config
sudo sed -i 's/^#ChallengeResponseAuthentication no/ChallengeResponseAuthentication yes/' /etc/ssh/sshd_config

# Redémarrer SSH
sudo systemctl restart sshd

# Test de connexion (client)
ssh utilisateur@ip_du_serveur
# Password: ****
# Verification code: 123456  ← code TOTP de l'application mobile

TP — Politique MDP + MFA sur Debian 12 (85 min)

Scénario : InnovatTech n'a pas de politique de mots de passe formalisée. Des employés utilisent "innovattech2024". La direction veut une politique claire et la MFA sur les accès distants.

Étape 1 — Rédiger la politique de mots de passe (30 min)

Document de 2 pages comprenant au minimum : objet/champ d'application, exigences de longueur (≥14 car. utilisateurs, ≥20 car. comptes à privilèges), interdiction des mots de passe compromis, recommandation de gestionnaire, procédure de compromission. Référence explicite au NIST SP 800-63B.

Étape 2 — Tester la robustesse avec zxcvbn (20 min)

from zxcvbn import zxcvbn
passwords = ["innovattech2024", "Str0ngP@ss!", "correct-horse-battery-staple"]
for p in passwords:
    r = zxcvbn(p)
    guesses = r['guesses']
    print(f"MDP: {p}")
    print(f"  Score (0-4): {r['score']}")
    print(f"  Guesses: {guesses:.2e}")
    print(f"  Temps à 10^6/s (attaque en ligne): {guesses/1e6:.1f}s")
    print(f"  Temps à 10^9/s (GPU hors ligne): {guesses/1e9:.4f}s")
    print()

Étape 3 — Activer le MFA TOTP pour SSH (35 min)

Suivre les commandes de configuration PAM ci-dessus. Livrable : capture montrant la connexion SSH réussie avec mot de passe + code TOTP.

Synthèse (10 min)

Question : Pourquoi le NIST SP 800-63B recommande-t-il de ne pas forcer le changement de mot de passe tous les 90 jours ?

Réponse : La rotation forcée sans indice de compromission pousse les utilisateurs vers des variantes prévisibles (Password1 → Password2), la prise de notes, ou la réutilisation. Elle produit l'effet contraire à l'objectif. NIST recommande de privilégier la longueur, la détection des compromissions et la rotation ciblée lorsque nécessaire.