La plupart des organisations sont familières avec la stratégie de mot de passe Microsoft et les fonctionnalités qu'elle offre. La stratégie de mot de passe de Microsoft pour les domaines Active Directory est la même depuis plus de 17 ans maintenant. Certaines organisations ont pris l'initiative de mettre en œuvre un système d’authentification multi-facteur, mais pour la plupart des structures, ces technologies sont coûteuses, lourdes, complexes et nécessitent de former l'utilisateur final et le support informatique. Lorsque l'authentification multi-facteur n’est pas mise en place, les organisations doivent envisager des contrôles supplémentaires pour protéger les mots de passe.
Tout d'abord, les mots de passe doivent être composés de 15 caractères ou plus. Il y a eu des débats pendant des années sur la longueur minimale appropriée pour que les mots de passe soient sécurisés. Il n'y a pas de longueur minimale obligatoire mais il y a des contraintes qui doivent être mises en œuvre. La longueur minimale de 15 caractères est due au protocole d'authentification LAN Manager (LM). LM (et même NTLM) utilise des mots de passe de maximum 14 caractères. Il s’agit d’une limitation codée en dur dans Windows 3.11. Par conséquent, si un mot de passe de 15 caractères est entré, LM et NTLM ne peuvent pas être utilisés en tant que protocoles d'authentification. Ceci est important car les mots de passe qui prennent en charge LM / NTLM sont faibles et peuvent être facilement compromis.
En second lieu, les mots de passe doivent contenir des caractères spéciaux. Les pirates savent que les utilisateurs utilisent rarement des caractères spéciaux dans leurs mots de passe. Ainsi, les attaquants n’utiliseront souvent pas de caractères spéciaux lors de tentative d’attaque par force brute ou vont utiliser des rainbow tables pour pirater les mots de passe. L'inclusion d'un caractère spécial dans un mot de passe permet d'éviter que ces technologies de craquage des mots de passe ne fonctionnent.
Troisièmement, les utilisateurs ne devraient pas être autorisés à inclure des mots du dictionnaire dans leurs mots de passe. Presque tous les outils de craquage des mots de passe ont la capacité d'importer des dictionnaires comme base pour générer des mots de passe. Ce genre de solution étant facilement accessible, il est crucial d'avoir une mesure de sécurité simple pour garantir que les mots de passe nouvellement créés ne contiennent pas de mots qui sont dans ces dictionnaires. Avec cette mesure simple, l'utilisation de dictionnaires pour casser les mots de passe ne sera plus possible.
Chaque nouvelle fonctionnalité, technologie ou concept qui est mis en œuvre pour améliorer la composition globale de vos mots de passe permet de sécuriser chaque mot de passe créé. Nous devons rester en avance sur les attaquants. Ces petits conseils peuvent augmenter considérablement la sécurité de vos mots de passe.