Gérer les identifiants côté défense face aux techniques vues côté audit

Vous avez passé ce chapitre du côté de l'attaquant : hachages, dictionnaires, force brute, rejeu. Cette dernière leçon change délibérément de perspective pour conclure le chapitre là où un testeur doit toujours finir : la recommandation. Comment une organisation structure-t-elle la gestion de ses identifiants pour rendre toutes ces techniques les plus difficiles possible ?

Pourquoi conclure par la défense

Un bon testeur ne se contente jamais de « casser » : sa valeur professionnelle tient dans sa capacité à transformer chaque technique d'attaque en une recommandation concrète et priorisée. Cette leçon synthétise les quatre leçons précédentes du chapitre sous cet angle, et prépare le terrain du chapitre suivant, consacré à la post-exploitation.

Une politique de mots de passe fondée sur des preuves, pas des habitudes

Pendant longtemps, la recommandation standard imposait une complexité artificielle (majuscule, chiffre, caractère spécial) et un renouvellement fréquent. Les recherches et recommandations récentes, notamment celles de référentiels reconnus comme ceux du NIST (nist.gov), ont nuancé cette approche :

• La longueur prime sur la complexité artificielle : un mot de passe long, même simple en apparence, résiste mieux à la force brute qu'un mot de passe court truffé de caractères spéciaux difficiles à retenir ;
• Le renouvellement forcé et trop fréquent pousse souvent les utilisateurs vers des variations prévisibles d'un même mot de passe, ce qui peut affaiblir la sécurité réelle plutôt que la renforcer ;
• La vérification face à des listes de mots de passe déjà compromis (issus de fuites publiques connues) est plus efficace qu'une règle de complexité arbitraire, car elle empêche directement la réutilisation de mots de passe déjà exposés ;
• Un gestionnaire de mots de passe, déjà recommandé dans le premier cours du parcours, reste la meilleure réponse pratique pour générer et retenir des mots de passe longs et uniques par service.

Récapitulatif des défenses techniques vues ce chapitre

Ce tableau illustre un principe central : il n'existe pas une seule défense, mais une accumulation de couches, chacune réduisant un risque particulier. C'est exactement la logique de défense en profondeur évoquée au chapitre précédent.

L'authentification à deux facteurs comme filet de sécurité

Parmi toutes les mesures vues, l'authentification à deux facteurs (déjà présentée dans le premier cours du parcours) mérite une mention particulière dans ce contexte : elle reste efficace même quand un mot de passe est compromis, deviné ou retrouvé par credential stuffing, car elle exige une seconde preuve que l'attaquant ne possède généralement pas. Elle ne protège cependant pas contre toutes les techniques vues ici (notamment pas directement contre le pass-the-hash sur certains systèmes internes), ce qui confirme qu'aucune mesure isolée ne suffit.

Du côté de la gestion des accès : le principe du moindre privilège, version identifiants

Au-delà du mot de passe lui-même, la gestion des accès détermine l'impact réel d'une compromission d'identifiants :

• Un compte ne devrait avoir accès qu'à ce qui est strictement nécessaire à sa fonction (principe déjà vu dans le premier cours, appliqué ici aux comptes techniques et administratifs) ;
• Les comptes à privilèges élevés devraient être distincts des comptes d'usage quotidien, pour qu'un hameçonnage réussi sur un usage courant ne donne pas directement les clés du système entier ;
• La révocation rapide des accès (départ d'un employé, changement de fonction, suspicion de compromission) doit être un processus fiable et testé, pas une formalité oubliée ;
• Les journaux d'authentification doivent être conservés et surveillés, pour détecter des connexions inhabituelles (heure, lieu, volume).

Comment un rapport de pentest présente ce chapitre

Dans un rapport final (que vous apprendrez à structurer au chapitre 7), la section consacrée aux identifiants rassemble typiquement : les constats techniques (algorithme de hachage, présence de salage, comportement du formulaire face aux tentatives répétées), les constats organisationnels (comptes partagés, absence de deuxième facteur), une évaluation de gravité selon le contexte réel du client, et des recommandations hiérarchisées, des plus urgentes aux plus structurelles. Une bonne pratique consiste à toujours relier chaque recommandation à un impact concret plutôt qu'à une règle abstraite : « ce changement empêcherait tel scénario d'attaque observé » est plus convaincant que « c'est la bonne pratique ».

À vous de jouer : rédiger une synthèse priorisée

Dans votre carnet de mission, pour la société fictive Verdelune, rédigez une synthèse de trois recommandations sur les identifiants, classées de la plus urgente à la plus structurelle, en vous appuyant sur les constats que vous auriez pu faire dans les leçons précédentes (formulaire sans protection, hachage potentiellement non salé, compte administrateur réutilisé). Pour chacune, précisez en une phrase l'impact qu'elle traite concrètement.

Les identifiants étant traités, le chapitre suivant explore ce qui se passe une fois qu'un accès a été obtenu : la post-exploitation, avec l'élévation de privilèges, la persistance et le mouvement latéral.