Un rapport r\u00e9cent a r\u00e9v\u00e9l\u00e9 que le fournisseur de commerce \u00e9lectronique Shopify utilise des politiques de mot de passe particuli\u00e8rement faibles sur la partie de son site Web destin\u00e9e aux clients. Selon le rapport, Shopify demande \u00e0 ses clients d’utiliser un mot de passe d’au moins cinq caract\u00e8res et qui ne commence ni ne se termine par un espace. <\/p>\n
Selon le rapport, les chercheurs de Specops ont analys\u00e9 une liste d’un milliard de mots de passe connus pour avoir \u00e9t\u00e9 pirat\u00e9s et ont constat\u00e9 que 99,7 % de ces mots de passe respectent les exigences de Shopify. Bien que cela ne signifie pas que les mots de passe des clients Shopify ont \u00e9t\u00e9 pirat\u00e9s, le fait qu’un si grand nombre de mots de passe pirat\u00e9s connus respectent les exigences minimales de Shopify en mati\u00e8re de mot de passe souligne les dangers associ\u00e9s \u00e0 l’utilisation de mots de passe faibles.<\/p>\n
Le danger des mots de passe faibles dans votre Active Directory <\/h2>\n
Une \u00e9tude r\u00e9cente de Hive Systems<\/a> fait \u00e9cho aux dangers de l’utilisation de mots de passe faibles. L’\u00e9tude examine le temps qu’il faudrait pour forcer brutalement des mots de passe de diff\u00e9rentes longueurs et avec diff\u00e9rents niveaux de complexit\u00e9. Selon l’infographie de Hive Systems, un mot de passe \u00e0 cinq caract\u00e8res peut \u00eatre d\u00e9chiffr\u00e9 instantan\u00e9ment, quelle que soit sa complexit\u00e9. \u00c9tant donn\u00e9 la facilit\u00e9 avec laquelle des mots de passe plus courts peuvent \u00eatre d\u00e9chiffr\u00e9s par la force brute, les organisations devraient id\u00e9alement exiger des mots de passe complexes d’au moins 12 caract\u00e8res.<\/p>\n M\u00eame si vous deviez mettre de c\u00f4t\u00e9 les implications de s\u00e9curit\u00e9 associ\u00e9es \u00e0 l’utilisation d’un mot de passe \u00e0 cinq caract\u00e8res, il existe un probl\u00e8me potentiellement plus important : la conformit\u00e9 r\u00e9glementaire.<\/p>\n Il est tentant de penser que la conformit\u00e9 r\u00e9glementaire est le genre de chose dont seules les grandes entreprises doivent se soucier. En tant que tel, de nombreux petits vendeurs ind\u00e9pendants qui ouvrent des comptes Shopify peuvent parfaitement ignorer les exigences r\u00e9glementaires qui y sont associ\u00e9es. Cependant, l’industrie des cartes de paiement exige que toute entreprise qui accepte les paiements par carte de cr\u00e9dit respecter les normes de s\u00e9curit\u00e9 PCI officielles<\/a>. <\/p>\n L’un des avantages de l’utilisation de Shopify ou d’une plate-forme de commerce \u00e9lectronique similaire est que les d\u00e9taillants n’ont pas \u00e0 exploiter leurs propres passerelles de cartes de paiement. Au lieu de cela, Shopify g\u00e8re le traitement des transactions au nom de son client. Cette externalisation du processus de paiement prot\u00e8ge les propri\u00e9taires d’entreprises de commerce \u00e9lectronique de bon nombre des exigences PCI. <\/p>\n Par exemple, les normes PCI exigent des commer\u00e7ants qu’ils prot\u00e8gent les donn\u00e9es stock\u00e9es du titulaire de la carte. Cependant, lorsqu’une entreprise de commerce \u00e9lectronique externalise son traitement des paiements, elle ne sera g\u00e9n\u00e9ralement pas en possession des donn\u00e9es de carte de cr\u00e9dit du client. En tant que tel, le propri\u00e9taire de l’entreprise peut efficacement \u00e9viter l’obligation de prot\u00e9ger les donn\u00e9es du titulaire de carte s’il n’est jamais en possession de ces donn\u00e9es en premier lieu.<\/p>\n Cependant, une exigence PCI qui pourrait \u00eatre plus probl\u00e9matique est l’exigence d’identifier et d’authentifier l’acc\u00e8s aux composants du syst\u00e8me<\/a> (Exigence 8). Bien que les normes de s\u00e9curit\u00e9 PCI ne sp\u00e9cifient pas de longueur de mot de passe requise, le Guide de r\u00e9f\u00e9rence rapide PCI DSS indique \u00e0 la page 19 que “Chaque utilisateur doit avoir un mot de passe fort pour l’authentification.” Compte tenu de cette d\u00e9claration, il serait difficile pour un d\u00e9taillant de commerce \u00e9lectronique de justifier l’utilisation d’un mot de passe \u00e0 cinq caract\u00e8res.<\/p>\n Ceci, bien s\u00fbr, soul\u00e8ve la question de savoir ce que les entreprises de commerce \u00e9lectronique peuvent faire pour am\u00e9liorer la s\u00e9curit\u00e9 globale de leur mot de passe. La recommandation la plus critique serait peut-\u00eatre de reconna\u00eetre que les exigences minimales en mati\u00e8re de mot de passe associ\u00e9es \u00e0 un portail de commerce \u00e9lectronique pourraient \u00eatre inad\u00e9quates. Du point de vue de la s\u00e9curit\u00e9 et de la conformit\u00e9, il est g\u00e9n\u00e9ralement conseill\u00e9 d’utiliser un mot de passe plus long et plus complexe que le minimum requis.<\/p>\n Une autre chose que les d\u00e9taillants de commerce \u00e9lectronique devraient faire est d’examiner s\u00e9rieusement ce qui peut \u00eatre fait pour am\u00e9liorer la s\u00e9curit\u00e9 des mots de passe sur leurs propres r\u00e9seaux. Cela est particuli\u00e8rement vrai si des donn\u00e9es client sont stock\u00e9es ou trait\u00e9es sur votre r\u00e9seau. Selon une \u00e9tude de 2019<\/a>, 60\u00a0% des petites entreprises ferment leurs portes dans les 6\u00a0mois suivant le piratage. En tant que tel, il est extr\u00eamement important de faire ce que vous pouvez pour pr\u00e9venir un incident de s\u00e9curit\u00e9 et une grande partie de cela implique de vous assurer que vos mots de passe sont s\u00e9curis\u00e9s. <\/p>\n Le syst\u00e8me d’exploitation Windows contient des param\u00e8tres de strat\u00e9gie de compte qui peuvent contr\u00f4ler la longueur du mot de passe et les exigences de complexit\u00e9. Bien que ces contr\u00f4les soient ind\u00e9niablement importants, la politique de mot de passe Specops peut aider les organisations \u00e0 cr\u00e9er des politiques de mot de passe encore plus solides que ce qui est possible en utilisant uniquement les outils natifs int\u00e9gr\u00e9s \u00e0 Windows.<\/p>\n L’une des fonctionnalit\u00e9s les plus convaincantes offertes par Specops Password Policy est sa capacit\u00e9 \u00e0 comparer les mots de passe utilis\u00e9s au sein d’une organisation \u00e0 une base de donn\u00e9es de milliards de mots de passe connus pour avoir \u00e9t\u00e9 compromis. Ainsi, s’il s’av\u00e8re qu’un utilisateur utilise un mot de passe compromis, le mot de passe peut \u00eatre modifi\u00e9 avant qu’il ne devienne un probl\u00e8me.<\/p>\n La politique de mot de passe Specops permet \u00e9galement aux organisations de cr\u00e9er une liste de mots ou d’expressions interdits qui ne doivent pas \u00eatre inclus dans les mots de passe. Par exemple, un administrateur peut cr\u00e9er une strat\u00e9gie pour emp\u00eacher les utilisateurs d’utiliser le nom de votre soci\u00e9t\u00e9 dans leur mot de passe. <\/p>\n De plus, les organisations peuvent utiliser Specops Password Policy pour bloquer les techniques que les utilisateurs utilisent couramment pour contourner les exigences de complexit\u00e9 des mots de passe. Cela peut inclure l’utilisation de caract\u00e8res r\u00e9p\u00e9t\u00e9s cons\u00e9cutifs (tels que 99999) ou le remplacement de lettres par des symboles similaires (tels que $ au lieu de s). <\/p>\n En fin de compte, la politique de mot de passe Specops peut aider votre organisation \u00e0 cr\u00e9er une politique de mot de passe beaucoup plus s\u00e9curis\u00e9e, ce qui rend plus difficile pour les cybercriminels l’acc\u00e8s \u00e0 vos comptes d’utilisateurs. Vous pouvez tester gratuitement la politique de mot de passe Specops dans votre Active Directory, \u00e0 tout moment. <\/p>\n <\/p>\n<\/div>\n\u00c9viter les exigences PCI avec un syst\u00e8me de paiement tiers <\/h2>\n
Commencez \u00e0 renforcer la s\u00e9curit\u00e9 informatique en interne <\/h2>\n