Politique de mot de passe du domaine : privilégier la longueur, repenser le verrouillage
Beaucoup de domaines appliquent encore une politique de mot de passe héritée des années 2000 : huit caractères, complexité obligatoire, changement tous les trois mois. Ces règles produisent des mots de passe prévisibles et n'arrêtent pas les attaques actuelles. Les recommandations de l'ANSSI et du NIST ont évolué ; la configuration du domaine doit suivre.
Où se trouve la politique du domaine
La politique de mot de passe des comptes du domaine est définie par la stratégie de groupe liée à la racine du domaine, en pratique la « Default Domain Policy ». Une seule politique s'applique ainsi à l'ensemble des comptes du domaine ; les paramètres de mot de passe définis dans des GPO liées à des OU ne concernent que les comptes locaux des machines. Pour appliquer des règles différentes à certaines populations, il faut utiliser les stratégies de mot de passe affinées (objets PSO), rattachées à des groupes ou à des utilisateurs et gérées depuis le Centre d'administration Active Directory.
La longueur avant la complexité
Les recommandations actuelles convergent : la longueur est le facteur qui compte le plus. Une exigence de complexité (majuscule, minuscule, chiffre, caractère spécial) sur un mot de passe court produit des schémas connus de tous, comme un mot du dictionnaire suivi d'une année et d'un point d'exclamation. Une phrase de passe longue, composée de plusieurs mots, est à la fois plus facile à retenir et beaucoup plus coûteuse à deviner.
Les orientations à retenir :
- augmenter nettement la longueur minimale, en particulier pour les comptes privilégiés et les comptes de service qui ne peuvent pas être des gMSA ;
- encourager les phrases de passe plutôt que les mots de passe complexes ;
- abandonner le changement périodique systématique au profit d'un changement en cas de suspicion de compromission, comme le recommande le NIST ;
- refuser les mots de passe connus, divulgués ou liés à l'organisation (nom de l'entreprise, saison, ville).
Les valeurs exactes dépendent du niveau de sensibilité et des autres mesures en place (authentification multifacteur, surveillance). Référez-vous aux versions en vigueur des guides de l'ANSSI et de la publication NIST SP 800-63B plutôt qu'à des chiffres recopiés d'une ancienne note interne.
Point technique : l'interface de stratégie de groupe limitait historiquement la longueur minimale à 14 caractères. Les versions récentes de Windows Server proposent un paramètre permettant d'assouplir cette limite ; vérifiez sa prise en charge sur l'ensemble des contrôleurs de domaine avant de l'utiliser. Les PSO n'ont pas cette limite.
Bloquer les mots de passe faibles
La complexité ne détecte pas « Entreprise2024! ». Une liste de mots de passe interdits, en revanche, le peut. Microsoft Entra Password Protection étend la liste globale de Microsoft et une liste personnalisée aux contrôleurs de domaine locaux, grâce à un agent qui vérifie chaque changement de mot de passe. Pour en tirer parti, il faut déployer l'agent sur tous les DC et passer du mode audit au mode application après une période d'observation.
Le verrouillage face à la pulvérisation
Le verrouillage de compte protège contre la force brute ciblée : de nombreux essais sur un même compte. Il est inefficace contre la pulvérisation de mots de passe, qui consiste à essayer un petit nombre de mots de passe très courants sur un grand nombre de comptes, en restant sous le seuil. Abaisser fortement le seuil n'y change rien et ouvre la porte à des dénis de service : un attaquant, ou un script mal configuré, peut verrouiller des milliers de comptes.
| Paramètre | Rôle | Point d'attention |
|---|---|---|
| Seuil de verrouillage du compte | nombre d'échecs avant verrouillage | trop bas : déni de service ; zéro : aucune protection contre la force brute |
| Durée de verrouillage du compte | durée pendant laquelle le compte reste verrouillé | un déverrouillage automatique limite la charge du support |
| Réinitialiser le compteur de verrouillages après | fenêtre d'observation des échecs | doit être cohérente avec la durée de verrouillage |
La réponse à la pulvérisation passe surtout par des mots de passe difficiles à deviner, une liste de mots de passe interdits et la détection des échecs répartis sur de nombreux comptes (événements 4625 et 4771, ou Defender for Identity).
À ne jamais activer. Le paramètre « Enregistrer les mots de passe en utilisant un chiffrement réversible » doit rester désactivé dans la politique du domaine comme dans les PSO. S'il a été activé par le passé, les comptes concernés doivent changer de mot de passe après sa désactivation.
Ce qu'un audit vérifie
- les paramètres effectifs de la Default Domain Policy et des PSO, ainsi que leurs cibles ;
- la longueur minimale appliquée aux comptes privilégiés et aux comptes de service ;
- la présence d'une liste de mots de passe interdits et son mode de fonctionnement ;
- la cohérence du seuil et de la durée de verrouillage ;
- les comptes dont le mot de passe n'expire jamais, n'est pas requis ou n'a pas été changé depuis longtemps.