Réinitialisation de mot de passe en libre-service : pratique pour vous, pratique pour l'attaquant
Le libre-service de réinitialisation de mot de passe (SSPR) réduit fortement la charge du support. Mais tout mécanisme qui permet de changer un mot de passe sans connaître l'ancien est, par construction, une cible. Sa robustesse dépend entièrement des méthodes de vérification que vous autorisez.
Le SSPR, un vecteur de prise de contrôle
Un attaquant qui contrôle l'une des méthodes de vérification d'un utilisateur peut réinitialiser son mot de passe. Les scénarios connus sont simples : échange frauduleux de carte SIM pour intercepter un SMS, compromission de l'adresse e-mail personnelle déclarée comme méthode de secours, ou réponses à des questions de sécurité trouvées sur les réseaux sociaux. Une fois le mot de passe changé, il ne reste souvent que l'authentification multifacteur entre l'attaquant et le compte, et parfois ce sont les mêmes méthodes.
Choisir les méthodes autorisées
Toutes les méthodes ne se valent pas :
| Méthode | Appréciation |
|---|---|
| Notification ou code Microsoft Authenticator | À privilégier |
| SMS, appel vocal | Acceptable en complément, exposé au SIM swapping |
| E-mail secondaire | Dépend de la sécurité d'une boîte hors de votre contrôle |
| Questions de sécurité | À éviter |
Exigez deux méthodes pour réinitialiser, et activez la reconfirmation périodique des informations d'inscription. Les questions de sécurité reposent sur des informations souvent publiques ou devinables ; Microsoft ne les autorise d'ailleurs pas pour les rôles administrateurs.
La stratégie spécifique aux administrateurs
Les comptes disposant d'un rôle d'administration sont soumis à une stratégie SSPR distincte, gérée par Microsoft : elle est activée par défaut et impose deux méthodes robustes. Beaucoup d'organisations l'ignorent. Si vos administrateurs ne doivent pas pouvoir réinitialiser eux-mêmes leur mot de passe, cette stratégie peut être désactivée via Microsoft Graph ; dans le cas contraire, assurez-vous que leurs méthodes enregistrées sont solides.
À vérifier. Microsoft a engagé la migration des méthodes SSPR et MFA héritées vers la stratégie unifiée des méthodes d'authentification. Contrôlez que vos réglages y sont bien reportés et qu'aucune méthode faible n'y reste activée par défaut.
Protéger l'inscription et la réécriture
La faiblesse se situe souvent au moment de l'inscription : si un attaquant peut enregistrer ses propres méthodes avec un mot de passe volé, le SSPR lui appartient. Une stratégie d'accès conditionnel ciblant l'action « Inscrire les informations de sécurité » (depuis un réseau de confiance ou un appareil conforme, par exemple) limite ce risque, et un Temporary Access Pass facilite l'intégration des nouveaux arrivants.
En environnement hybride, la réécriture du mot de passe via Entra Connect ou Cloud Sync propage le changement vers Active Directory. C'est pratique, mais cela signifie qu'une réinitialisation cloud frauduleuse donne aussi accès aux ressources locales. Le compte de synchronisation doit disposer des seules permissions nécessaires sur les unités d'organisation concernées.
Ce qu'un audit vérifie
- le nombre de méthodes exigées et l'absence de questions de sécurité ;
- l'état de la stratégie SSPR administrateur ;
- la protection de l'inscription des informations de sécurité par l'accès conditionnel ;
- les notifications aux utilisateurs et aux administrateurs lors d'une réinitialisation ;
- le périmètre des permissions de réécriture dans Active Directory.