Mots de passe : la Cnil face à la barrière de la langue

Pas encore d'outils en français. Cet écueil, la Cnil s'y retrouve confrontée dans le cadre de la mise à jour de sa recommandation sur les mots de passe.

L'autorité avait soumis son projet à consultation publique en fin d'année dernière. Sur le fond, pas d'évolution prévue par rapport à la version précédente, adoptée en 2017 : il s'agissait toujours de fixer, dans le cadre des traitements de données personnelles, des modalités techniques minimales pour l'authentification basée sur des mots de passe. La notion d'entropie - exemplifiée ci-dessous - faisait toutefois son entrée, élargissant le champ des possibles.

(Cliquer pour agrandir.)

(Cliquer pour agrandir.)

La version définitive établit effectivement l'entropie comme la référence pour évaluer la robustesse d'un mot de passe. Elle mentionne toutefois une approche alternative. En l'occurrence, la « devinabilité ». Qui consiste à évaluer, par algorithme, la facilité qu'un adversaire aurait à trouver un mot de passe donné.

La littérature sur le sujet recommande une résistance minimale aux attaques de 10¹⁴ essais, explique la Cnil. Problème, ajoute-t-elle : les outils pour mettre en oeuvre la vérification « ne sont pas encore disponibles pour des utilisateurs francophones »...

L'option « mot de passe + information complémentaire » n'est plus recommandée

Autre modification par rapport au projet : la réduction du nombre de cas pris en considération. Initialement, la Cnil comptait maintenir les quatre déjà présents dans la recommandation de 2017. À savoir :

- Mot de passe seul
- Accompagné d'une mesure de restriction d'accès en cas d'échecs répétés d'authentification
- Associé à une information complémentaire que communique le responsable de traitement
- Authentification impliquant un matériel que détient la personne concernée

Actualisée, la recommandation abandonne la troisième de ces options. Qui imposait, dans les grandes lignes, une entropie de 27 bits pour le mot de passe et 23 bits pour l'information supplémentaire, générée aléatoirement.

Pour les autres options, on en reste à ce qu'avait proposé la Cnil. C'est-à-dire, pour le mot de passe seul, 80 bits. Ou 50 bits si associé à une mesure de restriction d'accès (voir notre article précédent pour les détails de mise en oeuvre de cette restriction). Ou 13 bits en cas d'utilisation d'un appareil détenu par l'utilisateur.

Ne pas recommander que... ou recommander que ne pas ?

D'autres dispositions ont fait leur entrée à l'issue de la consultation publique. L'une d'entre elles concerne l'authentification sur une page web. Il est recommandé que ladite page ne contienne pas de code réalisant des appels externes. Objectif : limiter les vecteurs d'attaque pouvant occasionner la compromission des mots de passe.

Autre précision : dans les champs de saisie, les caractères ne doivent pas être visibles par défaut (on pourra les représenter par un caractère neutre tel qu'un point ou une étoile). En outre, en cas d'échec, le message affiché ne devrait pas fournir d'information susceptible d'aider un attaquant potentiel.

Sur la partie conservation, pas d'évolution, par rapport au projet, concernant le chiffrement préalable des mots de passe et l'ajout d'un sel. Il y a du nouveau, en revanche, sur les protocoles de type PAKE (Password Authenticated Key Exchange). La Cnil conseille leur mise en oeuvre pour garantir la vérification des mots de passe sans qu'ils soient transmis en clair au serveur.
Le cas particulier des mots de passe stockés dans une application fait aussi l'objet d'une disposition nouvelle. De manière générale, leur stockage devrait être limité aux apps de gestion de mots de passe. Il s'effectuera sous forme chiffrée, avec un mécanisme de déverrouillage, par exemple via une phrase de passe maître. Dans les autres cas, on privilégiera un jeton à durée de vie limitée et révocable à tout moment.

Au sortir de la phase de consultation publique, la Cnil a aussi apporté des précisions sur les modalités de changement des mots de passe. Ou plutôt, elle a retravaillé son langage.

Auparavant :

La Commission ne recommande pas que le responsable de traitement veille à imposer un renouvellement des mots de passe de l'ensemble de ses utilisateurs.

Désormais :

Les responsables de traitement ne devraient plus imposer une modification périodique des mots de passe à l'ensemble de leurs utilisateurs.

Demeure une exception, entérinée pour l'occasion : la nécessité de modification périodique pour les comptes d'administration.

Illustration principale © anttoniart - Adobe Stock