Projet

Général

Profil

Fonctionnalité #7659

EXPLOIT - Règles gestion et création des mots de passe

Ajouté par Emmanuel DILLARD il y a presque 6 ans. Mis à jour il y a presque 3 ans.

Statut:
R&D - Terminé
Priorité:
1-Majeur
Assigné à:
Version cible:
Début:
25/04/2018
Echéance:
Version applicable MC:
Tags Courrier:
17.06.14

Description

SGAMI 01 / 2018 - ADMIN - Cycle de vie des mots de passe

En tant que :

Exploitant

Je souhaite :

formaliser et sécurisé la gestion des mots de passe des utilisateurs

afin de :

me conformer à la règlementation définie par l'ANSSI (Agence nationale de la sécurité des systèmes d'information)

Recommandations :

longueur (null à 32 caractères)
complexité (null à mélange de caractères alphanumérique majuscule / minuscule /
chiffre / caractère spéciaux)
cycle de changement (null à XX jours)
historique (null à mémoire des XX derniers mots de passe)

NP_MDP_NoteTech.pdf (869 ko) NP_MDP_NoteTech.pdf ANSSI - Note technique Emmanuel DILLARD, 25/04/2018 12:13

Historique

#2 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • Statut changé de R&D - A planifier à 17
  • Assigné à changé de Emmanuel DILLARD à Laurent GIOVANNONI

#3 Mis à jour par Laurent GIOVANNONI il y a presque 6 ans

Vu avec le SGAMI, ils ne souhaitent pas que l'on fasse la modif pour la gestion des tokens -> garder cette idée pour une autre US qui me semble indispensable pour l'avenir.

On garde ici uniquement la complexité des mots de passe et l'adaptation suivante pour le mode de connexion LDAP :

lors d'une tentative de connexion LDAP réussie, il faut sauvegarder le mot de passe dans la base Maarch.

Si le serveur ldap n'est pas disponible -> timeout alors il faut basculer automatiquement dans le mode de connexion classique et donc vérifier le mot de passe saisi dans la base de données.

Cette US est à faire à partir de la 17.06 car audit prévu très vite par l'ANSSI.

#4 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • Priorité changé de 2-Sérieux à 1-Majeur

#5 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • Sujet changé de EXPLOIT - Règles gestion et création des mots de passe (SGAMI) à EXPLOIT - Règles gestion et création des mots de passe
  • Statut changé de 17 à R&D - A planifier

Critères ANSSI (Document joint)

– une longueur minimale obligatoire prédéfinie ;
– l’impossibilité de réutiliser les n derniers mots de passe ;
– le nombre de tentatives possibles avant verrouillage de compte ;
– la manière de déverrouiller un compte qui a été bloqué. Pour éviter les dénis de service liés au
blocage de tous les comptes sur un système d’information, il peut être intéressant que le déblocage
des comptes se fasse de manière automatique après un certain délai ;
– la mise en place d’une veille automatique avec un déblocage par saisie du mot de passe.

et

Les mots de passe doivent avoir une date de validité maximale

#6 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • Version cible mis à 17.06

#7 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • longueur paramétrable : 8 à 90 caractères
  • complexité :
    présence de majuscules ET de minuscules
    présence de caractères spéciaux ou symboles

  • Impossibilité de réutiliser les derniers mots de passe : 1 à 3 derniers

  • Nombre de tentatives infructueuses avant blocage du compte : 3 à 10

  • déblocage automatique après n heures : de 1 à 48

Évaluation affichée de la force du mot de passe (règles ANSSI ci-dessous)

Voir le calculateur ANSSI sur la force des mots de passe : https://www.ssi.gouv.fr/administration/precautions-elementaires/calculer-la-force-dun-mot-de-passe

#8 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • Priorité changé de 1-Majeur à 2-Sérieux

#9 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • Priorité changé de 2-Sérieux à 3-Mineur

#10 Mis à jour par Emmanuel DILLARD il y a presque 6 ans

  • Statut changé de R&D - A planifier à En cours d'écriture PO

#11 Mis à jour par Emmanuel DILLARD il y a plus de 5 ans

  • Statut changé de En cours d'écriture PO à R&D - A planifier
  • Priorité changé de 3-Mineur à 1-Majeur

#12 Mis à jour par Emmanuel DILLARD il y a plus de 5 ans

Livrables :

• Document technique de maintien en condition opérationnel ;
• Document fonctionnel de l’utilisation de l’évolution ;
• Procédure de déploiement et de configuration ;
• L’ensemble du code et fichiers de configuration composant l’outil.
• Liste des cas de tests et résultats ayant permis la validation de recette usine.

#13 Mis à jour par Emmanuel DILLARD il y a plus de 5 ans

Notes LGI :

doc

panneau admins
controle mdp sur update
historisation des mdp
verrouillage du compte au bout de x tentatives -> gel pendant n minutes (suivi recommandation ANSSI)

#14 Mis à jour par Emmanuel DILLARD il y a plus de 5 ans

  • Projet changé de Backlog à CURRENT SPRINT
  • Statut changé de R&D - A planifier à R&D - En cours
  • Assigné à changé de Laurent GIOVANNONI à Emmanuel DILLARD
  • Version cible changé de 17.06 à 18.10 (support sécurité)

#15 Mis à jour par Emmanuel DILLARD il y a plus de 5 ans

  • Statut changé de R&D - En cours à R&D - Terminé

#16 Mis à jour par Emmanuel DILLARD il y a plus de 5 ans

  • Tags Courrier 17.06.14 ajouté

#17 Mis à jour par Emmanuel DILLARD il y a plus de 5 ans

  • Projet changé de CURRENT SPRINT à Backlog

#19 Mis à jour par Emmanuel DILLARD il y a presque 3 ans

  • Projet changé de Backlog à Backlog Courrier
  • Version cible changé de 18.10 (support sécurité) à 18.10 (Fin de vie)

Formats disponibles : Atom PDF