Dans un contexte de multiplication des compromissions de bases de mots de passe, la CNIL met à jour sa recommandation de 2017 pour tenir compte de l’évolution des connaissances et permettre aux organismes de garantir un niveau de sécurité minimal pour cette méthode d’authentification.

Une actualisation nécessaire

Des menaces accrues sur la sécurité des données

Basée sur la connaissance d’un secret, l’authentification par mots de passe est le moyen le plus simple et le moins coûteux à déployer pour contrôler un accès, et éventuellement prouver son identité. Toutefois, cette méthode d’authentification présente un niveau de sécurité faible bien que généralement acceptable. Les solutions d’authentification forte ou à plusieurs facteurs fournissent une meilleure protection, et sont nécessaires dans certains cas.

En pratique, l’accès à de nombreux services numériques continue de reposer sur l’utilisation de mots de passe. D’après une étude de Verizon de 2021, 81 % des notifications de violations de données mondiales seraient liées à une problématique de mots de passe. En France, environ 60 % des notifications reçues par la CNIL depuis le début de l’année 2021 sont liées à du piratage et un grand nombre aurait pu être évité par le respect de bonnes pratiques en matière de mots de passe.

C’est pourquoi, dans un contexte de menace accrue sur la sécurité des données, la CNIL a mis à jour sa recommandation de 2017 sur les mots de passe afin de permettre aux professionnels et aux particuliers de disposer d’outils pratiques et à l’état de l’art.

En effet, au cours des quatre dernières années, les précédentes recommandations de la CNIL ont été a de multiples reprises confrontées à des situations d’usage concrètes et éprouvées par un grand nombre de professionnels. La CNIL a donc disposé d’un recul suffisant lui permettant de renouveler ses recommandations, en redéfinissant les mesures de base constituant le socle minimal applicable à l’ensemble des organismes afin de prendre en compte l’évolution des connaissances et des pratiques.

Cette recommandation n’est pas une norme mais correspond à l’état de l’art sur lequel tout responsable de traitement peut s’appuyer dans le cadre des obligations prévues aux articles 5-1-f) et 32 du règlement général sur la protection des données (RGPD) lorsqu’il utilise une authentification par mot de passe pour protéger un traitement de données personnelles. Les acteurs peuvent également mettre en œuvre d’autres mesures de sécurité que celles décrites dans cette recommandation ; dans ce cas, ils devront être en capacité de démontrer qu’elles garantissent un niveau de sécurité au moins équivalent.

Les autres mesures de sécurité à mettre en place

La CNIL a notamment toujours considéré que d'autres moyens d’authentification, comme par exemple l'authentification à double facteur ou les certificats électroniques, offrent davantage de sécurité que le mot de passe. Pour aller plus loin et, notamment, si le niveau minimal décrit est insuffisant, cette recommandation sera utilement complétée par le guide de l’ANSSI « Recommandations relatives à l’authentification multifacteur et aux mots de passe », pour lequel la CNIL a élaboré un tableau de correspondance entre les recommandations.

De plus, si des opérations relatives à la gestion des mots de passe sont confiées, pour tout ou partie, à un sous-traitant, il est nécessaire de s’assurer du respect des conditions posées à l’article 28 du RGPD. Dans ces cas de figure, les rôles et responsabilités doivent être précisément définis et formalisés, le niveau de sécurité requis et les objectifs de sécurité assignés au sous-traitant clairement définis, compte tenu de la nature du traitement et des risques qu’il est susceptible d’engendrer. En particulier, la répartition de mise en œuvre des différents éléments de la recommandation devrait être formalisée.

Enfin, si les simples éditeurs de logiciels ne sont pas soumis au cadre juridique relatif à la protection des données, les utilisateurs doivent se mettre en conformité. En ce sens, la documentation des logiciels de gestion de mots de passe précise de façon détaillée les modalités de génération, stockage et transmission des mots de passe.

Quels sont les risques liés à une mauvaise gestion des mots de passe ?

Pour rappel, une mauvaise gestion des mots de passe fait courir des risques aux utilisateurs sur leurs données personnelles.

Quatre facteurs de risque sont à prendre en compte :

1. la simplicité du mot de passe ;
2. l’écoute sur le réseau afin de collecter les mots de passe transmis ;
3. la conservation en clair du mot de passe ;
4. la faiblesse des modalités de renouvellement du mot de passe en cas d’oubli (cas des questions « secrètes »).

Il n’existe pas de définition universelle d’un bon mot de passe mais il faut qu’il soit difficile à deviner. Pour cela, on peut jouer sur sa complexité et sa longueur pour diminuer le risque de réussite d’une attaque informatique qui consisterait à tester successivement de nombreux mots de passe (attaque dite par force brute).

Évolutions de la recommandation depuis 2017

Par rapport à la précédente recommandation de 2017, la nouvelle recommandation apporte notamment les modifications suivantes :

• Les recommandations visent le degré de complexité du mot de passe (l’entropie) et non une longueur minimale, afin d’offrir plus de liberté dans la définition de politiques de mots de passe robustes et adaptées aux cas d’usage.
• Le retrait du cas d’usage reposant sur une information secrète comme mesure permettant de baisser les exigences de sécurité sur le mot de passe (cas 3 de la recommandation de 2017).
• L’abandon de l’obligation de renouvellement des mots de passe pour les comptes utilisateurs classiques (le renouvellement reste requis pour les comptes à « privilèges », c’est-à-dire du type administrateur ou avec des droits étendus).
• L'introduction d’une liste de mots de passe complexes mais connus et donc à éviter compte tenu des nouveaux schémas d’attaque.
• Des précisions sur les règles concernant la création et le renouvellement de mots de passe pour garantir un niveau de sécurité constant tout au long du cycle de vie du mot de passe, sous la forme de bonnes pratiques (gestionnaire de mot de passe, non recours à des informations évidentes).

Des contributions précieuses des professionnels et du grand public

La CNIL avait lancé, en octobre 2021, une consultation publique sur son projet de nouvelle recommandation sur les mots de passe.

Les réponses reçues, d’une grande qualité, ont confirmé les grandes orientations du projet, qui était considéré comme pertinent (pour 96 % des répondants). Le niveau de sécurité proposé a également été considéré comme satisfaisant pour 84,3 % des répondants.

Les retours ont surtout permis de clarifier et d’expliciter les recommandations de la CNIL mais aussi de compléter le projet avec des bonnes pratiques supplémentaires. Enfin, ils ont amené la CNIL à ne plus recommander un cas d’usage, considéré comme trop faible.

Source : https://www.cnil.fr/fr/mots-de-passe-une-nouvelle-recommandation-pour-maitriser-sa-securite

Depuis le début de l'année 2024, les passagers des aéroports équipés de nouveaux scanners C3 pouvaient passer les contrôles de sûreté sans aucune limitation pour les liquides. La Commission Européenne réintroduit temporairement les restrictions à 100 ml par flacon à partir du 1er septembre.

Les passagers s’y étaient (presque) tous habitués. Depuis 2006, obligation est faite de mettre sous pochette plastique des contenants liquides de 100 ml maximum. Ainsi que de sortir ordinateurs portables de leur sac lors du passage des contrôles de sûreté en aéroport. Depuis quelques mois pourtant, on assistait à un allègement des mesures de sûreté sur certains aéroports de l’Union Européenne. Ceux dotés des nouveaux scanners C3.

Les grands hubs européens déploient les scanners C3

Ces machines sont similaires à celles utilisées dans les hôpitaux pour des examens. Ils permettent de voir le bagage en 3D, offrant une détection complète. Tout cela au bénéfice du passager, qui n’est plus obligé de vider son sac. Les contrôles se réduisent ainsi à quelques minutes, parfois à tout juste une minute. Selon les experts, l’installation d’une telle technologie permettrait ainsi d’augmenter de 30% la capacité de contrôle.

De nombreux aéroports en Europe utilisent en partie ce nouveau système. Comme à Paris-Orly, Francfort, Munich, Amsterdam, Malte, Rome-Fiumicino, Stockholm-Arlanda ou tout récemment Paris-CDG, Dublin, Madrid, Barcelone et Zurich. D’autres comme Copenhague, Vienne ou encore Genève annoncent s’en équiper d’ici 2026.

Y-aurait-il cependant une faille dans le système? Au Royaume-Uni, le ministère des transports a réintroduit en juin la restriction à 100 ml pour les liquides sur les six aéroports équipés de scanners en 3D. Soit Londres City Airport, Aberdeen, Leeds-Bradford, Newcastle, Southend et Teeside.

Le retour de la norme des 100 ml

A son tour, l’Union Européenne vient d’édicter la même restriction temporaire pour les aéroports équipés. Dans un communiqué, la Commission Européenne va appliquer des restrictions temporaires à l’inspection filtrage des liquides à partir du 1er septembre. Le retour des anciennes règles affecte les aéroports de l’UE, ainsi que d’Islande, de Suisse et de Norvège.

La taille maximale autorisée pour les contenants individuels de liquides reviendra donc à la norme précédente de 100 ml pour tous les aéroports. La Commission Européenne indique que « cette mesure de précaution ne répond pas à une nouvelle menace, mais à un problème technique temporaire, en accord avec les partenaires internationaux de l’UE » .

La Commission indique collaborer étroitement avec les États membres et la Conférence européenne de l’aviation civile pour mettre au point des solutions techniques rapides, garantissant les normes les plus élevées de sécurité et de sûreté dans les transports aériens.

L’aéroport de Bordeaux s’apprête à voir easyJet renforcer son catalogue avec deux nouvelles destinations affaires pour l'hiver.

L’offre easyJet sur l’aéroport de Bordeaux a atteint 33 destinations cet été avec l’arrivée d’Athènes dans le catalogue du transporteur. Ce dernier prépare désormais la saison hiver. Et vient d’officialiser deux nouveaux vols. Un vol Bordeaux-Rabat est ainsi attendu le 29 octobre prochain. Il sera assuré deux fois par semaine, les mardis et samedis. Quant au vol Bordeaux-Rome Fiumicino, inauguré à l’occasion du tournoi des six nations de rugby, il sera pérennisé cet hiver, à raison de deux vols par semaine depuis Bordeaux, les lundis et vendredis, à compter du 8 novembre prochain.

« Le lancement de notre liaison entre Bordeaux et Rabat est une excellente nouvelle pour le tourisme loisirs et affinitaire » assure Reginald Otten, Directeur général adjoint d’easyJet pour la France. « En tant que première compagnie low-cost à Bordeaux, avec près de 30% des parts de marché et plus de 35 lignes, nous poursuivons nos efforts, en collaboration avec l’aéroport de Bordeaux, pour offrir les meilleures opportunités de voyage aux millions de passagers qui nous choisissent chaque année ».

Source : https://www.voyages-d-affaires.com/