En rédigeant des règles de "bonnes pratiques de sécurité" pour ce genre de personnes, je me suis rendue compte que c'était une impasse.
Parce qu’on ne résout pas des problèmes de systèmes avec des procédures 1.
Pour reprendre ton exemple de mot de passe identique partout, tu as plusieurs choix :
tu peux par exemple mettre en place une série de règles avec des sanctions si tu découvres qu’elles ne sont pas suivi correctement, mais ça va surtout provoquer un effet très indésirables en sécurité : les gens vont cacher qu’ils ont fait une connerie par crainte des sanctions ;
ou alors tu peux mettre en place une politique de changement de mot de passe régulier genre tous les 3 mois, avec interdiction de répétition des mots de passe précédent (c’est ce que fait (faisait) ma boite), mais tu vas te retrouver avec des gens qui écrivent leur mot de passe sur des papillons ;
sinon, tu peux laisser les gens tranquilles tout en vérifiant qu’il ne font pas n’importe quoi (« trust but verify »), en imposant quelques règles de base (sur la taille du mot de passe par exemple) et en te connectant à HIBP.
il suffit d'un de mes co-sysadmin qui utilise le même mot de passe partout pour que tout s'effondre, et vite.
Vu que tu parles d’utilisateurs familiers avec la technologie (des admin. sys.), tu peux aussi rendre obligatoire la MFA pour les services critiques (ou même globalement), utiliser un bastion ou « jump host » pour réduire la surface d’attaque, utiliser des certificats SSH (avec une durée de vie limitée) plutôt que des mots de passes où des clefs, etc.
C'est tout de même assez déprimant...
C’est seulement déprimant si tu cherches à être totalement infaillible, parce que c’est peine perdu, mais avec une bonne hygiène numérique, comme tu dis, tu éviteras même les failles contre lesquels tu ne t’es pas protégé directement.
j’ai déjà parlé plusieurs fois de ce bouquin ici, mais The Field Guide to Understanding 'Human Error' de Sidney Dekker est un livre qui m’a vraiment ouvert les yeux sur ce genre de problématiques et je le conseille à quiconque s’intéresse de prêt ou de loin à la sûreté des systèmes et aux recherches ou enquêtes post-incidents (au sens large, ça peut aider à comprendre un crash d’avion comme aider à rechercher les causes derrière un rm -rf /). ↩
[^] # Re: Critique du SMS en second facteur, pas du 2FA en tant que tel
Posté par Anonyme . En réponse au journal sécurité, trop de sécurité, pas de sécurité?. Évalué à 6.
Parce qu’on ne résout pas des problèmes de systèmes avec des procédures 1 .
Pour reprendre ton exemple de mot de passe identique partout, tu as plusieurs choix :
Vu que tu parles d’utilisateurs familiers avec la technologie (des admin. sys.), tu peux aussi rendre obligatoire la MFA pour les services critiques (ou même globalement), utiliser un bastion ou « jump host » pour réduire la surface d’attaque, utiliser des certificats SSH (avec une durée de vie limitée) plutôt que des mots de passes où des clefs, etc.
C’est seulement déprimant si tu cherches à être totalement infaillible, parce que c’est peine perdu, mais avec une bonne hygiène numérique, comme tu dis, tu éviteras même les failles contre lesquels tu ne t’es pas protégé directement.
j’ai déjà parlé plusieurs fois de ce bouquin ici, mais The Field Guide to Understanding 'Human Error' de Sidney Dekker est un livre qui m’a vraiment ouvert les yeux sur ce genre de problématiques et je le conseille à quiconque s’intéresse de prêt ou de loin à la sûreté des systèmes et aux recherches ou enquêtes post-incidents (au sens large, ça peut aider à comprendre un crash d’avion comme aider à rechercher les causes derrière un
rm -rf /). ↩