Protection par mot de passe des ID Notes® et Domino®

Qualité du mot de passe

Lorsque vous enregistrez un utilisateur ou un serveur, ou créez un ID de certificateur, vous définissez le niveau de sécurité du mot de passe à appliquer à l'ID à l'aide d'une échelle allant de 0 à 16. Plus le niveau est élevé (plus le mot de passe est complexe), et plus un utilisateur non autorisé aura du mal à deviner le mot de passe. Pour une sécurité optimale, spécifiez un niveau de 8 au minimum.

Le niveau de sécurité du mot de passe que vous affectez est appliqué lorsque vous entrez un mot de passe pour un nouvel ID ou quand des utilisateurs changent le mot de passe associé à un ID existant. Dans ce dernier cas, Notes® affiche des informations relatives au niveau de sécurité du mot de passe requis par le fichier ID. Les utilisateurs doivent alors entrer un mot de passe répondant aux critères voulus, sous peine de ne pas être autorisés à modifier leur mot de passe.

Lors de la définition d'un mot de passe, il est préférable de spécifier une chaîne alphanumérique aléatoire comprenant une combinaison de lettres majuscules et minuscules, chiffres et signes de ponctuation. Il est également conseillé de spécifier une phrase entière plutôt qu'un seul mot. Une phrase est en effet plus facile à retenir, difficile à deviner et généralement plus longue qu'un seul mot. Si vous choisissez d'utiliser une phrase, n'hésitez pas y introduire une ou plusieurs fautes d'orthographe afin d'empêcher toute personne mal intentionnée de deviner votre mot de passe.

Pour modifier le niveau de sécurité du mot de passe attribué à un ID, vous devez recertifier ce dernier ou utiliser un document de politique de paramètres de sécurité.

Mécanismes de temporisation et de lutte contre les intrusions

Tous les mots de passe associés aux ID Notes® intègrent des fonctionnalités de temporisation et de lutte contre les intrusions, qui neutralisent les programmes de décodage de mots de passe et empêchent le "vol" du mot de passe par des programmes qui génèrent une fausse boîte de dialogue de saisie de mot de passe. Le mécanisme de temporisation retarde la poursuite des opérations lorsqu'un mot de passe incorrect est entré. Lorsqu'un utilisateur saisit un mot de passe, la fonctionnalité de lutte contre les intrusions affiche une série d'images que les autres programmes ne sont pas en mesure de reproduire.

Vérification des mots de passe et des clés publiques lors de l'authentification

Par défaut, Notes® et Domino® n'utilisent des mots de passe que pour protéger les informations enregistrées dans les fichiers ID. Toutefois, vous pouvez configurer les serveurs pour qu'ils vérifient les mots de passe et les clés publiques de Notes® lors de l'authentification. Le contrôle du mot de passe et de la clé publique réduit l'utilisation non autorisée des ID. Si un utilisateur non autorisé réussit à obtenir un ID et son mot de passe alors que le serveur est configuré pour procéder à une vérification des mots de passe, l'utilisateur autorisé n'aura qu'à modifier le mot de passe de cet ID. Lorsque l'utilisateur non autorisé tentera à nouveau de s'authentifier la fois suivante, l'accès au serveur ne lui sera pas accordé, car Domino® aura demandé à l'utilisateur de modifier le mot de passe enregistré dans la copie de cet ID pour qu'il corresponde à celui enregistré dans la copie modifiée de son ID (que l'utilisateur non autorisé ne connaît pas).

Parallèlement à la vérification des mots de passe, vous pouvez configurer les serveurs pour faire en sorte qu'ils exigent des utilisateurs qu'ils modifient leur mot de passe à intervalles réguliers.

Chiffrement du fichier ID

Les clés Notes® sont stockées dans le fichier ID Notes® et sont chiffrées à l'aide d'une clé dérivée du mot de passe du fichier ID. Dans les versions antérieures à Domino® 7, cette clé était de 64 bits. Les nouveaux utilisateurs peuvent utiliser une clé AES ou RC2 128 bits ou une clé AES 256 bits pour le chiffrement du fichier ID. Le fichier ID pouvant désormais stocker des clés de chiffrement de document de niveau supérieur, le chiffrement utilisé pour les stocker sera au moins aussi renforcé que les clés stockées.

Mots de passe multiples

Pour renforcer la sécurité des ID certificateur et serveur, attribuez-leur plusieurs mots de passe. Dans ce cas, différents administrateurs doivent intervenir pour accéder à l'ID ainsi sécurisé. Cette fonction est utile, par exemple, quand vous ne voulez pas concéder à une seule personne les droits sur un ID certificateur spécifique. Il vous est aussi possible de spécifier que seul un sous-ensemble des mots de passe affectés soit requis pour accéder à l'ID. Par exemple, vous pouvez associer quatre mots de passe à l'ID mais exiger seulement deux de ces mots de passe pour y accéder. Ainsi, l'accès à l'ID est assuré même si tous les administrateurs ne sont pas présents.

Récupération de mot de passe

La méthode préférée pour la récupération des mots de passe oubliés consiste à utiliser le coffre d'ID. Lorsqu'un coffre d'ID est utilisé, le personnel du service d'assistance ou les utilisateurs peuvent facilement réinitialiser les mots de passe, et les utilisateurs peuvent automatiquement utiliser les nouveaux mots de passe à partir de tout client Notes®. Si vous n'utilisez pas le coffre d'ID, une autre méthode de récupération consiste à utiliser l'ancienne fonction de récupération du fichier ID.

Utilisation d'une carte à puce pour protéger un ID Notes®

L'utilisation d'une carte à puce permet à la personne qui s'en sert pour se connecter à Notes® de verrouiller et de déverrouiller son ID utilisateur. L'avantage de l'utilisation d'une carte à puce avec Notes® est que les clés privées Internet peuvent être enregistrées sur cette carte plutôt que sur le poste de travail de l'utilisateur. Ce dernier peut ensuite prendre sa carte avec lui lorsqu'il quitte son bureau. Les cartes à puce accroissent la sécurité des ID, qu'ils soient attribués à des utilisateurs classiques ou itinérants.

Politiques de mot de passe personnalisées

De nombreuses lois actuelles de protection des informations et de confidentialité des données incluent des exigences spécifiques relatives à la sélection de mots de passe sécurisés pour la vérification de l'identité. Afin d'aider les utilisateurs à se conformer à ces lois, vous pouvez mettre en place des restrictions de mot de passe à l'aide de politiques. Cela permet aux utilisateurs d'observer le caractère essentiel de ces lois, à savoir que les mots de passe ne doivent être ni banals, ni simples à deviner.

Vous créez et appliquez des politiques de mot de passe personnalisées à l'aide d'un document de paramètres de politique de sécurité.