Reprise du message précédent :

empreinte par exemple, et/ou token.

ok, le mal est plus profond on dirait.

 
Je suis un user.

OK. Donne moi une société, je te donne un risque lié aux SI qui est VITAL pour sa survie.
PS: même basé sur mon XP si tu veux tiens. Même un truc qui est déjà arrivé dans la vraie vie si tu veux. Dans le domaine que tu veux, agroalimentaire, bancaire...

Un risque ? Mais toutes les fonctions comportent des risques c'est jamais dit le contraire. Il faudrait apprendre à ne pas déformer ce que dit le français hein. Le fait que vous soyez une fonction n'implique pas l'absence de risque vital. Evidemment que le SI peut être critique, tout comme la prod, la finance, la logistique, le market.

Dans l'industrie pharmaceutique on avait les mots de passe niveau "pharmacien" pour gérer la prod et niveau agent de maitrise pour gérer SAP.
Alors que j’étais loin d’être Pharmacien.
J'ai jamais tué personne.

 
Faut aussi qu'au moins x % des caractères diffèrent des anciens, sinon t'as des petits malins qui font ça :
 

 
Heu lol.
 
Personne ne crie au loup. Mais si les mecs de l'info s'en foute de la sécurité, c'est pas les lusers qui vont l'imposer.
Dire donc aux users que "c'est bien de partager ses mot de passe", c'est de l'inconscience, même si on travail dans une boite de nettoyage à sec.

Trop de mot de passe tue le mot de passe.
Chez nous ils y en avait tellement que si un mec était absent la nuit la prod s'arrêtait.
Trop bien !

Au moins, pas de risque de faire une bêtise
La meilleure des protections étant de ne rien pouvoir faire, du tout

 
J'ai eu un client qui avait eu cette bonne idée... ça a duré 3 mois, jusqu'à ce qu'ils en ai raz le bol d'être dérangé toutes les 2 minutes pour des demande de réinitialisation de mdp car les gens les oubliaient

 
Tu m'étonne.
 
Quand on a mis en place les BB on obligeait les gens à changer de mdp tous les mois, sans pouvoir reprendre un des 10 derniers mot de passe.
Mot de passe qu'on te demande à chaque 'sortie de veille' du terminal. (alors que 50% des gens doivent avoir comme mot de passe 'AD' l'acronyme de la boite ..)
 
Je sais pas combien de temps ça a duré mais ce n'est plus en place. (en même temps les gens faisait un truc du genre "PWDJaniver2012", "PWDFevrier2012" etc ..
 
Quelque part, il y a un juste milieu

 
Chez nous c'est le SI qui créée les mdp et les communique aux users qui ont interdiction formelle de le modifier. Donc la sécurité à la base est déjà un gruyère et oui, le SI connaît nos mdp (c'est le même SI qui nous crée des BDD sous postgre... où le mdp admin est "postgre", j'ai halluciné en découvrant ça...).
 

 
   
 
En stockant tout sur un serveur distant, quand le serveur pète tu l'as dans le cul tout pareil que sur un stockage en local, c'est du vécu : on a été sauvés par les sauvegardes que nous faisions à titre perso, n'ayant aucune confiance dans le système d'archivage ; curieusement on n'a pas été sanctionnés...  
 

 
Je suppose que tu plaisantes.
 
Je communique tous mes codes d'accès à mon assistante, toujours. Dans un service juridique, c'est la base. La rétention de ce genre d'info est un faute professionnelle.

 
SI pourris
 

 
Heu ... quand je dit "distant", ça sous entend qu'il y a un service info derrière qui fait son boulot et donc des sauvegardes.  
Sinon effectivement ça ne sert à rien, c'est même pire vu que tu concentre tout au même endroit.
M'enfin un vrai service info ...
 
Enfin oui voilà, quand on parle sécurité ici, encore plus venant des ayatola du domaine, on suppose qu'il y a de vrai informaticien dans la boite.
Sinon si effectivement c'est Ginette qui a sauvé la boite avec son backup gravé sur un CD-R Lidl il y a 5 ans ...  

 
Je parle juste du code d'accès à la session à l'ouverture du PC, c'est celui-là qu'on nous a interdit de confier à quiconque alors que cela est indispensable... par contre, un code d'accès à un service distant, celui-là évidement c'est for our eyes only.
 

 
Non, c'était une clé USB, et du Verbatim, on a notre dignité tout de même
 
(et on fait ces sauvegardes "sauvages" de façon hebdomadaire, on est pas fous...)

 
Bah faut voir, il y a toujours d'autre moyens.
Si c'est pour lire tes mails et te coller des réunions dans Outlook, on peut déléguer les droits par exemple.
 

 
Ah les données de la boite sur la clé USB perso d'un luser ...
M'enfin ça c'est un sujet encore plus vaste et encore plus difficilement contrôlable, la fuite de données.

Les 3 dernières pages sur les mots de passe

 
Non non mais, t'as tué personne OK. Par contre tu AURAIS PU. Un gars qui fait de la sécurité travaille à empêcher des possibilités/probabilités d'arriver.
Je te garantis que si tu laisses ton serveur web en frontal Internet sans mise à jour, tu as 100% de chances d'avoir des problèmes sur une période de temps plus ou moins longue. Rien ne t'oblige à le sécuriser.
Diffuser un mot de passe, c'est peut-être pas grand chose pour toi. Pour moi, je peux te donner une bonne dizaine de scénarios qui peuvent porter préjudice soit à des personnes (y compris toi-même) soit à la société.
Et ça peut aller de la mauvaise blague d'un collègue sur ton compte, jusqu'à l'intention de te nuire (en envoyant un mail à ton nom), jusqu'à l'intention de nuire à la boite pour se venger d'une augmentation pas assez conséquente, etc.
Et ne crois pas que c'est du flan, j'ai des tentatives d'intrusion bien plus graves et évoluées que ça tous les ans.

évidemment.

Pourquoi vous mettez des mots de passe à vos sessions windows au fait ?

Hé bé, il y a encore du boulot pour sensibiliser les masses sur la sécu

 
Ah, mais en voilàààà une question qu'elle est bonne !
 
Si quelqu'un est capable de me le dire, je lui en serais infiniment reconnaissant... surtout que ce mdp (qu'on est donc obligé de confier à notre assistante pour que notre service puisse accéder à notre poste en notre absence) est le même que celui qui permet d'accéder à une partie des services distants pour lesquels l'accès devrait rester rigoureusement personnel !!
 
'faut que je quitte cette boîte à la con, je vous le dis    
 
 

Où je bosse, la gestion des mots de passe est correcte, et même un peu trop contraignante.
Mais c'est normal. De mon poste, et en quelques minutes, je fous une banque sur son cul pour au moins quelques jours. Pertes estimées en milliards.
 
Il y a des backups, certes, mais il faut du temps pour les recharger et retrouver une situation correcte.
 
Pas question donc de donner son mot de passe à qui que ce soit.

 
En même temps, si ça devait arriver, ça serait pas de bol

 
"Oui, c'est moaaaa, Jérôme, non je n'ai pas changéééééé "
 
 

Un sceptique...
Sans vouloir dire où (vous voulez le code de ma carte de crédit aussi ?), je contrôle les mainframes de la banque.
Plus de virements, plus de homebank, plus de beaucoup d'autres choses.

Certain collègues dans ma boite on bien écris leur MDP sur une étiquette sous le clavier y'a qu'a ce servir

AS400 ?

surement plus gros que ça

Oui il y avait une chance sur un million qu'un mec hack le système et s'amuse a faire détruire des palettes de produit fini dans le stock, ou alors s'amuse a changer des dates de péremption de certain produit.

Entre ce risque et arrêter la production une nuit sur deux pour faire plaisir au SI le directeur de la prod a trancher.
Le SI ne se rend pas toujours compte des contraintes de production. on avait aussi les mots de passe qu'on devait changer sur SAP.
A la fin tout le monde avait un mot de passe avec un chiffre a la fin. Et comme c’était chiant les gens le notait sur un petit papier.

Il faut voir aussi ce qu'il est possible de faire avec le mot de passe et relativiser. Je suis pas PDG de la boite et un mec avec mon mail ne peut pas faire grand chose.

edit : avant que les gens prennent peur
Pour les histoires de date de péremption tout est aussi tracé sur papier en plus d’être tracer sur informatique. M'informatique n’étant pas fiable a 100%

I faut arrêter la parano surtout. A force de trop vouloir sécurisé les mots de passe on se retrouve avec des post-it ou le mot de passe est en clair.

C'est ce que je dis depuis quelques pages, mais chacun prêche pour sa paroisse hein, c'est juste que y'en a qui sont plus extrêmistes que d'autres...

j'avais vu une image rigolote en anglais ou un mec expliquait qu'il est plus rapide de casser un mot de passe de 8 caractères avec majuscule, minuscule et chiffre que de casser une phrase longue d'une 20ene de caractère.  
 
Si quelqu'un peu la reposter

(c'est le début du débat en fait, on vient de boucler , on est justement parti de cette constatation )
()

3 mots de passe = 12 noms communs mélangés

Vas donc t'y retrouver.

pense à des répliques de film, des paroles de chansons, des noms de stars, des recettes de cuisine, ...

A mon boulot c'est 14 caractères mini avec symboles, majuscules et chiffres.
La dernière fois qu'un mec l'avait écrit sur un post it il a eu un avertissement et il est pas passé loin de la porte.
C'est pas être parano, c'est normal ! Quand les systèmes représentent plusieurs dizaines de millions d'euros minutes et qu'il y a des contraintes légales (PCI-DSS entre autres) c'est NORMAL. C'est la base du métier.
Surtout pour des admins sys.

sans compter que parfois ça donne des mots de passe trop long pour l'appli. bref, authentification forte par token ou lecteur d'empreinte.

Alors moi j'y connais pas grand chose ne sécurité informatique mais je sais que j'ai déjà vu passer des portables avec une espèce de petit "truc" qui identifiait l'empreinte digitale. Et c'était à l'éducation nationale donc ça ne devait pas couter bien cher (vu que personne ne l'utilisait en plus).
Du coup au lieu de faire chier des utilisateurs qui ont peut être des trucs plus important à faire que de retenir des mots de passe sans queue ni tête de quarante douze caractères pourquoi ne pas investir dans des périphériques d'identification biométrie ? Surtout sur des systèmes qui chiffres à plusieurs millions minutes ?

Tu es certainement piéton de temps en temps. Et conducteur. Tu sors de chez toi, tu fais des choix. Donc tu es déjà un expert en sécurité.
L'informatique n'est qu'un support

La c'est un cas particulier. Dans le cas ou c'est l'adresse mail d'un technicien qui n'a pas de pouvoir dans la boite c'est moins critique.

Bin, 1 chance sur 1 million c'est à des gens formés qu'il convient de le calculer justement. Pour info, la loi impose la protection des SI d'une société. Et une société doit faire sa "due diligence" sur les risques qui pourraient mener à sa propre perte. Après, je conviens que c'est de la théorie et que c'est rarement fait en pratique. La plupart des règles soit disant de sécurité ne correspondent pas à des risques et sont donc arbitraires.
L'arrêt d'une production n'est pas une réponse valable à un risque faible. Ca peut l'être sur un risque majeur. Une DSI doit absolument prendre en compte les contraintes métier, ils sont "support" aux métiers, ils ne sont pas là pour couler la boite mais pour la sauver. Seuls des gens stupides ne tiennent pas compte de leur environnement.
 

Y a une raison simple au mot de passe: historiquement, tu pouvais pas stocker beaucoup plus de quelques bits dans la mémoire d'anciens ordinateurs. Dans le temps où toutes les ressources étaient précieuses.
Je peux te dire une chose aussi, c'est qu'une passphrase c'est bien (avec majuscule, ponctuation, espaces, sinon c'est faible), mais les gens ne veulent pas avoir à taper 20 caractères pour s'authentifier. Ils en veulent 4. Si t'arrives à ce qu'ils en aient 8 sans les écrire sous le clavier ou sur l'écran, c'est déjà pas mal...