L’essentiel
La recommandation précise les mesures techniques minimales applicables aux traitements recourant à l’authentification par mot de passe, sauf prescriptions spéciales. Elle distingue quatre configurations selon les facteurs complémentaires utilisés : mot de passe seul, restriction d’accès, information complémentaire ou matériel détenu par la personne.
Le niveau de sécurité dépend notamment de la longueur et de la complexité du mot de passe, des mécanismes de blocage ou de temporisation, de la sûreté de la fonction d’authentification et du chiffrement des communications. Le mot de passe ne peut être conservé en clair : il doit être transformé par une fonction cryptographique non réversible, avec sel ou clé séparé de l’élément de vérification.
La recommandation encadre également le renouvellement, la récupération et la notification des violations. En cas de compromission, le changement doit être imposé à la prochaine connexion et la personne doit être informée dans un délai maximal recommandé de 72 heures. Des mesures plus rigoureuses peuvent s’imposer pour les comptes administrateurs ou les données sensibles.
En résumé
- Adoption d’une recommandation encadrant l’authentification par mot de passe
- Application des articles 34 et 35 de la loi Informatique et Libertés
- Exigences variables selon les facteurs complémentaires d’authentification
- Interdiction du stockage et de la transmission du mot de passe en clair
- Notification recommandée des violations sous 72 heures
Contexte de l’affaire
La recommandation intervient dans un contexte de multiplication des attaques informatiques, de compromission de bases de données et de réutilisation fréquente des mots de passe par les utilisateurs. Elle précise les mesures applicables à la création, à l’authentification, à la conservation, au renouvellement et à la notification des violations.
Selon le niveau de sécurité retenu, le mot de passe doit être associé à une restriction d’accès, une information complémentaire ou un matériel détenu par la personne. Le texte prévoit aussi des exigences de chiffrement, de stockage sécurisé et de changement après compromission.
Conditions / critères (ce que le juge vérifie)
- Adapter la longueur et la complexité au mode d’authentification
- Mettre en place une restriction après les échecs d’authentification
- Utiliser une fonction d’authentification sûre et exempte de vulnérabilité connue
- Chiffrer le canal entre le client et le serveur authentifié
- Stocker une vérification cryptographique non réversible avec sel ou clé séparé
- Imposer le renouvellement après compromission
- Notifier la personne concernée dans le délai recommandé de 72 heures
Preuves retenues (ce qui a fait pencher la décision)
- Échanges de la CNIL avec les responsables de traitements
- Constat de la multiplication des attaques informatiques
- Compromission de bases de données contenant des mots de passe
- Observation de la réutilisation des mots de passe entre services
- Échanges avec des institutions et professionnels de la sécurité
Conséquences pratiques
- Imposer des règles adaptées de longueur et de complexité
- Protéger les comptes contre les tentatives automatisées
- Supprimer tout stockage ou envoi en clair
- Organiser le renouvellement après compromission
- Notifier les personnes concernées dans les 72 heures recommandées
Checklist pour Avocats
À faire
- Évaluer les risques liés aux données traitées
- Choisir le niveau d’authentification approprié
- Configurer blocage et temporisation après échecs
- Chiffrer les communications et protéger les clés
- Prévoir notification et renouvellement après violation
À éviter
- Stocker les mots de passe en clair
- Transmettre un mot de passe par courriel
- Conserver le sel avec la vérification
- Autoriser des tentatives illimitées
- Négliger les comptes administrateurs ou données sensibles
FAQ / Q-R juridiques
Les obligations de sécurité du responsable de traitement
L’article 34 de la loi n° 78-17 du 6 janvier 1978 impose de prendre toutes précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. L’article 35 exige des garanties suffisantes des sous-traitants et des personnes agissant sous autorité, sans décharger le responsable de son obligation de veiller au respect des mesures.
Les exigences techniques selon le mode d’authentification
La recommandation distingue quatre configurations. Un mot de passe seul doit comporter au moins 12 caractères avec quatre catégories de caractères. Des exigences différentes sont admises lorsqu’une restriction d’accès, une information complémentaire ou un matériel détenu par la personne apporte une sécurité compensatrice.
La conservation et la notification des violations
Le mot de passe ne doit jamais être stocké en clair. Il doit être transformé par une fonction cryptographique non réversible et sûre, avec un sel ou une clé séparé de l’élément de vérification. En cas de violation, la notification à la personne est recommandée dans les 72 heures et le changement doit être imposé à la prochaine connexion.
Textes cités
Sécurité
Approfondir ce sujet :