Conservation sécurisée des mots de passe stockés sur serveur : modification de la recommandation de la CNIL

La délibération modifie la recommandation relative aux mots de passe afin de préciser son champ d’application. Le mot de passe ne doit jamais être conservé en clair lorsqu’il est utile à la vérification de l’authentification et doit être stocké sur un serveur.

La CNIL recommande une transformation préalable au moyen d’une fonction cryptographique non réversible et sûre, fondée sur un algorithme public réputé fort et exempt de vulnérabilité connue dans sa mise en œuvre. Cette transformation doit intégrer l’utilisation d’un sel ou d’une clé.

La délibération supprime les deux alinéas antérieurs qui imposaient notamment un générateur de nombres pseudo-aléatoires cryptographiquement sûr et l’absence de stockage du sel ou de la clé dans le même espace que l’élément de vérification. Elle remplace ces prescriptions par une formulation centrée sur les mots de passe stockés sur serveur et leur transformation cryptographique.

La mesure est prise au visa des articles 11, 34 et 35 de la loi n° 78-17 du 6 janvier 1978 et publiée au Journal officiel de la République française.

⬇️Télécharger la décision version officielle

La CNIL modifie sa recommandation de 2017 relative aux mots de passe. Elle supprime deux alinéas et les remplace par un paragraphe concernant les mots de passe stockés sur un serveur pour vérifier l’authentification. La transformation cryptographique préalable, non réversible et sûre, intégrant un sel ou une clé, demeure recommandée. La délibération est publiée au Journal officiel de la République française.

La Commission nationale de l’informatique et des libertés avait adopté, le 19 janvier 2017, une recommandation relative aux mots de passe. Cette recommandation prévoyait que les mots de passe ne soient jamais stockés en clair et qu’ils soient transformés par une fonction cryptographique non réversible et sûre, avec un sel ou une clé. Elle précisait également les conditions de génération et de stockage de cet élément.

Par une délibération du 22 juin 2017, la Commission modifie ces prescriptions. Elle supprime les deux alinéas concernés et les remplace par un paragraphe visant tout mot de passe utile à la vérification de l’authentification et devant être stocké sur un serveur. La transformation cryptographique préalable, non réversible et sûre, intégrant un sel ou une clé, demeure recommandée. La délibération est publiée au Journal officiel de la République française.

• Mot de passe utile à la vérification de l’authentification
• Stockage du mot de passe sur un serveur
• Absence de stockage en clair
• Transformation préalable du mot de passe
• Fonction cryptographique non réversible et sûre
• Algorithme public réputé fort et exempt de vulnérabilité connue
• Utilisation intégrée d’un sel ou d’une clé

• Délibération n° 2017-012 relative aux mots de passe
• Nouvelle rédaction du paragraphe sur les modalités de conservation
• Suppression des deux alinéas antérieurement applicables

La délibération recentre la recommandation sur les mots de passe stockés sur serveur et maintient l’exigence d’une transformation cryptographique sûre. Les responsables de traitements doivent vérifier la conformité de leurs mécanismes de conservation avec cette rédaction publiée au Journal officiel.

• Identifier les mots de passe stockés sur serveur
• Interdire toute conservation en clair
• Utiliser une fonction cryptographique non réversible
• Vérifier la robustesse et l’absence de vulnérabilité connue
• Intégrer un sel ou une clé dans la transformation

À faire

• Recenser les mots de passe stockés sur serveur
• Vérifier l’absence de stockage en clair
• Contrôler la fonction cryptographique utilisée
• Vérifier son caractère non réversible
• Intégrer un sel ou une clé

À éviter

• Conserver un mot de passe en clair
• Utiliser un algorithme vulnérable
• Employer une fonction non cryptographique
• Stocker sans transformation préalable
• Négliger la robustesse de l’algorithme

La conservation des mots de passe sur serveur

nLa délibération précise que tout mot de passe utile à la vérification de l’authentification et devant être stocké sur un serveur ne doit jamais être conservé en clair. Il doit être préalablement transformé selon les modalités recommandées.n

La transformation cryptographique non réversible

nLa transformation doit utiliser une fonction cryptographique non réversible et sûre, reposant sur un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue.n

L’intégration d’un sel ou d’une clé

nLa fonction cryptographique doit intégrer l’utilisation d’un sel ou d’une clé. La nouvelle rédaction supprime les précisions antérieures relatives au générateur pseudo-aléatoire cryptographiquement sûr et au stockage séparé de cet élément.

Article 11 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978