Sécurité des mots de passe : obligations techniques des responsables de traitement selon la CNIL

La délibération précise les obligations de sécurité applicables aux traitements de données personnelles utilisant l’authentification par mot de passe. En vertu des articles 34 et 35 de la loi n° 78-17 du 6 janvier 1978, le responsable de traitement doit prendre les précautions utiles au regard des données et des risques, tandis que les sous-traitants doivent présenter des garanties suffisantes, sans que cette intervention ne décharge le responsable de son obligation de contrôle.

La recommandation distingue quatre configurations d’authentification. Elle fixe des exigences graduées concernant la longueur et la complexité du mot de passe, les restrictions d’accès, les informations complémentaires et l’utilisation d’un matériel détenu par la personne. Elle impose également une authentification sûre, la protection du canal de communication lorsque l’authentification est distante et la conservation du mot de passe sous une forme cryptographique non réversible, avec sel ou clé.

Le renouvellement doit intervenir systématiquement en cas de compromission et selon une périodicité pertinente au regard de la complexité du mot de passe, des données traitées et des risques. Une violation doit être notifiée à la personne concernée dans un délai maximal de 72 heures à compter de sa constatation, avec changement imposé du mot de passe lors de la prochaine connexion. Des mesures plus rigoureuses peuvent être nécessaires pour les comptes administrateurs ou les données sensibles.

⬇️Télécharger la décision version officielle

La CNIL adopte une recommandation destinée aux organismes utilisant une authentification par mot de passe. Elle précise les mesures minimales concernant la création, l’authentification, la conservation, le renouvellement et la notification des violations. Plusieurs configurations sont distinguées selon l’association du mot de passe avec une restriction d’accès, une information complémentaire ou un matériel détenu par la personne. Le texte encadre aussi le chiffrement et les comptes.

La CNIL adopte une recommandation destinée aux personnes publiques et privées mettant en œuvre des traitements de données personnelles avec authentification par mot de passe, sauf lorsque des prescriptions techniques particulières s’appliquent.

Le texte intervient dans un contexte de multiplication des attaques informatiques, de compromission de bases de données et de réutilisation fréquente des mots de passe par les utilisateurs. Il précise les mesures minimales relatives à la création, à l’authentification, à la conservation, au renouvellement des mots de passe et à la notification des violations.

La recommandation distingue plusieurs configurations selon que le mot de passe est utilisé seul, avec une restriction d’accès, avec une information complémentaire ou avec un matériel détenu par la personne. Elle prévoit également des exigences concernant le chiffrement, la gestion des comptes et le renouvellement après compromission.

• Évaluer les données traitées et les risques pesant sur la vie privée
• Imposer une longueur et une complexité adaptées au mode d’authentification
• Prévoir une restriction d’accès après plusieurs échecs lorsque nécessaire
• Utiliser une fonction d’authentification publique, forte et exempte de vulnérabilité connue
• Conserver les mots de passe sous forme cryptographique non réversible
• Renouveler systématiquement le mot de passe en cas de compromission
• Notifier la violation dans les 72 heures suivant sa constatation

• Échanges de la CNIL avec les responsables de traitements
• Constat de la multiplication des attaques informatiques
• Constat de compromissions de bases de données contenant des mots de passe
• Analyse de la réutilisation des mots de passe sur plusieurs comptes
• Référentiel technique élaboré avec des institutions et professionnels de la sécurité

Le responsable de traitement doit documenter et déployer une architecture d’authentification proportionnée aux risques, tout en contrôlant ses sous-traitants. La personne concernée bénéficie d’une information et d’une notification spécifiques en cas de compromission, avec renouvellement imposé du mot de passe concerné.

• Définir la longueur et la complexité selon le scénario d’authentification
• Interdire le stockage et l’envoi des mots de passe en clair
• Mettre en place le hachage avec sel ou clé
• Organiser le renouvellement après compromission
• Notifier la violation sous 72 heures
• Renforcer les mesures pour les comptes administrateurs et données sensibles

À faire

• Évaluer les risques liés aux données traitées
• Choisir un scénario d’authentification adapté
• Paramétrer les blocages après échecs
• Protéger les mots de passe par une fonction cryptographique sûre
• Prévoir notification et renouvellement après violation

À éviter

• Transmettre un mot de passe en clair
• Stocker un mot de passe en clair
• Autoriser des tentatives illimitées
• Négliger la sécurité des clés privées
• Traiter les comptes sensibles selon un niveau minimal insuffisant

Les obligations de sécurité des responsables de traitement

L’article 34 de la loi n° 78-17 du 6 janvier 1978 impose de prendre toutes précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. L’article 35 exige des garanties suffisantes des sous-traitants et personnes agissant sous l’autorité du responsable, sans décharger celui-ci de son obligation de veiller au respect des mesures.

Les exigences techniques de l’authentification par mot de passe

La recommandation module les exigences selon la configuration retenue. Elle prévoit notamment une longueur et une complexité minimales, des restrictions après échecs, une information complémentaire ou un matériel détenu par la personne. La fonction d’authentification doit utiliser un algorithme public réputé fort et exempt de vulnérabilité connue.

La conservation et le renouvellement des mots de passe

Le mot de passe ne peut être stocké en clair : il doit être transformé par une fonction cryptographique non réversible et sûre, avec sel ou clé. En cas de compromission, son renouvellement est systématique. Une violation doit être notifiée dans les 72 heures suivant sa constatation, avec changement imposé lors de la prochaine connexion.

Article 11 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978