Sécurité des mots de passe : exigences techniques et organisationnelles au regard du RGPD

La CNIL adopte une recommandation relative aux authentifications par mot de passe ou secret non partagé, en application de l’article 32 du RGPD. Ce texte n’a pas de caractère normatif, mais décrit l’état de l’art correspondant au niveau minimal de sécurité attendu d’un responsable de traitement. Des mesures différentes peuvent être retenues si elles garantissent un niveau de sécurité au moins équivalent.

La sécurité doit être appréciée selon les risques du traitement, notamment lorsque sont concernées des données sensibles au sens de l’article 9 du RGPD, des traitements à grande échelle ou des comptes administrateurs. Une authentification multifacteur peut alors s’imposer. La gestion confiée à un sous-traitant doit respecter l’article 28 du RGPD, avec une définition précise des rôles, responsabilités et objectifs de sécurité.

La recommandation encadre la gouvernance, la robustesse, la transmission, la conservation, le renouvellement et la journalisation des mots de passe. Elle préconise notamment une entropie minimale de 80 bits lorsque le mot de passe constitue le seul facteur, le stockage sous forme hachée avec sel et paramètres de coût adaptés, l’interdiction du stockage en clair, ainsi que l’information rapide des utilisateurs en cas de compromission. La modification périodique généralisée n’est plus recommandée, sauf pour les comptes privilégiés, selon les risques.

⬇️Télécharger la décision version officielle

La CNIL actualise les exigences de sécurité applicables aux authentifications par mot de passe ou secret non partagé. La recommandation encadre leur gouvernance, robustesse, transmission, conservation, renouvellement et journalisation, avec des niveaux adaptés aux risques et aux données traitées. Elle préconise des mesures complémentaires, notamment l’authentification multifacteur, et précise la gestion des compromissions, des comptes privilégiés et des opérations confiées à un sous-traitant.

La CNIL adopte une recommandation actualisant les exigences de sécurité applicables aux authentifications par mot de passe ou secret non partagé dans les traitements de données personnelles. Elle abroge une recommandation antérieure et précise que ses dispositions, dépourvues de caractère normatif, correspondent à l’état de l’art permettant de satisfaire a minima aux obligations de l’article 32 du RGPD.

Le texte encadre la gouvernance des mots de passe, leur robustesse, leur transmission, leur conservation, leur renouvellement et la journalisation des opérations. Il prévoit des niveaux d’exigence variables selon les risques, la nature des données et les catégories d’utilisateurs. Il recommande notamment le recours à des mesures complémentaires, comme l’authentification multifacteur, lorsque le mot de passe seul ne suffit pas.

La recommandation impose également une gestion sécurisée des compromissions, des comptes privilégiés et des opérations confiées à un sous-traitant.

• Adapter les mesures aux risques propres au traitement et aux utilisateurs
• Atteindre une entropie minimale de 80 bits pour un mot de passe seul
• Éviter tout stockage en clair et utiliser une fonction cryptographique spécialisée
• Ajouter un sel et des paramètres de coût adaptés aux attaques
• Prévoir une gouvernance, une revue régulière et une sensibilisation des utilisateurs
• Renforcer l’authentification pour les données sensibles ou comptes privilégiés
• Informer et faire renouveler les secrets après une compromission suspectée

• Constat de la multiplication des attaques informatiques et compromissions de bases de données
• Analyse des pratiques de réutilisation et de choix prévisible des mots de passe
• Consultation publique menée du 21 octobre au 10 décembre 2021
• Références techniques du RGS et des guides de l’ANSSI

Le responsable de traitement doit revoir sa politique de mots de passe, documenter les mesures retenues et les adapter aux risques. Les utilisateurs doivent être informés, tandis que les sous-traitants et les comptes privilégiés font l’objet d’exigences et de contrôles spécifiques.n

• Formaliser et valider une politique de gestion des mots de passe
• Auditer le stockage, la transmission et la journalisation des secrets
• Mettre en place un hachage sécurisé avec sel individualisé
• Prévoir une procédure d’alerte et de renouvellement après compromission
• Évaluer l’opportunité d’une authentification multifacteur
• Encadrer contractuellement les opérations confiées au sous-traitant

À faire

• Documenter la politique de gestion des mots de passe
• Évaluer les risques propres aux traitements et aux utilisateurs
• Vérifier le hachage, le sel et les paramètres cryptographiques
• Organiser les alertes et renouvellements après compromission
• Réexaminer les comptes privilégiés et l’authentification multifacteur

À éviter

• Stocker ou transmettre les mots de passe en clair
• Imposer une réutilisation ou des secrets prévisibles
• Conserver des mots de passe dans les URL
• Bloquer le collage dans les champs de saisie
• Confier la gestion des secrets sans responsabilités formalisées

Les exigences de sécurité des mots de passe

nLa recommandation rattache les mesures techniques et organisationnelles à l’article 32 du RGPD. Le niveau minimal repose notamment sur une entropie de 80 bits lorsque le mot de passe est le seul facteur. Des mesures équivalentes sont admises si leur efficacité est démontrée. Les traitements présentant des risques spécifiques peuvent nécessiter une authentification multifacteur.n

La conservation cryptographique des mots de passe

nLe responsable de traitement ne doit jamais conserver les mots de passe en clair. La vérification doit utiliser une fonction cryptographique spécialisée, non réversible et sûre, intégrant un sel et des paramètres de coût en temps ou en mémoire. Le sel devrait être propre à chaque utilisateur et avoir une longueur minimale de 128 bits.n

La gestion des compromissions et des renouvellements

nEn cas d’atteinte à la confidentialité, la personne concernée doit être informée sans délai et pouvoir renouveler immédiatement son mot de passe. Une modification doit être imposée à la prochaine connexion en cas de suspicion. Le responsable doit évaluer le risque d’usurpation et envisager un blocage temporaire ou une identification supplémentaire.

Règlement (UE) 2016/679 du 27 avril 2016, Article 9 du RGPD, Article 28 du RGPD, Article 32 du RGPD, Article 8-I-2°-b de la loi n° 78-17 du 6 janvier 1978