Microsoft revoit ses règles concernant les mots de passe de ses utilisateurs

En réaction au piratage survenu sur le réseau professionnel LinkedIn, Microsoft a pris les devants et a décidé d'améliorer la protection de ses utilisateurs via leur(s) mot(s) de passe... généralement jugés trop simplistes. Cela impactera les comptes Microsoft ainsi que les comptes Azure Active Directory. Notez que j'imagine que les récentes rumeurs concernant l'insécurité de plusieurs géants comme Google, Yahoo, Spotify... et Microsoft ont permis aussi de faire avancer les choses.

Bon, cette attaque pirate sur LinkedIn ne date pas d'hier, en réalité. On parle de 2012. Mais le réseau social a révélé récemment les conséquences : soit la revente de millions de mots de passe. Microsoft veut manifestement éviter la même situation via ses services. Ainsi, on apprend, qu'en s'inspirant d'un livre blanc publié par un chercheur, en interne, la firme a revu sa politique de protections des mots de passes. Comment ? Déjà, les utilisateurs ne pourront plus choisir un mot de passe considéré comme "courant". Comment faire pour les identifier ? Simple, Microsoft aurait simplement à s'appuyer sur des données issues d'anciennes attaques pirates sur le web. Cette liste est mise à jour régulièrement afin d'être toujours apte à indiquer les mots les plus faciles à trouver.

Mais Microsoft va plus loin en proposant un système d'authentification, que certains compareront au Trust Core de Google qui va permettre de géolocaliser la session et permettre ou non d'accéder au compte voulu si le mot de passe est incorrect. Se connecter avec une adresses IP reconnue ou non permettra au système d'être plus ou moins souple. À cela s'ajoute une mise à jour du guide pour créer de bons mots de passe selon Microsoft. Pour finir, on explique que changer fréquemment de mot de passe ne serait peut-être pas une si bonne solution que cela. En effet, via son livre blanc, Microsoft préconise plutôt de choisir un mot de passe compliqué et unique pour chaque compte. On notera que ce système est actuellement testé en interne mais devrait affecté chaque utilisateur bientôt. Dans quelques semaines, plus précisément.