Sécurisation des mots de passe Internet

Le verrouillage de l'accès Internet par mot de passe permet aux administrateurs de définir une valeur seuil des échecs d'authentification des mots de passe Internet pour les utilisateurs Domino® Web et Domino® Web Access. Cela permet d'éviter les attaques en force et les attaques par dictionnaire sur des comptes Internet en bloquant l'accès aux utilisateurs qui ne réussissent pas à se connecter avec un nombre prédéfini de tentatives. Les informations sur les échecs d'authentification et les verrouillages de comptes sont gérées dans l'application de verrouillage Internet dans laquelle l'administrateur peut effacer les tentatives infructueuses et déverrouiller les comptes utilisateur.

Notez que cette fonction est exposée aux attaques DoS (Denial of Service). Au cours d'une attaque DoS, des utilisateurs malveillants empêchent de manière explicite les utilisateurs légitimes d'utiliser un service. Dans le cas du verrouillage de l'accès Internet par mot de passe, des attaques peuvent empêcher des utilisateurs Internet légitimes de se connecter sur un serveur Domino® en simulant des tentatives de connexion qui échouent.

Le verrouillage de l'accès Internet par mot de passe présente certaines limites :

• Vous ne pouvez utiliser le verrouillage de l'accès Internet par mot de passe qu'avec Web Access. D'autres protocoles et services Internet, comme LDAP, POP, IMAP, DIIOP et HCL Sametime® ne sont actuellement pas pris en charge. Cependant, le verrouillage de l'accès Internet par mot de passe peut être utilisé si le mot de passe employé pour l'authentification est stocké sur un serveur LDAP.
• Vous ne pourrez pas profiter de la fonctionnalité de verrouillage de l'accès Internet par mot de passe si des filtres DSAPI personnalisés sont en cours d'utilisation, car le filtre DSAPI est une manière d'ignorer l'authentification Notes/Domino.

Pour une connexion unique, le serveur Domino®, sur lequel la fonction de verrouillage de l'accès Internet par mot de passe est activée, doit être également le serveur qui génère la clé de connexion unique. Si la clé est récupérée par une autre source (un autre serveur Domino® ou un serveur WebSphere®), le jeton SSO est toujours valide sur le serveur Domino®, même si le verrouillage de l'accès Internet par mot de passe est activé.

La base de verrouillage de l'accès Internet (inetlockout.nsf) est créée à partir de inetlockout.ntf :

• Au cours du démarrage si la fonction de verrouillage de l'accès Internet est activée.
• La première fois que la base de verrouillage doit être consultée ou enregistrée. Aucun redémarrage n'est nécessaire, mais un délai de 10 minutes doit s'écouler entre le moment où la fonction est activée et le moment de l'accès en lecture ou en écriture à la base de verrouillage.

Par défaut, la liste LCA de la base de verrouillage autorise un accès gestionnaire uniquement au groupe Administrateurs. L'accès est refusé avec les paramètres Par défaut et Anonyme. Cependant, la liste LCA de la base peut être modifiée pour autoriser les utilisateurs et les groupes à accéder aux utilisateurs avec autorisation de déverrouiller les utilisateurs.

Pour chaque utilisateur qui se connecte à Domino® avec un nom et un mot de passe Internet, les informations sur l'état de verrouillage sont tenues à jour dans la base de verrouillage de l'accès Internet, avec notamment le nom d'utilisateur, le nombre de tentatives ayant échoué et l'état de verrouillage. Les tentatives de verrouillage ne sont pas enregistrées dans la base correspondante si l'utilisateur est déjà verrouillé, ou si l'utilisateur se connecte avec succès. Cependant, comme la base de verrouillage de l'accès Internet tient à jour les données sur l'état de verrouillage, DDM (Domino® Domain Manager) est l'emplacement où doivent être stockées les tentatives de connexion ayant échoué et les données d'historique de verrouillage, vous fournissant ainsi l'historique des tentatives de connexion ayant échoué.

Toute modification des informations d'accès des utilisateurs stockés dans la base de verrouillage de l'accès Internet est immédiatement implémentée. Il n'est pas nécessaire de redémarrer le serveur HTTP pour que les modifications prennent effet.

La base de verrouillage contient deux vues :

• Locked Out Users : contient des enregistrements pour les utilisateurs qui ont dépassé la valeur limite des tentatives de saisie des mots de passe ayant échoué et qui ne peuvent plus se connecter au serveur avec leur nom et mot de passe Internet.
• Login Failures : contient les enregistrements des utilisateurs avec le nombre de tentatives d'authentification ayant échoué.

Les champs sont identiques pour les deux vues :

• Server name : serveur sur lequel l'utilisateur a été verrouillé ou qui présente des tentatives d'authentification ayant échoué
• User name : nom de l'utilisateur qui est verrouillé ou qui a enregistré des tentatives d'authentification ayant échoué
• Locked out : dans la vue Login Failures, cette valeur peut être Oui ou Non. Dans la vue Locked Out Users, la valeur Oui est définie.
• Failed attempts : affiche le nombre actuel de tentatives d'authentification ayant échoué pour chaque utilisateur. Dans la vue Locked Out Users, correspond au paramètre de la valeur seuil.
• First failure time : affiche la date et l'heure du premier échec d'authentification
• Last failure time : affiche la date et l'heure du dernier échec d'authentification Il peut s'agir également de l'heure à laquelle l'utilisateur a été verrouillé. Si un utilisateur est verrouillé, mais continue de se connecter, cette heure n'est pas mise à jour.

Pour déverrouiller un utilisateur, supprimez l'enregistrement correspondant.

Vous pouvez marquer plusieurs enregistrements pour déverrouillage ou suppression en cliquant sur Mark for Delete/Unlock dans la barre d'outils, puis les supprimer en cliquant sur Delete Marked Items.

Il est recommandé de vérifier au préalable que la base de verrouillage de l'accès Internet ne contient que des enregistrements d'utilisateurs valides. Supprimez les noms des utilisateurs qui ont changé de nom ou qui ont été retirés comme utilisateurs du serveur Domino®. Le nettoyage de la base n'est pas automatique. Même si les enregistrements utilisateurs qui sont obsolètes ne nuisent pas au fonctionnement normal, un nombre trop important d'enregistrements dans la base peut nuire aux performances du processus d'authentification Internet.

Vous pouvez créer des masques de connexion personnalisés pour la base de verrouillage de l'accès Internet qui peuvent servir aux utilisateurs à indiquer que leur compte a été verrouillé.

En tant qu'administrateur, vous devez décider si la réplication de la base de verrouillage de l'accès Internet sur d'autres serveurs est une stratégie utile. L'avantage principal de la réplication de la base est la réplication des informations de verrouillage sur plusieurs serveurs. Vous pouvez accéder à une réplique quelconque et connaître l'état de verrouillage de plusieurs serveurs, sans avoir à ouvrir la base de verrouillage de l'accès Internet sur chaque serveur sur lequel la fonction de verrouillage de mot de passe Internet est activée.

Cependant, la réplication présente quelques inconvénients. Par exemple, des problèmes de réplication peuvent se produire si votre réseau est l'objet d'attaques ou d'une attaque de refus de service DoS (Denial-of-Service). En outre, si la réplication est lente, la vérification de la base de verrouillage sur un serveur donné ne permet pas nécessairement de détecter un utilisateur verrouillé avant la fin de la réplication (cependant, il est toujours possible d'ouvrir la réplique directement sur le serveur en question).

La base de verrouillage de l'accès Internet est créée avec un ID de réplique qui est identique pour toutes les répliques sur tous les serveurs sur lesquels la fonction de verrouillage de mot de passe Internet est activée dans un domaine. Par défaut, la réplication est désactivée temporairement pour les bases de verrouillage de l'accès Internet. Cela permet d'éviter les problèmes de réplication décrits plus haut. Pour répliquer la base sur un autre serveur, désactivez l'option Désactiver temporairement la réplication de cette réplique dans la section Autres de la boîte de dialogue Paramètres de réplication. Vous pouvez ensuite configurer la réplication de la base (réplication planifiée ou en grappe).

Le verrouillage de l'accès Internet par mot de passe est activé dans le document des paramètres de configuration du serveur. Cela permet aux administrateurs d'activer la fonction de verrouillage Internet sur plusieurs serveurs.

Il est recommandé d'activer l'option Moins de variantes de noms et plus de sécurité du document Serveur. Cela limite le problème d'ambiguïté des noms. Domino® prend en charge la connexion au serveur Web avec une forme abrégée du nom d'utilisateur (si le mot de passe est correct), même si ce nom abrégé correspond à deux personnes ou plus dans l'annuaire. Les connexions non valides qui se produisent lorsqu'un utilisateur tape un nom ambigu n'aboutissent pas pour chaque correspondance ambiguë. Il est impossible de savoir qui est l'utilisateur qui a essayé de se connecter. En outre, l'effacement des enregistrements de tentatives de connexion à l'aide du paramètre Expiration du verrouillage ne s'applique qu'à l'utilisateur dont le nom et le mot de passe correspondent.