Protégez vos mots de passe par programmation

PWcheck-change est un script simple et pratique qui permet de vérifier et de changer avec exactitude des mots de passe sur de nombreux serveurs en quelques secondes. Pour bien maintenir, gérer et vérifier les mots de passe avec PWcheck-change, il faut exécuter les scripts dans trois situations. Premièrement, il faut exécuter périodiquement le script pour effectuer les changements de mots de passe usuels. PWcheck-change rétablira les mots de passe quand vous le lancerez avec l’argument -Change : PWcheck-change.bat -Change Deuxièmement, il faut exécuter périodiquement le script pour déterminer si certains mots de passe qui n’auraient pas dû être changés, l’ont été. PWcheck-change vérifiera les mots de passe de vos serveurs et signalera les mots de passe incorrects quand vous le lancerez sans argument: PWcheck-change.bat

Enfin, en cas d’urgence, il faut exécuter le script le plus tôt possible. Ainsi, si le responsable sécurité détermine que les mots de passe sur un ou plusieurs serveurs ont été compromis, vous devez lancer une exécution d’urgence du script le plus rapidement possible.

Quand j’ai écrit PWcheck-change, j’ai dû faire plusieurs suppositions à propos des utilisateurs qui exécuteraient le script. Ces suppositions sont au nombre de cinq :

• Le script suppose que vous suivez la meilleure pratique standard : utiliser des noms de comptes Administrator uniques et des mots de passe uniques pour vos serveurs. Cependant, si tous vos noms de comptes Administrator sont identiques ou si vous utilisez un mot de passe pour tous les serveurs, vous pouvez spécifier ce nom de compte ou mot de passe commun pour chaque serveur, de la même manière que vous spécifieriez le nom ou le mot de passe unique.
• Le script suppose que vos serveurs sont online. Comme l’information de compte Administrator se trouve dans la base de données des comptes serveurs locaux et pas dans l’AD (Active Directory), vos serveurs doivent être online pour que les changements soient effectifs. PWcheck-change déterminera si le serveur est online, avant d’essayer de vérifier ou de changer un mot de passe.
• Le script suppose que vos mots de passe respectent les critères de longueur et de complexité que vous avez vous-mêmes instaurés pour votre système. Ainsi, si vous avez défini une longueur minimale de huit caractères pour les mots de passe Administrator, il ne faut pas utiliser le script pour définir un mot de passe de six caractères. Même chose si vous utilisez des mots de passe puissants : n’utilisez pas le script pour définir un mot de passe qui ne contient pas le mélange et la combinaison de caractères requis. D’ailleurs si vous violez vos propres règles de mot de passe, les éventuelles erreurs commises dans le changement seront enregistrées dans le fichier log.
• Le script suppose que vos mots de passe n’incluent aucun caractère réservé de script shell Windows. En effet, certains caractères tout à fait utilisables dans des mots de passe sont aussi des caractères réservés dans le script shell. Evitez les caractères réservés suivants comme caractères de mot de passe :
  , ^ & < > ( ) _ = " ;
  Si vous essayez de les utiliser, le changement de mot de passe échouera probablement.
  Les caractères suivants sont tout à fait licites :
  $ % @ # ! _ ‘ ~ . + _ – *: \ /
  Toutefois, la différence entre une apostrophe (_) et un guillemet simple (‘) peut être difficile à distinguer, tout comme d’ailleurs certains chiffres et lettres courants. Ainsi, la lettre l minuscule, une lettre I majuscule et le chiffre 1 peuvent tous se ressembler, comme d’ailleurs le O majuscule et le chiffre 0. Vous pouvez utiliser des caractères, des lettres et des chiffres difficiles à distinguer, mais faites très attention en les tapant.
• Le script suppose qu’il n’y a pas de connexions persistantes ouvertes vers vos serveurs. En mode check, PWcheck-change se connecte par l’intermédiaire du share IPC$ pour tester la combinaison nom d’utilisateur et mot de passe. Si un serveur a une connexion persistante ouverte, le script pourrait être incapable de « tuer » la connexion et vous pourriez obtenir un retour incorrect à propos des mots de passe.