Sécurité informatique : la protection de votre vie privée au CERN est importante

Bravo à tous ceux et celles qui ont compris que notre dernier article dans le Bulletin (« Concours CERN de mots de passe sécurisés » - voir ici) était un poisson d'avril ! Il n'y a évidement pas d'analyse, pas de jury, et il n'y aura pas de compétition. Par conséquent, nous avons le regret de vous informer qu'il n'y aura pas de vainqueur non plus... Évidemment, l'extension de l'historique des mots de passe et l'idée d'interdire ceux utilisés par d'autres utilisateurs n’ont également aucun sens.

 

 

En réalité, les équipes responsables de la sécurité informatique, du service des comptes informatiques CERN, du portail d'authentification (Single Sign-On), ainsi que le Service Desk ne connaissent pas votre mot de passe et n'ont aucune raison de le connaître. Vos mots de passe sont en effet « salés » et « hachés » au moyen de fonctions de hachage cryptographiques telles que SHA256 avec salage (et donc non réversibles). Ainsi, il n'y a pas de base de données contenant vos mots de passe en clair, et personne d'autre que vous ne peut les connaître... sauf, bien entendu, si vous les avez révélés, intentionnellement ou par accident.

Souvenez-vous que votre mot de passe est le vôtre, et le vôtre uniquement, alors ne le donnez à personne ! Soyez particulièrement attentifs aux courriels d'hameçonnage (ou « phishing ») qui tentent de vous convaincre d’envoyer votre mot de passe. Personne de légitime ne vous demandera votre mot de passe : ni nous, ni le Service Desk, ni votre superviseur. Il en va de même pour Google, Amazon, votre banque et tout autre service sur internet. N’entrez jamais votre mot de passe CERN sur des pages web qui ne ressemblent pas au portail d'authentification CERN (Single Sign-On  ̶  nous faisons de notre mieux pour que toutes les authentifications se fassent par ce portail). Vérifiez aussi que la page en question est en « https:// » et qu’elle fait partie du domaine « cern.ch » (actuellement, le portail d'authentification est accessible via https://login.cern.ch/).

Dans le cas exceptionnel où nous devrions accéder à votre compte, votre boîte mail, ou vos dossiers privés (tels que « Mes Documents » sur DFS (Distributed File System) ou « private » sur AFS (Andrew File System)), des procédures strictes sont appliquées. Imaginons par exemple qu’un de vos étudiants soit en vacances en Amazonie, injoignable par téléphone ou courriel, et que vous, en tant que superviseur, ayez besoin d'un document stocké dans sa boîte mail... Les procédures pour accéder à ce document sont régies par la politique du CERN sur l'« Accès par des tiers aux comptes et données des utilisateurs ». Soyez prêt à fournir toutes les informations qui pourront vous être demandées. Le responsable de la sécurité informatique examinera votre requête en vue de son éventuelle approbation sur la base des informations dont il dispose. Afin de garantir une transparence totale, le propriétaire légitime du document sera informé de cet accès, afin qu'il puisse en contester le bien-fondé a posteriori. En revanche, si vous avez besoin d'un accès complet et illimité à des comptes ou données ne vous appartenant pas, l'approbation écrite du Directeur général du CERN est nécessaire, ainsi que l’intervention du Service juridique du CERN et du chef du département IT.


N'hésitez pas à contacter l'équipe de sécurité informatique
ou à consulter notre site web.

Si vous voulez en savoir plus sur les incidents et les problèmes de sécurité informatique rencontrés au CERN, consultez notre rapport mensuel (en anglais).


Accédez à la collection complète d'articles de l'équipe de sécurité informatique ici.

par Stefan Lueders, Computer Security Team