Les pirates informatiques ne se contentent pas de s'introduire dans les systèmes. Parfois, il leur suffit simplement de se connecter. Ce qui est facile, compte tenu de l'état actuel de la sécurité des mots de passe.
L'approche la plus courante en matière d' s de gestion des identités et des accès (IAM) d' — à savoir le nom d'utilisateur et le mot de passe — ne donne plus satisfaction depuis longtemps. Les pirates informatiques lancent en moyenne 50 millions d' attaques par mot de passe chaque jour, soit environ 580 par seconde. Selon Verizon, environ 60 % des violations de données seraient dues à la compromission d'identifiants.
Le coût moyen d'une fuite de données est estimé à 4,2 millions de dollars, les identifiants piratés arrivant en tête des vecteurs d'attaque les plus courants, représentant 20 % de l'ensemble des fuites. De plus, la réinitialisation des mots de passe est l'une des principales raisons pour lesquelles les employés contactent les services d'assistance informatique, ce qui coûte aux entreprises jusqu'à 70 dollars par appel, selon les estimations de Forrester. Les grandes entreprises américaines consacrent chaque année plus d'un million de dollars à la réinitialisation des mots de passe .
Bill Gates avait prédit, dans un article célèbre , la disparition des mots de passe il y a 18 ans. Et pourtant, malgré les nombreux efforts déployés par le secteur pour trouver de meilleures alternatives, les identifiants et mots de passe sont toujours utilisés dans la plupart des services informatiques d'
.
Mais cela pourrait enfin changer, maintenant que les chefs d'entreprise prennent conscience des limites de la sécurité par mot de passe. À mesure que les outils d'authentification s'améliorent et que l'architecture « zero trust » ( ) s'impose comme le modèle dominant en matière de cybersécurité, de plus en plus d'organisations commencent à mettre en œuvre des approches sans mot de passe, telles que l'authentification multifactorielle (MFA) , la biométrie et les outils d'authentification unique (SSO).
Et alors que les cyberattaques visant les entreprises et les infrastructures critiques américaines devraient s’intensifier à la suite de l’invasion de l’Ukraine par la Russie, l’ , la Maison Blanche et ainsi que l’Agence pour la cybersécurité et la sécurité des infrastructures exhortent vivement les organisations des secteurs public et privé à exiger des méthodes d’authentification qui ne reposent pas sur des mots de passe.
« La tendance vers une sécurité sans mot de passe est bien réelle », déclare Frank Dickson, vice-président chargé des programmes au sein du pôle de recherche sur la cybersécurité et la confiance d’IDC. « Les entreprises ne vont pas abandonner les mots de passe du jour au lendemain, car cela s'avère complexe. » « Mais nombreux sont ceux qui se sont engagés dans cette voie, y compris certains des plus grands noms du secteur des technologies. »
Une nouvelle priorité stratégique en matière de sécurité des mots de passe
La tendance chez les grandes entreprises technologiques est à un avenir sans mot de passe. Microsoft a permis aux utilisateurs professionnels de se connecter à leurs comptes sans mot de passe et a même conseillé aux utilisateurs de se débarrasser des mots de passe une bonne fois pour toutes. De la même manière, Google a pris des mesures pour supprimer progressivement les mots de passe en faisant de l'authentification à deux facteurs via un téléphone le paramètre par défaut pour les comptes Google. Et Apple, qui intègre la reconnaissance faciale dans
ses ordinateurs et ses smartphones, s'est engagé à supprimer les mots de passe en 2020, alors même que la pandémie commençait à s'intensifier.
«Lorsque nous aurons trouvé notre rythme de croisière, cela va véritablement changer la donne. »Kurt John, responsable de la cybersécurité chez Siemens USA
Il n'y a pas que ces géants de la technologie qui ouvrent la voie. En effet, 85 % des professionnels de l'informatique et de la cybersécurité affirment que l'adoption d'une sécurité sans mot de passe figure parmi leurs principales initiatives stratégiques, selon un rapport de l'Enterprise Strategy Group (ESG).
L'un de ces responsables est Kurt John, directeur de la cybersécurité chez Siemens USA, qui supervise la politique de sécurité pour 40 000 collaborateurs aux États-Unis. John a déclaré à Endpoint que son entreprise, comme beaucoup d'autres, était confrontée à des difficultés liées au coût et à la complexité de la gestion des identifiants et des mots de passe. Le fait d'exiger des employés et des clients qu'ils modifient régulièrement leurs identifiants nuit également à l'expérience utilisateur.
Siemens étudie actuellement l'authentification sans mot de passe dans le cadre d'un programme « zero-trust » couvrant les technologies de l'information, les technologies opérationnelles et les produits. Le modèle « zero trust » part du principe que chaque personne et chaque machine constituent une menace potentielle, sauf preuve du contraire.
[À lire également : Il est temps d'abandonner le VPN au profit du modèle « zero trust »]
John prévoit de recourir à une combinaison de technologies biométriques (telles que Windows Hello), d'outils d'analyse et d'intelligence artificielle pour authentifier les employés avant de leur accorder l'accès au réseau.
« Nous en sommes encore loin, mais lorsque nous aurons trouvé notre rythme de croisière, cela va véritablement changer la donne », déclare-t-il.
L'authentification unique et autres conseils issus de l'expérience de terrain
Prendre son temps est un thème récurrent chez les organisations qui envisagent de passer à une sécurité sans mot de passe.
La plupart des experts mettent en garde contre le fait d'en faire trop, trop vite, en adoptant une stratégie « sans mot de passe »
. Ils suggèrent plutôt de commencer par de petits projets pilotes d’
, puis de tester pour voir ce qui fonctionne avec les systèmes existants —
— ainsi qu’avec les collaborateurs, les clients et les partenaires, dont les retours d’expérience peuvent permettre de réorienter les programmes.
«Le problème, c’est que tout le monde va essayer de vous enfermer dans son écosystème. »Doug Cavit, responsable de la sécurité des systèmes d'information (RSSI), Containn
« Il faut se faire une idée du fonctionnement de la technologie et se familiariser avec l’expérience de l’utilisateur final, tant lors de l’inscription que lors de l’utilisation courante », explique M. Schaufenbuel. « Ensuite, étendez progressivement le projet pilote jusqu’à ce que vous vous sentiez suffisamment à l’aise pour vous lancer dans un déploiement à grande échelle. »
Il s'avère qu'il existe des moyens prudents de renforcer l'utilisation des mots de passe pendant cette période de transition. M. Dickson, d'IDC, explique comment aborder les projets visant à supprimer les mots de passe par étapes. Tout d'abord, il propose de mettre à la disposition des utilisateurs un outil de gestion leur permettant de maîtriser le « chaos des mots de passe » au sein de leurs organisations. Cela peut sembler aller à l'encontre de l'idée de se passer de mot de passe. Mais il estime qu’il est nécessaire de regrouper toutes les informations d’identification au même endroit pour pouvoir s’en débarrasser.
Par ailleurs, selon M. Dickson, les organisations devraient adopter un outil d'authentification unique, qui stocke les mots de passe et évite ainsi aux employés de devoir les mettre à jour et les gérer en permanence. « Un système d'authentification unique (SSO) est particulièrement utile pour accéder aux applications SaaS (Software-as-a-Service) destinées aux entreprises et aux particuliers », ajoute-t-il.
« Nous sommes passés du chaos à un gestionnaire de mots de passe, puis à une authentification unique avec authentification à deux facteurs », explique M. Dickson. « Et, tout à coup, nos expériences s'améliorent. »
[À lire également : Améliorer l'expérience numérique des collaborateurs]
La troisième étape consiste à contrôler les règles d'identité et d'accès. Il souligne que tous les employés n'ont pas nécessairement besoin d'accéder à tous les recoins des réseaux d'entreprise. Pour certains, il suffit simplement de pouvoir télécharger Office 365 et quelques outils d'
s financières et de gestion des ressources humaines pour faire leur travail. Les organisations doivent donc rationner l'accès à leurs ressources informatiques en fonction du principe du « besoin d'en connaître ».
« Le dernier point concerne la suppression des mots de passe », explique M. Dickson. À terme, les systèmes informatiques, les collaborateurs et les appareils de l'organisation fonctionneront, pour l'essentiel, sans qu'il soit jamais nécessaire de saisir un mot de passe.
Méfiez-vous des solutions de facilité en matière de sécurité des mots de passe
De nombreux fournisseurs proposent désormais des solutions sans mot de passe censées offrir des fonctionnalités d'authentification multifactorielle (MFA) ou de « zero trust » tout-en-un aux organisations désireuses de se lancer sans tarder dans cette voie. En effet, certaines start-ups prometteuses attirent des investissements en capital-risque colossaux grâce à cette approche accélérée.
Mais John de Siemens met en garde les entreprises contre le risque de se précipiter trop vite sur ce genre d'offres. « Ne vous contentez pas de choisir la première solution sans mot de passe qui se présente », dit-il. « Vous devez faire preuve de diligence raisonnable et examiner toutes les options qui s'offrent à vous. » Il recommande de bien réfléchir à votre stratégie à moyen et long terme : « Certaines de ces solutions vous apporteront des bénéfices à court terme, mais leur impact sur vos objectifs s'amenuisera avec le temps », explique-t-il.
Doug Cavit, responsable de la sécurité des systèmes d'information (RSSI) chez Containn, une société de logiciels qui aide les organisations à créer et à déployer des infrastructures multicloud sécurisées, met également en garde contre le fait de s'engager à la hâte dans l'écosystème d'un seul fournisseur. Oui, l'argument selon lequel les pièces d'un puzzle s'emboîtent mieux lorsqu'elles proviennent de la même boîte reste valable. Mais si vos systèmes back-end hérités ne sont pas adaptés à leur infrastructure, une plateforme sans mot de passe risque de ne pas fonctionner correctement.
« Le problème, c’est que tout le monde va essayer de vous enfermer dans son écosystème », explique M. Cavit. « Mais si mon entreprise est moins homogène, ce qui est le cas de nombreuses entreprises, je réfléchirais à deux fois avant de m'engager dans cette voie. »
Méthodes d'authentification sans mot de passe « » : les smartphones comme clés d'itinérance ?
De nombreuses organisations estiment que l'avenir de la sécurité sans mot de passe — au-delà de l'authentification unique, des audits d'accès et d'autres mesures — réside dans l'utilisation des smartphones comme dispositifs d'authentification mobiles. L'Alliance FIDO, une association professionnelle spécialisée dans l'authentification sécurisée, travaille sur ce type de technologie depuis 10 ans. Ses dernières normes d'authentification sans mot de passe, à savoir FIDO2 et WebAuthn , , intégreraient des fonctionnalités cryptographiques permettant une connexion sécurisée aux sites web, aux réseaux d'entreprise et aux appareils.
«De nouvelles technologies et approches sans mot de passe font leur apparition, et elles sont tout simplement meilleures. »Richard Stiennon, analyste-chef de recherche chez IT-Harvest
Les utilisateurs se connecteraient à leurs propres appareils à l'aide de données biométriques, telles que la reconnaissance faciale ou la reconnaissance d'empreintes digitales. Le Bluetooth, quant à lui, permettrait de vérifier la proximité physique de l'utilisateur. Si le propriétaire d'un smartphone réside à Austin, au Texas, mais qu'une connexion semble provenir de Biloxi, dans le Mississippi, l'appareil pourrait détecter cette divergence et bloquer l'accès au site. En théorie, cela permettrait de réduire au minimum les menaces de phishing de type « », car celles-ci reposent souvent sur le vol de mots de passe, une technique de piratage qui serait ainsi éliminée.
Bien sûr, l'approche FIDO a ses détracteurs. Certains experts en sécurité se plaignent que la norme FIDO2 obligerait les utilisateurs à emporter leurs appareils partout avec eux pour se connecter aux réseaux. D'autres, comme Richard Stiennon, analyste en chef chez IT-Harvest, soulignent que si des centaines de certificats numériques sont stockés sur un appareil et qu'un utilisateur le perd — or, selon certaines sources, 70 millions de smartphones seraient perdus chaque année —, cela complique considérablement la situation.
« Si c'est quelque chose que vous utilisez au travail, que faites-vous alors ? » demande Stiennon. « Est-ce que vous en informez tout le monde ? » À votre employeur ? Ce n'est peut-être pas un problème. Mais qu'en est-il si vous êtes l'opérateur téléphonique ? « Faut-il alors prévenir la banque en cas de perte du téléphone sur lequel figure son numéro d'identification ? »
Selon les experts, la sécurité sans mot de passe a peu de chances de s'imposer du jour au lendemain comme méthode d'authentification dominante. Mais ils estiment qu'après des décennies de belles paroles, les organisations passent enfin à l'action.
« Je suis prêt à affirmer que les mots de passe sont en voie de disparition », déclare Stiennon. « Je ne dis pas cela parce qu’ils sont vraiment mauvais. » Ils ont rempli leur rôle. Je dis cela parce que de nouvelles technologies et approches sans mot de passe font leur apparition, et qu'elles sont tout simplement plus efficaces. « Et avec le temps, vous n'aurez plus besoin de mots de passe pour vous connecter. »
