Les pirates informatiques ne se contentent pas d’intervenir. Parfois, il leur suffit de se connecter. Ce qui est facile, étant donné l’état de la sécurité des mots de passe aujourd’hui.
L’approche de gestion des identités et des accès (IAM) la plus courante, nom d’utilisateur et mot de passe, n’a pas fait de bon travail depuis longtemps. Les pirates informatiques lancent en moyenne 50 millions d’attaques par mot de passe chaque jour, soit environ 580 par seconde. Selon Verizon, environ 60 % des violations de données sont attribuées à des informations d’identification compromises.
Le coût moyen d’une violation de données est estimé à 4,2 millions USD, les informations d’identification compromises prenant les plus grands honneurs pour le vecteur d’attaque le plus courant, représentant 20 % de toutes les violations. De plus, les réinitialisations de mot de passe sont l’une des principales raisons pour lesquelles les employés appellent les centres d’assistance informatique, et cela coûte aux entreprises jusqu’à 70 USD pour chaque appel, selon Forrester. Les grandes organisations américaines allouent plus de 1 million USD par an pour la réinitialisation des mots de passe.
Bill Gates a prédit la disparition des mots de passe il y a 18 ans. Pourtant, malgré de multiples efforts du secteur pour trouver de meilleures alternatives, les noms d’utilisateur et les mots de passe restent en place dans la plupart des organisations
informatiques.
Mais cela pourrait enfin changer maintenant que les chefs d’entreprise reconnaissent les limites de la sécurité des mots de passe. Alors que les outils d’authentification s’améliorent et que la confiance zéro devient le modèle de cybersécurité dominant, de plus en plus d’organisations commencent à mettre en œuvre des approches sans mot de passe, telles que l’ authentification multifacteur (AMF), la biométrie et les outils d’authentification unique (SSO).
Et avec les cyberattaques contre les entreprises américaines et les infrastructures critiques qui devraient s’intensifier suite à l’invasion de l’Ukraine par la Russie, la Maison-Blanche et l’ Agence de cybersécurité et de sécurité des infrastructures exhortent fortement les organisations des secteurs public et privé à exiger des méthodes d’authentification qui ne dépendent pas des mots de passe.
« La volonté d’une sécurité sans mot de passe est très, très réelle », déclare Frank Dickson, vice-président du programme dans la pratique de recherche en cybersécurité et confiance d’IDC. « Les organisations ne vont pas remuer les mots de passe du jour au lendemain, car cela est complexe. Mais beaucoup sont sur cette voie, y compris certains des plus grands noms de la technologie. »
Une nouvelle priorité stratégique en matière de sécurité des mots de passe
La tendance des grandes entreprises technologiques est vers un avenir sans mots de passe. Microsoft a permis aux utilisateurs commerciaux de se connecter à leurs comptes sans mots de passe et a même dit aux gens de se débarrasser complètement des mots de passe. Google a également été déplacé pour supprimer progressivement les mots de passe en faisant de l’authentification à deux facteurs à l’aide d’un téléphone la valeur par défaut pour les comptes Google. Et Apple, avec la reconnaissance faciale sur
ses ordinateurs et smartphones, s’est engagée à axer les mots de passe en 2020, tout comme la pandémie s’est intensifiée.
« Lorsque nous atteindrons notre objectif, cela va vraiment changer la donne. »Kurt John, directeur de la cybersécurité, Siemens USA
Il ne s’agit pas seulement de ces géants technologiques qui ouvrent la voie. En fait, 85 % des professionnels de l’informatique et de la cybersécurité déclarent que l’adoption de la sécurité sans mot de passe fait partie de leurs initiatives stratégiques principales, selon un rapport du groupe Enterprise Strategy Group (ESG).
L’un de ces leaders est Kurt John, directeur de la cybersécurité pour Siemens USA, qui supervise la politique de sécurité pour 40 000 employés américains. John a déclaré à Endpoint que son organisation, comme beaucoup, était frustrée par le coût et la complexité de la gestion des noms d’utilisateur et des mots de passe. Exiger des employés et des clients qu’ils modifient régulièrement les informations d’identification entraîne également une mauvaise expérience utilisateur.
Siemens évalue l’authentification sans mot de passe dans le cadre d’un programme Zero Trust pour les technologies de l’information, les technologies opérationnelles et les produits. La confiance zéro suppose que chaque personne et chaque machine est une menace potentielle, sauf preuve contraire.
[Lire également : il est temps d’abandonner le VPN pour Zero Trust]
John prévoit d’appliquer un mélange de technologies biométriques (comme Windows Hello), d’analyses et d’intelligence artificielle pour authentifier les employés avant qu’ils ne reçoivent un accès réseau.
« Nous sommes encore loin, mais lorsque nous atteindrons notre objectif, cela changera vraiment la donne », dit-il.
Authentification unique et autres conseils des tranchées
Prendre son temps est un thème courant pour les organisations qui s’orientent vers une sécurité sans mot de passe.
La plupart des experts avertissent de ne pas essayer d’en faire trop trop tôt avec
une stratégie sans mot de passe. Ils suggèrent plutôt de commencer par de petits projets
pilotes et des tests pour voir ce qui fonctionne avec les systèmes existants,
ainsi que les employés, les clients et les partenaires, dont les commentaires peuvent remodeler les programmes.
« Le problème est que tout le monde essaiera de vous enfermer dans son écosystème. »Doug Cavit, RSSI, Containn
« Vous souhaitez comprendre le fonctionnement de la technologie et l’expérience de l’utilisateur final, à la fois pendant l’inscription et lors d’une utilisation régulière », déclare Schaufenbuel. « Ensuite, développez lentement le pilote jusqu’à ce que vous vous sentiez suffisamment à l’aise pour vous attaquer à un déploiement à grande échelle. »
Il s’avère qu’il existe des moyens prudents de renforcer l’utilisation des mots de passe pendant cette période de transition. Dickson d’IDC décrit l’approche des projets sans mot de passe par étapes. Tout d’abord, il suggère de donner aux utilisateurs un outil de gestion pour contrôler le « chaos des mots de passe » dans leurs organisations. Cela peut sembler l’opposé d’un passage sans mot de passe. Mais il pense qu’il est nécessaire d’avoir des informations d’identification en un seul endroit pour les éliminer.
Ensuite, Dickson explique que les organisations doivent adopter un outil d’authentification unique, qui stocke les mots de passe et élimine le besoin pour les employés de les mettre à jour et de les suivre en continu. Une SSO est particulièrement utile pour accéder aux applications SaaS (logiciel en tant que service) des entreprises et des consommateurs, ajoute-t-il.
« Nous sommes passés du chaos à un coffre-fort de mots de passe en passant par une authentification unique avec authentification à deux facteurs », déclare Dickson. « Et soudain, nos expériences s’améliorent. »
[Lire également : Améliorer l’expérience numérique des employés]
La troisième étape implique l’audit des règles d’identité et d’accès. Tous les employés, note-t-il, n’ont pas besoin d’accéder à tous les coins et toutes les folies des réseaux d’entreprise. Certains nécessitent un peu plus que la possibilité de télécharger Office 365 et quelques
outils financiers et de ressources humaines pour faire leur travail. Les organisations doivent donc évaluer leurs actifs informatiques selon le principe du « besoin de voir ».
La dernière étape consiste à supprimer les mots de passe, explique Dickson. À terme, les systèmes informatiques, les employés et les appareils de l’organisation fonctionneront, pour la plupart, sans avoir à saisir de mot de passe.
Méfiez-vous des réponses faciles à la sécurité des mots de passe
De nombreux fournisseurs proposent désormais des solutions sans mot de passe qui offrent vraisemblablement des capacités MFA à guichet unique ou Zero Trust pour les organisations désireuses d’aller tout-en-un plus tôt que plus tard. En fait, certaines startups prometteuses attirent des investissements en capital-risque impressionnants sur la base de cette approche accélérée.
Mais John de Siemens avertit les entreprises de ne pas sauter trop rapidement vers de telles offres. « Ne vous contentez pas de choisir la première solution sans mot de passe qui arrive », dit-il. « Vous souhaitez faire preuve de diligence raisonnable et étudier toutes vos options disponibles. » Il recommande de réfléchir à votre stratégie à moyen et long terme : « Certaines de ces solutions vous apporteront un gain à court terme, mais auront des rendements décroissants pour vos objectifs », dit-il.
Doug Cavit, RSSI pour Containn, une société de logiciels qui aide les organisations à construire et déployer une infrastructure multicloud sécurisée, avertit également de l’achat rapide dans l’écosystème de tout fournisseur unique. Oui, l’argument est toujours valide que les pièces d’un puzzle s’assemblent mieux si elles sortent de la même boîte. Mais si vos systèmes existants back-end ne correspondent pas à leur infrastructure, une plateforme sans mot de passe peut ne pas fonctionner très bien.
« Le problème est que tout le monde essaiera de vous enfermer dans son écosystème », déclare Cavit. « Mais si je suis moins homogène, ce qui est vrai pour beaucoup d’entreprises, je repenserais aller dans cette direction. »
Méthodes d’authentification sans mot de passe : les smartphones comme clés d’itinérance ?
De nombreuses organisations pensent que l’avenir de la sécurité sans mot de passe, au-delà de l’authentification unique, des audits d’accès et d’autres ajustements, réside dans l’utilisation des smartphones comme authentificateurs itinérants. La FIDO Alliance, une association sectorielle axée sur l’authentification sécurisée, travaille sur cette technologie au cours des 10 dernières années. Ses dernières normes sans mot de passe FIDO2 et WebAuthn intégreraient des capacités cryptographiques pour une connexion sécurisée aux sites Web, réseaux d’entreprise et appareils.
« De nouvelles technologies et approches sans mot de passe s’offrent à vous et sont tout simplement meilleures. »Richard Stiennon, analyste de recherche en chef, IT-Harvest
Les utilisateurs se connecteraient à leurs propres appareils à l’aide de la biométrie, comme la reconnaissance faciale ou par empreintes digitales. En attendant, le Bluetooth confirmerait la proximité physique de l’utilisateur. Si un propriétaire de smartphone vit à Austin, Texas, mais qu’une connexion semble provenir de Biloxi, Miss., l’appareil pourrait noter l’écart et bloquer l’accès au site. Théoriquement, cela minimiserait les menaces d’hameçonnage, car elles s’appuient souvent sur le vol de mots de passe, un piratage qui serait éliminé.
Bien sûr, l’approche FIDO a ses doutes. Certains experts en sécurité se plaignent que FIDO2 obligerait les utilisateurs à transporter des appareils tout le temps pour se connecter aux réseaux. D’autres, tels que Richard Stiennon, analyste de recherche en chef chez IT-Harvest, notent que si des centaines de certificats numériques sont stockés sur un appareil et qu’un utilisateur le perd, et que 70 millions de smartphones seraient perdus chaque année, cela rend les choses difficiles.
[Lire également : chaque employé doit désormais faire partie de l’équipe de cybersécurité]
« Si c’est quelque chose que vous utilisez au travail, que faites-vous ? » Stiennon demande. « Le signalez-vous à tout le monde ? À votre employeur ? Peut-être que ce n’est pas un problème. Mais que se passe-t-il si vous êtes l’entreprise de téléphonie ? Devez-vous ensuite informer une banque lorsque le téléphone est perdu avec son adresse IP dessus ? »
Selon les experts, la sécurité sans mot de passe ne deviendra probablement pas l’approche d’authentification dominante du jour au lendemain. Mais ils pensent qu’après des décennies de discussion, les organisations marchent enfin.
« Je suis prêt à dire que les mots de passe disparaissent », déclare Stiennon. « Je ne dis pas ça parce qu’ils sont absolument mauvais. Ils ont servi un objectif. Je dis cela parce que de nouvelles technologies et approches sans mot de passe arrivent qui sont tout simplement meilleures. Et au fil du temps, vous n’aurez plus besoin de mots de passe pour vous connecter. »
