Y a-t-il une vie après le mot de passe ? FIDO2 et l’avenir de l’authentification.
Des mots de passe peu sûrs, p. ex. « password » ou « 123456 » sont encore largement utilisés, tout comme des noms faciles à deviner ou des chaînes de caractères trop courtes. Ces types de failles représentent littéralement une invitation aux pirates et donc un risque considérable pour les entreprises et les particuliers. De nouvelles technologies, dont FIDO2, déjà installées en de nombreux lieux, sont prometteuses. Elles sont sures, pratiques et fonctionnent sans mot de passe.
#Security Awareness #Security Risk Assessment
Les mots de passe sont encore un problème pour beaucoup d’utilisateurs – qui les considèrent comme étant trop compliqués et trop pénibles. C’est pourquoi les gens les notent quelque part et les réutilisent toujours et partout. Par conséquent, la sécurité de nombreux appareils et comptes reste en piètre état, malgré les gestionnaires de mots de passe et l’authentification à deux facteurs (2FA) existants[i]. Le manque de sécurité des données peut entraîner beaucoup de problèmes et des coûts élevés, voire, dans le pire des cas, des vols d’identités. Dans une entreprise, les mauvaises pratiques liées aux mots de passe peuvent entraîner des effets dévastateurs[ii].
FIDO – Fast Identity Online
L’Alliance FIDO développe des solutions d’authentification sécurisées depuis plus de dix ans et compte aujourd’hui plus de 250 membres, dont, entre autres, Google, Microsoft, Apple, Lenovo, RedHat, Huawei et Sony[iii]. FIDO2 remplace les mots de passe traditionnels par une cryptographie moderne et des procédures biométriques. Le système est basé sur une paire de clés asymétriques : la clé publique est enregistrée auprès du service, tandis que la clé privée reste en sécurité sur l’appareil de l’utilisateur. Pour la connexion, une signature est générée sans que des données sensibles ne soient transmises. L’authentification se fait soit au moyen de caractéristiques biométriques (p. ex. empreinte digitale ou reconnaissance faciale), soit par le biais d’un jeton de sécurité physique, p. ex. un smartphone ou une clé matérielle spéciale. Cela signifie que même si un pirate accède aux informations de login d’un service, il ne peut pas se connecter, car il lui manque la clé privée.
Où et quand pouvez-vous utiliser FIDO2 ?
Microsoft, Google et Apple ont accéléré le développement de FIDO2. Des services comme Gmail, YouTube, Outlook, Teams et iCloud, ainsi que des plateformes telles que PayPal, eBay et Dropbox, prennent en charge la technologie sans mot de passe. La connexion se fait par empreinte digitale ou reconnaissance faciale, et encore plus facilement par smartphone comme clé : celui-ci authentifie les sites Web ou les applications sur les appareils à proximité (par exemple des ordinateurs portables) par le biais de Bluetooth, NFC ou code QR – sur toutes les plateformes pour les appareils Apple, Android et Windows. Une nouveauté centrale est la synchronisation des clés de sécurité entre plusieurs appareils, de sorte qu’aucun enregistrement supplémentaire n’est nécessaire. Ces fonctions sont largement disponibles depuis 2023.
FIDO2 est unique mais pas seul
FIDO2 n’est pas la seule méthode d’authentification sans mot de passe, mais elle offre une combinaison de sécurité et de facilité d’utilisation que d’autres solutions n’atteignent pas : Magic Links[iv] envoie un lien de connexion temporaire par e-mail – ce qui est pratique, mais sujet au phishing. Les applications TOTP (Google Authenticator, Authy) génèrent des codes à usage unique – qui sont plus sûrs que les SMS, mais pas à l’abri du phishing[v].
Les cartes à puce (smartcards) avec PKI (Public Key Infrastructure) offrent une sécurité maximale, mais requièrent un matériel et une infrastructure informatique spéciaux[vi].
Windows Hello et la lutte contre les attaques assistées par l’IA
Les attaques assistées par l’IA rendent le vol de mots de passe de plus en plus efficace et permettent de pirater en quelques secondes les mots de passe faibles. FIDO2 empêche cela en n’utilisant pas de mots de passe, qui pourraient être devinés ou volés. Windows Hello de Microsoft combine la biométrie (depuis 2015) avec la technologie FIDO2 (depuis 2019) pour faire des logins sans mot de passe un standard. Selon Google, aucune attaque de phishing n’a été menée avec succès contre l’équipe depuis l’introduction de solutions basées sur FIDO et renforcées par FIDO2.
UMB pour la sécurité numérique
Le passage à FIDO2 est une étape cruciale pour sécuriser vos communications numériques. UMB fournit une expertise solide et des solutions complètes en termes d’authentification à deux facteurs, d’authentification multifactorielle, d’accès conditionnel, de protection des identités et de gestion des accès privilégiés. Nos concepts de sécurité modulaires sont spécialement adaptés aux besoins des entreprises modernes, car seules des mesures organisationnelles et des techniques équilibrées protègent votre entreprise de manière efficace et globale. C’est pourquoi il faut introduire de nouvelles dimensions de sécurité qui complètent la prévention classique (protection du réseau et du périmètre). Ainsi, nous créons non seulement de la sécurité, mais aussi du temps pour vous – que vous pouvez, par exemple, consacrer à vos activités clés.
Cela vous intéresse ? Contactez-nous pour en savoir plus.
[i] Qu’est-ce que l’authentification à deux facteurs (2FA) ? | Sécurité Microsoft
[ii] Die 10 größten Hackerangriffe auf Unternehmen (allemand)
[iii] FIDO Alliance - Open Authentication Standards More Secure than Passwords
[iv] Passwordless Authentication with Magic Links
[v] The Best Authenticator Apps for 2025 | PCMag
[vi] The Relation of Smart Cards with PKI
