Pourquoi un login et un mot de passe ne suffisent pas

Vous venez d'acheter quelque chose en ligne via une nouvelle boutique de commerce électronique ? Ou peut-être avez-vous essayé un service en ligne de manipulation de photos ? L'explosion des services sur l'internet a changé la donne pour plus de 4 milliards de personnes sur Terre, et elle continue de croître rapidement. Mais chacun de ces services a une question simple : inscrivez-vous. Choisissez un login et un mot de passe.

C'est là que notre cerveau est mis au défi. Quel mot de passe dois-je utiliser ? Dois-je en créer un nouveau ? Dois-je réutiliser celui que j'ai déjà utilisé ? Je pense que vous savez déjà lequel est le plus populaire. Jetons un coup d'œil à quelques statistiques :

• la plupart d'entre nous réutilisent le même mot de passe plus de 80% du temps - le cerveau humain n'est pas fait pour se souvenir de dizaines de mots de passe différents (complexes)
• 47% des personnes réutilisent leurs mots de passe pendant plus de 5 ans ; 21% conservent même le même pendant plus d'une décennie.
• presque 1 ou 3 (29% pour être exact) partagent leur mot de passe avec d'autres personnes

Une façon de lutter contre une mémoire fragile tout en utilisant des mots de passe forts et variés est de demander à votre navigateur de les enregistrer. Très pratique, jusqu'à ce que votre appareil tombe entre de mauvaises mains après avoir été piraté ou volé. Ce qui est encore pire, c'est l'habitude d'écrire vos mots de passe sur des post-it ou autres papiers, une habitude qu'environ 30% des gens admettent faire.

Tout cela ne semble pas très sûr. Si le seul mot de passe que vous continuez à utiliser est piraté ou volé, les pirates pourraient alors accéder à pratiquement tous vos services en ligne : votre compte de médias sociaux, vos boutiques de commerce électronique, etc.

L'AMF à la rescousse !

En tant qu'entreprise, vous devez vous protéger contre ces risques. Le fait que vos données tombent entre les mains de criminels peut vous coûter très cher. L'utilisation de 'Authentification multi-facteurs(AMF) est généralement considérée comme une bonne pratique aujourd'hui.

La définition de Wikipedia est la suivante : "L'authentification multifactorielle (AMF) est une méthode de confirmation de l'identité déclarée d'un utilisateur, dans laquelle l'utilisateur d'un ordinateur n'est autorisé à accéder au système qu'après avoir présenté avec succès au moins deux éléments de preuve (ou facteurs) à un mécanisme d'authentification : connaissance (quelque chose que l'utilisateur et lui seul sait), possession (quelque chose que l'utilisateur et lui seul possède) et inhérence (quelque chose que l'utilisateur et lui seul est).. L'authentification à deux facteurs (également connue sous le nom de 2FA) est un type (sous-ensemble) d'authentification multifactorielle. Il s'agit d'une méthode permettant de confirmer les identités revendiquées par les utilisateurs en utilisant une combinaison de deux facteurs différents : 1) quelque chose qu'ils savent, 2) quelque chose qu'ils ont, ou 3) quelque chose qu'ils sont."

En d'autres termes :

1. Quelque chose que vous connaissez : votre mot de passe classique (avec tous les risques qui y sont associés).
2. Quelque chose que vous possédez : par exemple un code unique à 6 chiffres généré sur un générateur de jetons (comme une application mobile ou un générateur de jetons physiques). Toutefois, il peut également s'agir de votre empreinte digitale.
3. Quelque chose que vous êtes : par exemple, un nom de connexion ou une adresse électronique.

Les facteurs de "possession" peuvent être regroupés comme suit

• jetons déconnectés - n'ont aucune connexion avec l'ordinateur client. Ils utilisent généralement un écran intégré pour afficher les données d'authentification générées, qui sont saisies manuellement par l'utilisateur. Les jetons matériels RSA SecurID en sont un exemple bien connu.
• jetons connectés - dispositifs qui sont physiquement connectés à l'ordinateur à utiliser. Ces dispositifs transmettent les données automatiquement. Qu'il s'agisse de lecteurs de cartes, de tags sans fil ou de jetons USB, le dénominateur commun est qu'ils établissent une connexion avec le dispositif auquel vous voulez vous connecter.
• Les jetons logiciels - (alias soft token) sont un type de dispositif de sécurité à double facteur d'authentification qui peut être utilisé pour autoriser l'utilisation de services informatiques. Les jetons logiciels sont stockés sur un dispositif électronique polyvalent tel qu'un ordinateur de bureau, un ordinateur portable, un PDA ou un téléphone mobile et peuvent être dupliqués (contrairement aux jetons matériels, où les informations d'identification sont stockées sur un dispositif matériel dédié et ne peuvent donc pas être dupliquées). Parmi les exemples, citons Google Authenticator ou Microsoft Authenticator.

Avec l'essor des appareils mobiles tels que les smartphones et les tablettes, un nouveau type de facteur a gagné en popularité : les facteurs inhérents. Il s'agit de facteurs associés à l'utilisateur et sont généralement des méthodes biométriques, notamment la reconnaissance des empreintes digitales, du visage, de la voix ou de l'iris. Des méthodes biométriques comportementales, telles que la dynamique de frappe, peuvent également être utilisées.

En d'autres termes, il existe clairement un grand nombre de solutions et de fournisseurs. En d'autres termes, les entreprises ont peu d'excuses pour ne pas utiliser l'AMF.

Awingu offre une solution MFA intégrée

Awingu est une solution d'"espace de travail unifié". Elle permet aux entreprises d'exécuter les applications et les fichiers de leur société sur le navigateur de n'importe quel appareil. Awingu est livré avec une solution MFA intégrée sous la forme d'un générateur de "One Time Password" (OTP). Il fonctionne avec "Google Authenticator" comme jeton logiciel. Google Authenticator est une application gratuite et est disponible sur toutes les plateformes.

Utilisez Google Authenticator pour générer votre mot de passe sécurisé à usage unique.

Si, pour quelque raison que ce soit, la solution intégrée ne répond pas à vos besoins, Awingu a des intégrations avec des fournisseurs basés sur RADIUS, Duo Security (maintenant Cisco), SMS Passcode et Azure MFA.

Aperçu des technologies MFA prises en charge par Awingu (4.0 - juillet 2018)

L'utilisation de l'authentification forte peut être déclenchée par le contexte de l'utilisateur ("context awareness"). Les administrateurs informatiques peuvent, par exemple, imposer l'utilisation de l'authentification à deux facteurs si les utilisateurs se trouvent en dehors du réseau de leur entreprise (par exemple, à la maison, à l'aéroport), mais autoriser la connexion avec un simple identifiant/mot de passe lorsqu'ils se trouvent sur le réseau (sécurisé) de l'entreprise.

Pour en savoir plus sur les mesures de sécurité d'Awingu, consultez le site suivant ce lienou contactez-nous pour en savoir plus.

Sources
https://mashable.com/2017/02/28/passwords-reuse-study-keeper-security/?europe=true#8AV__gDrM8qo
https://en.wikipedia.org/wiki/Multi-factor_authentication
https://blog.dashlane.com/wp-content/uploads/2015/09/report_passwordsharing_US-1.pdf