{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Que va-t-il advenir de l'authentification et des mots de passe ? Traduction du rapport Javelin \u00ab \u00c9tat de l'authentification forte \u00bb avec commentaires.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Que
\n
\nLe spoiler du rapport \u00ab Le nombre de cas d'utilisation de l'authentification forte a augment\u00e9 en raison des menaces des nouveaux risques et des exigences des r\u00e9gulateurs \u00bb.
\nLa soci\u00e9t\u00e9 de recherche \u00ab Javelin Strategy & Research \u00bb a publi\u00e9 le rapport \u00ab L'\u00e9tat de l'authentification forte 2019 \u00bb ( l'original en format pdf peut \u00eatre t\u00e9l\u00e9charg\u00e9 ici<\/a><\/noindex>). Ce rapport indique quel pourcentage des entreprises am\u00e9ricaines et europ\u00e9ennes utilisent des mots de passe (et pourquoi peu de gens utilisent encore des mots de passe) ; pourquoi le pourcentage d'utilisation de l'authentification \u00e0 deux facteurs bas\u00e9e sur des tokens cryptographiques augmente rapidement ; pourquoi les codes \u00e0 usage unique envoy\u00e9s par SMS ne sont pas s\u00e9curis\u00e9s.<\/p>\n

\u00c0 tous ceux qui s'int\u00e9ressent au pr\u00e9sent, au pass\u00e9 et \u00e0 l'avenir de l'authentification dans les entreprises et les applications utilisateur \u2014 bienvenue.
\n<\/a><\/noindex>
\nDu traducteur<\/b><\/p>\n

Malheureusement, la langue dans laquelle ce rapport est r\u00e9dig\u00e9 est assez \u00ab s\u00e8che \u00bb et formelle. Et l'utilisation quintuple du mot \u00ab authentification \u00bb dans une m\u00eame courte phrase n'est pas le fait des mains (ou des cerveaux) maladroites du traducteur, mais le caprice des auteurs. En traduisant entre deux options \u2014 donner aux lecteurs un texte plus proche de l'original ou un texte plus int\u00e9ressant, j'ai parfois choisi la premi\u00e8re, parfois la deuxi\u00e8me. Mais aidez-vous, chers lecteurs, le contenu du rapport en vaut la peine.<\/p>\n

Certaines parties peu importantes et non n\u00e9cessaires \u00e0 la narration ont \u00e9t\u00e9 omises, sinon la plupart n'auraient pas pu supporter l'ensemble du texte. Ceux qui souhaitent consulter le rapport \u00ab sans filtre \u00bb peuvent le faire dans la langue originale en suivant le lien.<\/p>\n

Malheureusement, les auteurs ne sont pas toujours pr\u00e9cis dans leur terminologie. Ainsi, les mots de passe \u00e0 usage unique (One Time Password \u2013 OTP) sont parfois appel\u00e9s \u00ab mots de passe \u00bb, parfois \u00ab codes \u00bb. Avec les m\u00e9thodes d'authentification, c'est encore pire. Le lecteur non pr\u00e9par\u00e9 n'a parfois pas facile de deviner que \u00ab l'authentification utilisant des cl\u00e9s cryptographiques \u00bb et \u00ab l'authentification forte \u00bb ne sont qu'un seul et m\u00eame concept. J'ai essay\u00e9 de uniformiser au maximum les termes, d'autant plus qu'il y a un fragment dans le rapport avec leur description.<\/p>\n

N\u00e9anmoins, le rapport est fortement recommand\u00e9 \u00e0 la lecture, car il contient des r\u00e9sultats uniques de recherches et des conclusions correctes. <\/b><\/p>\n

Tous les chiffres et faits sont pr\u00e9sent\u00e9s sans aucune modification, et si vous n'\u00eates pas d'accord avec eux, il vaut mieux ne pas discuter avec le traducteur, mais avec les auteurs du rapport. Voici mes commentaires (mis en forme comme des citations, comme mentionn\u00e9 dans le texte en italique<\/i>) sont mon jugement d'expert et je suis pr\u00eat \u00e0 d\u00e9battre de chacun d'eux (comme de la qualit\u00e9 de la traduction). <\/p><\/blockquote>\n

<\/p>\n

Aper\u00e7u<\/h2>\n

\nAujourd'hui, pour les entreprises, les canaux num\u00e9riques de communication avec les clients sont plus importants que jamais. En interne aussi, les communications entre collaborateurs sont plus orient\u00e9es vers un environnement num\u00e9rique que jamais auparavant. La s\u00e9curit\u00e9 de ces interactions d\u00e9pend du mode d'authentification des utilisateurs choisi. Les cybercriminels exploitent une faible authentification pour des attaques massives sur les comptes utilisateurs. En r\u00e9ponse, les autorit\u00e9s r\u00e9glementaires resserrent les normes pour obliger les entreprises \u00e0 mieux prot\u00e9ger les comptes et les donn\u00e9es des utilisateurs.<\/p>\n

Les menaces li\u00e9es \u00e0 l'authentification ne concernent pas seulement les applications grand public, les cybercriminels peuvent \u00e9galement acc\u00e9der aux applications fonctionnant au sein de l'entreprise. Cette op\u00e9ration leur permet de se faire passer pour des utilisateurs d'entreprise. En utilisant des points d'acc\u00e8s avec une faible authentification, les cybercriminels peuvent voler des donn\u00e9es et r\u00e9aliser d'autres activit\u00e9s frauduleuses. Heureusement, des mesures sont mises en place pour lutter contre cela. Une authentification stricte peut consid\u00e9rablement r\u00e9duire le risque d'attaque par un cybercriminel, tant sur les applications grand public que sur les syst\u00e8mes d'entreprise.<\/p>\n

Cette \u00e9tude examine : comment les entreprises mettent en place des authentifications pour prot\u00e9ger les applications utilisateurs et les syst\u00e8mes d'entreprise ; les facteurs qu'elles prennent en compte lors du choix d'une solution d'authentification ; le r\u00f4le que joue une authentification stricte dans leurs organisations ; les avantages que ces organisations en retirent.<\/p>\n

R\u00e9sum\u00e9<\/h2>\n

<\/p>\n

Principales conclusions<\/h3>\n

\nDepuis 2017, le pourcentage d'utilisation de l'authentification stricte a consid\u00e9rablement augment\u00e9. <\/b> Avec l'augmentation du nombre de vuln\u00e9rabilit\u00e9s touchant les solutions d'authentification traditionnelles, les organisations renforcent leurs capacit\u00e9s d'authentification gr\u00e2ce \u00e0 une authentification stricte. Le nombre d'organisations utilisant l'authentification multifactorielle avec cryptographie (MFA) a tripl\u00e9 depuis 2017 pour les consommateurs et a augment\u00e9 de pr\u00e8s de 50 % pour les applications d'entreprise. La croissance la plus rapide est observ\u00e9e dans l'authentification mobile en raison de la disponibilit\u00e9 croissante de l'authentification biom\u00e9trique.<\/p>\n

Ici, nous voyons l'illustration du proverbe \u00ab tant que le tonnerre ne gronde pas, l'homme ne se signe pas \u00bb. Lorsque des experts mettaient en garde contre l'ins\u00e9curit\u00e9 des mots de passe, personne ne se pressait d'impl\u00e9menter l'authentification \u00e0 deux facteurs. D\u00e8s que des hackers ont commenc\u00e9 \u00e0 voler des mots de passe, tout le monde s'est mis \u00e0 mettre en \u0153uvre l'authentification \u00e0 deux facteurs.<\/p>\n

Il est vrai que les particuliers adoptent beaucoup plus activement 2FA. D'une part, il leur est plus facile de calmer leurs craintes en se fiant \u00e0 l'authentification biom\u00e9trique int\u00e9gr\u00e9e dans les smartphones, qui s'av\u00e8re en r\u00e9alit\u00e9 peu fiable. En revanche, les organisations doivent investir dans l'acquisition de jetons et r\u00e9aliser des travaux (en r\u00e9alit\u00e9 assez simples) pour leur mise en \u0153uvre. D'autre part, ceux qui parlent des fuites de mots de passe sur des services comme Facebook et Dropbox ne sont que des paresseux, tandis que les directeurs informatiques de ces organisations ne partageront en aucun cas des histoires sur le vol de mots de passe (et ce qu'il en advient). <\/p><\/blockquote>\n

\nCeux qui n'utilisent pas d'authentification stricte sous-estiment leur risque pour les entreprises et les clients. <\/b> Certaines organisations qui n'utilisent actuellement pas d'authentification stricte ont tendance \u00e0 consid\u00e9rer les identifiants et les mots de passe comme l'une des m\u00e9thodes d'authentification des utilisateurs les plus efficaces et les plus simples \u00e0 utiliser. D'autres ne voient pas la valeur des actifs num\u00e9riques qu'ils d\u00e9tiennent. Il faut tenir compte du fait que les cybercriminels sont int\u00e9ress\u00e9s par n'importe quelle information consommateur ou d'affaires. Deux tiers des entreprises qui utilisent uniquement des mots de passe pour authentifier leurs employ\u00e9s le font parce qu'elles estiment que les mots de passe sont suffisamment bons pour le type d'informations qu'elles prot\u00e8gent.<\/p>\n

Cependant, les mots de passe sont en route vers la \u00ab tombe \u00bb. <\/b> Au cours de l'ann\u00e9e \u00e9coul\u00e9e, la d\u00e9pendance aux mots de passe a consid\u00e9rablement diminu\u00e9, tant pour les applications grand public que pour les applications d'entreprise (de 44 % \u00e0 31 % et de 56 % \u00e0 47 % respectivement), les organisations \u00e9largissant l'utilisation de l'authentification multifacteur traditionnelle et de l'authentification stricte.
\nCependant, si l'on \u00e9value la situation dans son ensemble, les m\u00e9thodes d'authentification vuln\u00e9rables demeurent pr\u00e9dominantes. Pour l'authentification des utilisateurs, environ un quart des organisations utilisent un OTP SMS (code de s\u00e9curit\u00e9 \u00e0 usage unique) associ\u00e9 \u00e0 des questions secr\u00e8tes. En cons\u00e9quence, pour se prot\u00e9ger contre cette vuln\u00e9rabilit\u00e9, des mesures de s\u00e9curit\u00e9 suppl\u00e9mentaires doivent \u00eatre mises en place, ce qui augmente les co\u00fbts. L'utilisation de m\u00e9thodes d'authentification beaucoup plus fiables, telles que les cl\u00e9s cryptographiques mat\u00e9rielles, est beaucoup moins courante, trouvant application dans environ 5 % des organisations.<\/p>\n

L'environnement r\u00e9glementaire en \u00e9volution promet d'acc\u00e9l\u00e9rer l'adoption de l'authentification stricte pour les applications grand public. <\/b> Avec l'introduction de la PSD2, ainsi que de nouvelles r\u00e8gles de protection des donn\u00e9es dans l'UE et dans plusieurs \u00c9tats des \u00c9tats-Unis, comme la Californie, les entreprises ressentent une pression croissante. Pr\u00e8s de 70 % des entreprises conviennent qu'elles font face \u00e0 une forte pression r\u00e9glementaire pour garantir une authentification stricte pour leurs clients. Plus de la moiti\u00e9 des entreprises estiment que, dans quelques ann\u00e9es, leurs m\u00e9thodes d'authentification ne seront pas suffisantes pour respecter les normes r\u00e8glementaires.<\/p>\n

Il est clairement visible la diff\u00e9rence d'approches entre les l\u00e9gislateurs russes et am\u00e9ricano-europ\u00e9ens concernant la protection des donn\u00e9es personnelles des utilisateurs de programmes et de services. Les russes disent : chers propri\u00e9taires de services, faites ce que vous voulez et comme vous le voulez, mais si votre administrateur fuit la base de donn\u00e9es, nous vous punirons. \u00c0 l'\u00e9tranger, on dit : vous devez mettre en place un ensemble de mesures qui ne permettra pas<\/b> \u00e9viteront la fuite de la base de donn\u00e9es. C'est pourquoi des exigences pour une authentification \u00e0 deux facteurs stricte sont largement mises en \u0153uvre.
\nCependant, il n'est pas du tout certain que notre appareil l\u00e9gislatif ne prenne pas un jour conscience de l'exp\u00e9rience occidentale. Dans ce cas, tout le monde devra mettre en \u0153uvre une authentification \u00e0 deux facteurs conforme aux normes cryptographiques russes, et cela de mani\u00e8re urgente.\n<\/p><\/blockquote>\n

\nLa cr\u00e9ation d'une base d'authentification solide permet aux entreprises de d\u00e9placer leur focus de la conformit\u00e9 r\u00e9glementaire vers la satisfaction des besoins des clients. <\/b> Pour les organisations qui utilisent encore des mots de passe simples ou la r\u00e9ception de codes par SMS, le facteur le plus important lors du choix d'une m\u00e9thode d'authentification sera la conformit\u00e9 aux exigences r\u00e9glementaires. En revanche, les entreprises qui utilisent d\u00e9j\u00e0 une authentification stricte peuvent se concentrer sur le choix de m\u00e9thodes d'authentification qui augmentent la fid\u00e9lit\u00e9 des clients.<\/p>\n

Lors du choix d'une m\u00e9thode d'authentification d'entreprise, les exigences des r\u00e9gulateurs ne sont plus un facteur significatif. <\/b> Dans ce cas, la simplicit\u00e9 d'int\u00e9gration (32%) et le co\u00fbt (26%) sont beaucoup plus importants. <\/p>\n

\u00c0 l'\u00e8re du phishing, les cybercriminels peuvent utiliser le courrier \u00e9lectronique d'entreprise pour escroquer,<\/b> pour obtenir frauduleusement l'acc\u00e8s aux donn\u00e9es, aux comptes (avec les droits d'acc\u00e8s appropri\u00e9s), et m\u00eame pour convaincre les employ\u00e9s d'effectuer un virement d'argent vers son compte. C'est pourquoi les comptes de messagerie d'entreprise et les portails doivent \u00eatre particuli\u00e8rement bien prot\u00e9g\u00e9s.<\/p>\n

Google a renforc\u00e9 sa protection en mettant en \u0153uvre une authentification stricte.<\/b> Il y a plus de deux ans, Google a publi\u00e9 un rapport sur l'impl\u00e9mentation de l'authentification \u00e0 deux facteurs bas\u00e9e sur des cl\u00e9s de s\u00e9curit\u00e9 cryptographiques selon la norme FIDO U2F, annon\u00e7ant des r\u00e9sultats impressionnants. Selon la soci\u00e9t\u00e9, aucune attaque de phishing n'a \u00e9t\u00e9 men\u00e9e contre plus de 85 000 employ\u00e9s. <\/p>\n

Recommandations<\/h3>\n

\nImpl\u00e9mentez une authentification stricte pour les applications mobiles et en ligne. <\/b> L'authentification multifacteur bas\u00e9e sur des cl\u00e9s cryptographiques prot\u00e8ge beaucoup mieux contre le piratage que les m\u00e9thodes MFA traditionnelles. De plus, l'utilisation de cl\u00e9s cryptographiques est beaucoup plus pratique, car il n'est pas n\u00e9cessaire d'utiliser et de transmettre des informations suppl\u00e9mentaires \u2014 mots de passe, mots de passe \u00e0 usage unique ou donn\u00e9es biom\u00e9triques de l'appareil de l'utilisateur vers le serveur d'authentification. En outre, la normalisation des protocoles d'authentification permet de mettre en \u0153uvre de nouvelles m\u00e9thodes d'authentification de mani\u00e8re beaucoup plus simple au fur et \u00e0 mesure de leur apparition, r\u00e9duisant ainsi les co\u00fbts d'utilisation et se prot\u00e9geant contre des sch\u00e9mas d'\u00e9vasion plus complexes.<\/p>\n

Pr\u00e9parez-vous \u00e0 la fin des mots de passe \u00e0 usage unique (OTP). <\/b> Les vuln\u00e9rabilit\u00e9s li\u00e9es aux OTP deviennent de plus en plus \u00e9videntes, alors que les cybercriminels utilisent l'ing\u00e9nierie sociale, le clonage de smartphones et des logiciels malveillants pour compromettre ces moyens d'authentification. Et bien que les OTP pr\u00e9sentent certains avantages dans certains cas, c'est uniquement en termes d'accessibilit\u00e9 universelle pour tous les utilisateurs, mais pas en mati\u00e8re de s\u00e9curit\u00e9.<\/p>\n

Il est ind\u00e9niable que la r\u00e9ception de codes par SMS ou notifications Push, ainsi que la g\u00e9n\u00e9ration de codes via des applications pour smartphones, est pr\u00e9cis\u00e9ment l'utilisation des fameux mots de passe \u00e0 usage unique (OTP) dont nous devons nous pr\u00e9parer \u00e0 l'extinction. D'un point de vue technique, cela semble tr\u00e8s pertinent, car rares sont les fraudeurs qui n'essaient pas d'extraire un mot de passe \u00e0 usage unique d'un utilisateur cr\u00e9dule. Mais je pense que les fabricants de ces syst\u00e8mes s'accrocheront jusqu'au dernier moment \u00e0 cette technologie mourante. <\/p><\/blockquote>\n

Utilisez l'authentification stricte comme un outil marketing pour renforcer la confiance des clients. <\/b> L'authentification stricte peut non seulement am\u00e9liorer la s\u00e9curit\u00e9 r\u00e9elle de votre entreprise. Informer les clients que votre entreprise utilise une authentification stricte peut renforcer la perception publique de la s\u00e9curit\u00e9 de cette entreprise \u2014 un facteur important alors qu'il existe une demande significative de la part des clients pour des m\u00e9thodes d'authentification fiables.<\/p>\n

Effectuez un inventaire minutieux et \u00e9valuez l'importance des donn\u00e9es d'entreprise et prot\u00e9gez-les en fonction de leur criticit\u00e9. <\/b> M\u00eame les donn\u00e9es \u00e0 faible risque, telles que les informations de contact des clients (non, en fait, le rapport indique bien \"low-risk\", il est tr\u00e8s \u00e9trange qu'ils sous-estiment l'importance de cette information.<\/i>), peuvent avoir une valeur significative pour les fraudeurs et causer des probl\u00e8mes \u00e0 l'entreprise. <\/p>\n

Utilisez une authentification stricte au sein de l'entreprise. <\/b> Certaines syst\u00e8mes sont des cibles particuli\u00e8rement attractives pour les criminels. Cela inclut des syst\u00e8mes internes et connect\u00e9s \u00e0 Internet, tels que des logiciels de comptabilit\u00e9 ou des bases de donn\u00e9es d'entreprise. L'authentification stricte emp\u00eache les attaquants d'acc\u00e9der de mani\u00e8re non autoris\u00e9e, tout en permettant de d\u00e9terminer pr\u00e9cis\u00e9ment qui parmi les employ\u00e9s a commis une activit\u00e9 malveillante.<\/p>\n

Qu'est-ce que l'authentification forte ? <\/h2>\n

\nLors de l'utilisation de l'authentification forte pour v\u00e9rifier l'identit\u00e9 de l'utilisateur, plusieurs m\u00e9thodes ou facteurs sont utilis\u00e9s :<\/p>\n