L’authentification multifactorielle redéfinit le commerce numérique

Sécurité des informations    | 27 avril 2020

Pourquoi tout risquer sur les mauvaises habitudes d’une seule personne en matière de mots de passe ? L’authentification multifactorielle (AMF) devient rapidement la nouvelle norme pour vérifier que les personnes sont bien celles qu’elles prétendent être avant d’accorder l’accès aux ressources numériques.

Facile à utiliser

Lorsque les gens pensent à l’AMF, ils imaginent généralement le système d’authentification dans sa forme la plus extrême – nécessitant une combinaison de jetons physiques déconnectés, de facteurs de localisation ou de clés USB qui doivent toujours être portés sur soi.

Certains de ces systèmes d’AMF plus sévères sont conçus pour être difficiles afin que les organisations puissent être sûres, sans aucun doute, que les utilisateurs demandant un accès sont bien ceux qu’ils prétendent être. Ces facteurs sont toujours utilisés par les organisations qui ont besoin de protocoles de sécurité plus robustes pour leurs points d’accès numériques, aujourd’hui, il existe des facteurs de friction disponibles pour une expérience utilisateur simplifiée.

En rapport : De nouvelles méthodes simplifiées d’authentification des personnes prouvant rapidement leur valeur

Un portail d’entreprise, par exemple, conçu pour permettre l’accès à des communications sensibles, peut être configuré de manière à exiger un mot de passe comme premier facteur et un mot de passe à usage unique basé sur le temps (TOTP) – une clé logicielle à usage unique et un code aléatoire horodaté – émis par une application SaaS tierce installée sur l’appareil mobile de l’utilisateur comme deuxième facteur avant que l’accès ne soit accordé. Avec le TOTP émis par l’application, un facteur d’authentification supplémentaire est ajouté avec peu de changement dans l’expérience de l’utilisateur.

Difficile à compromettre

Un mot de passe est aussi fort qu’il est complexe – et même le mot de passe le plus complexe peut être craqué. Mais les gens sont connus pour choisir des mots de passe faibles, réutiliser d’anciens mots de passe, et même utiliser les mêmes mots de passe pour plusieurs points d’accès, quelle que soit leur sensibilité. Selon Verizon, 81 % des brèches en 2017 étaient dues à des mots de passe faibles ou volés.  En demandant des facteurs d’authentification supplémentaires, l’AMF garantit que même si un mot de passe faible est compromis, l’accès est toujours refusé.

De cette façon, l’AMF agit également comme un moyen de dissuasion efficace pour les acteurs malveillants. Considérons, par exemple, qu’un demi pour cent des comptes Azure Active Directory utilisés par Office 365 sont compromis chaque mois – cela représente un total annuel de 600 utilisateurs compromis dans une entreprise composée de 10 000 comptes. Selon Gartner, une organisation qui adopte l’AMF peut voir un tel chiffre chuter de 50 %

Fonctionne bien avec les autres

Les grandes entreprises qui subissent des transformations numériques investissent dans des fournisseurs de SaaS basés sur le cloud pour les aider à combler les lacunes de leurs imposantes piles technologiques. Prenons l’exemple du danois Maersk, le plus grand empire maritime du monde, dont la politique « cloud-first » signifie qu’il externalise les tâches et les services qui ne sont pas directement liés à leur produit.

Rasmus Hald, responsable du centre d’excellence du cloud chez A. P. Moller – Maersk, a déclaré à Computer Weekly : “Pourquoi diable exploiterais-je un système de messagerie en 2019 ? Vous avez peut-être des contraintes, comme des exigences légales [qui vous en empêchent], mais si ce n’est pas le cas, pourquoi vous embêter à gérer un service de messagerie électronique alors que vous pouvez acheter d’excellents services sur Internet qui vous offrent probablement un meilleur service que celui que vous seriez capable de fournir vous-même ? [Notre philosophie chez Maersk est d’acheter le logiciel des autres en tant que service et de concentrer nos efforts sur la création d’un excellent logiciel pour nos utilisateurs, [et] pour nos clients. »

En rapport : Pourquoi la transformation numérique prend le secteur du transport maritime d’assaut

Mais avec plus de connexions tierces viennent plus d’opportunités pour les agents malveillants d’accéder aux réseaux organisationnels. C’est pourquoi  l’AMF est une caractéristique si importante à rechercher lors du choix d’un partenariat SaaS. Si des mécanismes AMF sont en place, alors un degré de sécurité plus élevé peut aider à atténuer les vulnérabilités d’autorisation qui l’emportent sur les avantages du service fourni.

La sécurité au-delà du périmètre numérique

Les transformations numériques permettent aux organisations d’être disponibles partout et à tout moment pour mieux servir leurs clients à travers la planète. Pour un dirigeant d’organisation, ce monde numérique centré sur le client est bon pour les affaires. Mais pour une personne en charge de l’infrastructure informatique interne de l’organisation, un environnement entièrement numérique connecté basé sur le cloud, où les données sensibles circulent, où les fournisseurs de SaaS sont branchés et où les utilisateurs sont mobiles, peut devenir un cauchemar sans aide – en particulier pour les processus sensibles comme l’authentification.

En rapport :  Créer une culture de travail à domicile

L’AMF peut aider une organisation à se préparer à des postures de cybersécurité sans périmètre dans un monde de confiance zéro – où chaque utilisateur doit être contrôlé avant d’obtenir un accès. Selon Gartner, à mesure que les entreprises poursuivent leur transformation numérique, elles vont commencer à moins se fier aux outils de sécurité numérique traditionnels, comme les VPN, les pare-feu et le matériel, et consacrer davantage de budget à la sécurisation des utilisateurs en dehors de leur environnement numérique. Grâce à sa capacité à authentifier les utilisateurs de manière plus précise en fonction de divers facteurs numériques, l’AMF va jouer un rôle important dans les solutions de sécurité sans périmètre.