Un syst\u00e8me sans mots de passe ? Mythe\u2026 ou r\u00e9alit\u00e9 ? Un syst\u00e8me s\u00e9curis\u00e9 qui n\u2019utiliserait pas de mots de passe repr\u00e9senterait un pas tr\u00e8s important pour la s\u00e9curit\u00e9 en ligne de tous. La fin des mots de passe faciles \u00e0 deviner. Finies les listes de mots de passe faciles \u00e0 voler. Fini le phishing. Finis les oublis !<\/p>\n
Valoxy, cabinet d\u2019expertise comptable dans les Hauts de France, r\u00e9sume dans cet article la r\u00e9volution en cours.<\/p>\n
Ann\u00e9e apr\u00e8s ann\u00e9e, les mots de passe les plus fr\u00e9quemment divulgu\u00e9s lors de violations de donn\u00e9es restent toujours \u201c123456\u201d, \u201c123456789\u201d et \u201c12345\u201d. Et \u201cQwerty\u00a0\u00bb, \u201dazerty\u201d ou \u00ab\u00a0password\u00a0\u00bb suivent de pr\u00e8s !<\/p>\n
Or, les mots de passe faibles constituent l’un des risques les plus importants de notre s\u00e9curit\u00e9 en ligne. De m\u00eame pour les mots de passe \u00e0 r\u00e9p\u00e9tition (m\u00eame mot de passe pour plusieurs services diff\u00e9rents). Il faut parfois moins d\u2019une seconde \u00e0 un \u201chacker\u201d (un pirate informatique) pour trouver un mot de passe. Les avertissements des sp\u00e9cialistes, des services informatiques, ou des gouvernement semblent ne pas servir \u00e0 grand chose. Il y a toujours autant de mots de passe aussi \u201cfaibles\u201d ! Les cybercriminels volent facilement les mots de passe statiques \u00e0 l’aide de phishing, de logiciels malveillants et d’autres types d\u2019attaques. (Voir notre article La s\u00e9curit\u00e9 informatique<\/a>).<\/p>\n L’Alliance FIDO (pour \u201cFast IDentity Online\u201d) est une association industrielle, cr\u00e9\u00e9e en 2013. Elle s\u2019est donn\u00e9e pour but de d\u00e9velopper et de promouvoir des normes d’authentification \u201cqui contribuent \u00e0 r\u00e9duire la d\u00e9pendance excessive du monde aux mots de passe\u201d. Parmi ses membres, on trouve bien s\u00fbr :<\/p>\n L’objectif de l\u2019association FIDO est de r\u00e9duire l’utilisation des mots de passe et d’am\u00e9liorer les normes d’authentification sur les ordinateurs et les appareils mobiles. Ces normes sont con\u00e7ues pour prot\u00e9ger la s\u00e9curit\u00e9 et la confidentialit\u00e9 des personnes : les cl\u00e9s priv\u00e9es et la biom\u00e9trie, si elles sont utilis\u00e9es, ne quittent jamais l’appareil d’une personne. Et elles sont chiffr\u00e9es de telle fa\u00e7on qu\u2019il est impossible de les dupliquer. La fin des mots de passe n’est pas loin !<\/p>\n Pour remplacer l\u2019authentification habituelle que nous connaissons de type \u201cidentifiant \/ mot de passe\u201d, FIDO a pens\u00e9 \u00e0 un nouveau \u201cchemin de communication s\u00e9curis\u00e9\u201d entre le client utilisateur (le navigateur) <\/em>et les services Web respectifs. Pour chaque connexion, ce dispositif cr\u00e9e 2 cl\u00e9s uniques, gard\u00e9es sur deux supports diff\u00e9rents. (\u00c0 l\u2019image des coffres forts dans les banques qui ne peuvent \u00eatre ouverts qu\u2019avec la cl\u00e9 du propri\u00e9taire et celle du banquier). Ces cl\u00e9s sont d\u2019abord configur\u00e9es ou enregistr\u00e9es. Elles sont ensuite disponibles en permanence pour les connexions futures de leur utilisateur. Ces cl\u00e9s fourniront la base du chiffrement de la proc\u00e9dure de connexion.<\/p>\n M\u00e9thode de chiffrement et de d\u00e9chiffrement asym\u00e9trique (cl\u00e9 publique-priv\u00e9e)<\/em><\/p>\n Lors de leur conf\u00e9rence mondiale de 2022, les d\u00e9veloppeurs d’Apple ont annonc\u00e9 permettre des connexions sans mot de passe sur les appareils Mac, iPhone et iPad. Les \u201cPasskeys\u201d pourront donc d\u00e9j\u00e0 remplacer sur ces appareils<\/strong> nos anciens mots de passe. Cela en cr\u00e9ant de nouvelles cl\u00e9s num\u00e9riques \u00e0 l’aide de \u201cTouch ID\u201d ou \u201cFace ID\u201d. C’est la fin des mots de passe !<\/p>\n Lorsque l\u2019on s\u2019inscrit sur un site Web, il est possible d\u2019utiliser une \u201cPasskey\u201d au lieu d’un mot de passe. Lorsqu\u2019on se connecte \u00e0 nouveau \u00e0 ce m\u00eame site Web, les \u201cPasskeys\u201d permettent de prouver son identit\u00e9 en utilisant ses donn\u00e9es biom\u00e9triques plut\u00f4t qu’en tapant un mot de passe. (ou en demandant au gestionnaire de mots de passe de le saisir pour nous).<\/p>\n Lorsqu\u2019on se connecte \u00e0 un site web sur un Mac, une invite (un message de v\u00e9rification) s’affiche sur notre iPhone ou iPad. Elle vise \u00e0 v\u00e9rifier notre identit\u00e9. Apple affirme que ses Passkeys seront synchronis\u00e9es entre nos appareils \u00e0 l’aide du trousseau d’iCloud, et que les Passkeys seront stock\u00e9es sur nos appareils plut\u00f4t que sur les serveurs d\u2019Apple.<\/p>\n De plus, les Passkeys d’Apple sont bas\u00e9es sur l’API d’authentification Web (WebAuthn) et sont chiffr\u00e9es de bout en bout afin que personne ne puisse les lire, y compris Apple. Le syst\u00e8me de cr\u00e9ation des Passkeys utilise une authentification par cl\u00e9 publique-priv\u00e9e (voir plus haut) pour prouver que nous sommes bien celui que nous pr\u00e9tendons \u00eatre\u2026<\/p>\n Cet \u00e9ventuel avenir sans mots de passe d\u00e9pend cependant de la mani\u00e8re dont les utilisateurs le feront fonctionner dans la r\u00e9alit\u00e9.<\/p>\n Ainsi, qu\u2019adviendra-t-il de nos Passkeys si nous souhaitons abandonner l’\u00e9cosyst\u00e8me d’Apple pour aller chez Android ? (ou un autre syst\u00e8me ?) Ne faudra-t-il pas remettre en place une nouvelle chaine d’authentification entre cet appareil et les services que nous utilisons ? Les anciennes clefs pourront-elles ou non rester dans l’appareil r\u00e9form\u00e9 ? Faudra-t-il une action pr\u00e9alable de l’utilisateur authentifi\u00e9 \u00e0 l’origine pour qu\u2019elles fonctionnent ? (empreinte, r\u00e9tine, reconnaissance faciale, mot de passe\u2026)<\/p>\n Pourra-t-on utiliser des appareils de diff\u00e9rents fabricants pour acc\u00e9der \u00e0 un m\u00eame service en ligne ? Passer du QR code associ\u00e9 au Bluetooth sur son PC, et utiliser une \u201cpasskey<\/em> \u201csur un Mac, et un autre type de cl\u00e9 ailleurs\u00a0 ?<\/p>\n Qu\u2019en est-il des modifications que les d\u00e9veloppeurs doivent encore apporter \u00e0 leurs applications et aux sites web pour qu’ils fonctionnent avec Passkey ?<\/p>\n La fin des mots de passe ne r\u00e9pond pas encore \u00e0 toutes ces questions. Mais nous ne doutons pas que les membres du FIDO s’en soucieront. Le plus important cependant, pour que les utilisateurs aient confiance dans le syst\u00e8me, c\u2019est d\u2019y \u00eatre sensibilis\u00e9s.<\/p>\n Cet article vous a int\u00e9ress\u00e9 ? Dites-le nous dans les commentaires ci-apr\u00e8s ! Retrouvez \u00e9galement nos autres articles sur le blog de Valoxy :<\/p>\n Un syst\u00e8me sans mots de passe ? Mythe\u2026 ou r\u00e9alit\u00e9 ? Un syst\u00e8me s\u00e9curis\u00e9 qui n\u2019utiliserait pas de mots de passe repr\u00e9senterait un pas tr\u00e8s important pour la s\u00e9curit\u00e9 en ligne de tous. La fin des mots de passe faciles…<\/p>\n","protected":false},"author":1,"featured_media":62398,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8],"tags":[],"class_list":["post-62400","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-marketing"],"yoast_head":"\n\u2014 <\/span>Que faire ?<\/strong><\/h2>\n
\n
\u2014 <\/span>Un nouveau proc\u00e9d\u00e9 d\u2019authentification technologique\u00a0<\/strong><\/h2>\n
\u2014 <\/span>Comment \u00e7a se passe ?<\/strong><\/h2>\n
\n
\u2014 <\/span>D\u00e9j\u00e0 disponibles chez Apple\u00a0<\/strong><\/h2>\n
\u2014 <\/span>Il reste encore des questions\u2026<\/strong><\/h2>\n
\n
\n