Résumé
L’authentification sans mot de passe remplace les connexions traditionnelles par nom d’utilisateur, et mot de passe par des clés cryptographiques et des facteurs biométriques ou liés à l’appareil. Bien qu’elle puisse réduire les coûts informatiques, améliorer l’expérience utilisateur et éliminer un vecteur d’attaque majeur, elle introduit également de nouveaux risques, notamment en cas de perte ou de vol d’appareils. Les entreprises doivent évaluer ces compromis avec attention, et envisager de collaborer avec un fournisseur d'identité expérimenté avant de réaliser ce changement.
Fonctionnement de l’authentification sans mot de passe
Imaginez-vous connecter à un ordinateur sans saisir de mot de passe, sans répondre à une question de sécurité, ni divulguer aucun secret basé sur la connaissance. Vous venez d’imaginer un système d’authentification sans mot de passe.
Pour de nombreux spécialistes de la sécurité, un avenir sans mot de passe représente l’idéal. Si nous pouvons réduire la contrainte liée à la création et à la mémorisation des mots de passe, il sera plus simple pour les personnes de se connecter avec nous. Et elles ne détourneront pas nos systèmes en copiant-collant les mêmes identifiants sur différents sites.
Mais les systèmes sans mot de passe présentent tout de même des inconvénients majeurs, notamment des difficultés d’accès si les éléments d’un utilisateur ou d’une utilisatrice sont volés ou piratés. De nombreux facteurs sont à prendre en compte pour déterminer si l’adoption du sans mot de passe convient à vous et à votre entreprise.
Qu’est-ce que l’authentification sans mot de passe ?
Presque toutes les entreprises sont exposées au risque de subir une attaque informatique. Pour les personnes convaincues, l’authentification sans mot de passe est une méthode de renforcement. Utilisez-le et vous éliminerez l’une des principales techniques que les hackers utilisent pour accéder à vos ressources.
Dans un système classique, vous demandez à vos utilisateurs de créer :
- Noms d’utilisateur. Vous pourriez définir un système similaire pour l’ensemble des personnes dans votre entreprise (par exemple, last_initial.first_name). Ou vous pourriez laisser chaque personne définir la sienne.
- Mots de passe. Vous pouvez demander aux personnes de créer des mots de passe d’au moins 10 caractères, comprenant des chiffres et des symboles. Et vous pouvez leur demander d’en créer de nouveaux régulièrement.
- Processus de sécurité. Vous pouvez demander aux personnes concernées de répondre à une série de questions pour retrouver l’accès à leurs comptes si elles oublient leur identifiant et leur mot de passe.
Quel est le lien entre l’authentification multifacteur (MFA) et les systèmes sans mot de passe ?
Certaines entreprises vont encore plus loin et utilisent l’authentification multifacteur (MFA). Avec cette méthode, vous demandez aux personnes concernées de vérifier leur identité en saisissant un code reçu sur leur téléphone ou en effectuant une analyse d’empreinte digitale. Dans le cadre de la MFA, ces facteurs secondaires ne remplacent pas les mots de passe. Elles les améliorent.
Vous pouvez considérer la MFA comme une première étape vers un monde sans mot de passe. Mais si vous franchissez le pas, vous utiliserez un tel système seul pour aider à vérifier les utilisateurs. Aucun mot de passe ne sera jamais requis.
Comment fonctionne l’authentification sans mot de passe ?
Vos utilisateurs peuvent penser qu’ils disposent des combinaisons de mots de passe les plus fortes qui existent. Mais leurs données sont faciles à dérober. En 2014, par exemple, des hackers ont volé 1,2 milliards de combinaisons nom d’utilisateur/mot de passe. Même stocker les mots de passe de manière sécurisée ne suffit pas, car les hackers n’ont besoin que de quelques minutes pour déjouer vos mesures de sécurité et décoder les données. L’authentification sans mot de passe réduit ces risques.
Un tel système repose sur :
- Clés cryptographiques. Une clé est fournie au serveur, à l’application ou au site web lors de l’inscription. La version privée reste sur l’appareil de la personne.
- Facteurs. Un élément détenu par une personne (comme un téléphone portable ou une carte à puce) ou une caractéristique propre à l’utilisateur ou à l’utilisatrice (comme une empreinte digitale ou un scan rétinien) permet de déverrouiller l’accès.
À quoi ressemble le processus d’inscription et de connexion ?
L’inscription est requise lors de la première visite. Une personne peut, par exemple, devoir fournir un scan rétinien clair. Ou bien, la personne peut avoir besoin d’associer un téléphone à un compte. Mais une fois ce travail accompli, la personne dispose d’un accès facile au système à tout moment.
Chaque fois que la personne revient sur l’appareil vérifié, une forme d’authentification peut être requise. Mais vous pourriez également configurer votre système pour reconnaître cette personne à chaque visite sur un appareil enregistré, sans effectuer aucune vérification système.
Quels sont les risques et les avantages d’une connexion sans mot de passe ?
Faut-il abandonner les approches traditionnelles pour se tourner vers l’avenir ? Chaque entreprise a une réponse qui lui est propre à cette question. Mais examiner les avantages et les inconvénients pourrait vous aider à faire un choix éclairé.
Quels sont les avantages de passer à une authentification sans mot de passe ?
- Le coût. Les équipes informatiques consacrent des centaines d’heures chaque année à gérer les problèmes de mots de passe et les risques de sécurité associés. Les éliminer pourrait permettre à votre équipe de se consacrer à d’autres tâches essentielles.
- Expérience client. Les mots de passe sont difficiles à mémoriser et faciles à égarer. Les éliminer supprime une source de friction pour vos clients, et cela pourrait aider votre entreprise à se développer.
- Sécurité. Comme nous l’avons indiqué, les mots de passe sont faciles à dérober et à pirater. Les supprimer permet de veiller à ce que vos ressources restent protégées.
Quelles sont les limites d’un système sans mot de passe ?
Les limites associées à un monde sans mot de passe incluent :
- Expertise. Votre équipe doit être prête à développer un système de pointe qui ne nécessite pas de mots de passe. Certaines personnes au sein de votre équipe peuvent avoir besoin d’une formation.
- Sécurité. Si un appareil associé à un système sans mot de passe (comme un téléphone) est perdu, la personne qui s’en empare a accès à tous les fichiers et serveurs. Bloquer cet accès est très difficile. Certains systèmes permettent aux personnes de reprendre le contrôle si elles saisissent des noms d’utilisateur et des mots de passe, ce qui annule les avantages des systèmes sans mot de passe.
Changer de système, en passant d’une solution que vous connaissez et à laquelle vous faites confiance à une autre dont vous n’avez jamais entendu parler et que vous n’avez pas testée, peut être source d’inquiétude. Travaillez avec une équipe et réduisez votre niveau de stress. Chez Okta, nous avons conçu des systèmes robustes et sécurisés pour des entreprises de toutes tailles, et nous serions ravis de vous expliquer leur fonctionnement. Contactez-nous pour en savoir plus.
Foire aux questions (FAQ)
Qu’est-ce qui distingue l’authentification sans mot de passe des systèmes de connexion traditionnels ?
Les systèmes traditionnels reposent sur des noms d’utilisateur, des mots de passe et des questions de sécurité, autant de secrets basés sur la connaissance qui peuvent être volés ou oubliés. L’authentification sans mot de passe remplace ces éléments par des clés cryptographiques et des facteurs physiques ou biométriques, comme un appareil ou une empreinte digitale, de sorte qu’aucun secret partageable n’est jamais transmis.
Comment fonctionne la configuration initiale d’un système sans mot de passe ?
Les utilisateurs doivent effectuer une inscription unique lors de leur première visite, ce qui peut impliquer de fournir une donnée biométrique (par exemple un scan rétinien) ou d’associer un terminal de confiance tel qu’un téléphone à leur compte. Par la suite, l’accès est accordé automatiquement ou avec une vérification minimale lors des visites suivantes depuis cet appareil enregistré.
L’authentification multifacteur (MFA) est-elle identique à l’authentification sans mot de passe ?
Non. Dans l’authentification multifacteur (MFA), des facteurs secondaires comme un code envoyé sur le téléphone ou une empreinte digitale sont utilisés en complément du mot de passe : ils viennent le renforcer, et non le remplacer. L’authentification sans mot de passe supprime totalement le mot de passe et repose uniquement sur ces facteurs secondaires. La MFA peut toutefois être considérée comme une étape vers un système entièrement sans mot de passe.
Que se passe-t-il si une personne perd l’appareil associé à son compte sans mot de passe ?
C’est l’une des principales limites des systèmes sans mot de passe. Si un appareil est perdu ou volé, la personne mal intentionnée peut accéder à tous les fichiers et serveurs associés, et il peut être très difficile de bloquer cet accès. Certains systèmes permettent la récupération via un nom d’utilisateur et un mot de passe en solution de repli, mais cela peut compromettre les principaux avantages en matière de sécurité liés à l’adoption du sans mot de passe.
Quels sont les principaux avantages pour l’entreprise à adopter l’authentification sans mot de passe ?
Les entreprises peuvent réduire le temps et les coûts que leurs équipes informatiques consacrent à la gestion des réinitialisations de mots de passe et des incidents de sécurité associés. Elle améliore également l’expérience client en supprimant une source courante de friction, et elle renforce la sécurité en éliminant les mots de passe comme vecteur d’attaque pour le vol d’identifiants.
Un système sans mot de passe nécessite-t-il une authentification à chaque connexion ?
Pas nécessairement. Bien qu’une forme d’authentification puisse être requise à chaque retour d’un utilisateur ou d’une utilisatrice sur un appareil vérifié, les entreprises peuvent également configurer leurs systèmes pour reconnaître automatiquement un appareil enregistré à chaque visite, sans exiger de vérification supplémentaire.
Références
L’ère de l’authentification sans mot de passe. (Mars 2019). Forbes.
MFA robuste : première étape vers le sans mot de passe. (Juillet 2020). Cloud Security Alliance.
Piratage de mots de passe : 1,2 milliard de comptes concernés, d'autres en danger. (août 2014). CBC
Anatomie d’une attaque : même un mot de passe complexe est facile à compromettre. (05.2013). Wired.
Les mots de passe appartiennent peu à peu au passé. (Mai 2017). Entrepreneur.
Comment parvenir à un monde sans mot de passe ? Une étape après l’autre. (novembre 2019), Semaine de la sécurité.
