Résumé
Les tokens de sécurité sont des dispositifs physiques ou numériques qui authentifient l’identité d’un utilisateur ou d’une utilisatrice en exigeant la possession d’un appareil, la connaissance d’un identifiant ou une vérification biométrique, ou une combinaison de ces trois facteurs. Elles existent sous forme connectée, déconnectée, ou sans contact, chacune proposant des mécanismes de mot de passe distincts (statique, dynamique ou basé sur un défi). Bien qu’ils renforcent considérablement la sécurité par rapport aux seuls mots de passe et constituent un pilier de l’authentification multifacteur (MFA), ils présentent des vulnérabilités concrètes telles que la perte, le vol ou le piratage. Les jetons de sécurité cryptographiques constituent une notion distincte et ne sont pas pertinents pour les processus d’authentification informatique quotidiens.
Comprendre les jetons de sécurité et l’authentification
Un jeton de sécurité est un dispositif physique que les utilisateurs doivent posséder pour accéder à un système. Les données d’authentification doivent circuler entre l’utilisateur et le système afin de valider les identités et les accès. Un jeton de sécurité est le vecteur de ces données.
Quelle est la place des tokens de sécurité dans les entreprises aujourd’hui ?
Les mots de passe et les codes d’identification personnels sont omniprésents dans les entreprises modernes. La plupart des employés savent qu'ils doivent saisir un ensemble d'identifiants pour accéder à des fichiers, des serveurs, et des documents sensibles. Les tokens de sécurité renforcent encore ce niveau de protection.
Un jeton de sécurité peut être aussi grand qu’un porte-clés ou aussi petit qu’une puce électronique. Elles détiennent soit des informations permettant de vérifier l’identité d’une personne, soit communiquent avec une base de données ou un système tiers proposant des services de vérification.
Comment fonctionnent les jetons de sécurité ?
Chaque année, les hackers provoquent environ 400 milliards $ de pertes. Les entreprises doivent se prémunir contre cette menace bien réelle, faute de quoi les conséquences pourraient être considérables.
À quoi ressemble concrètement la configuration d’un token ?
Imagine que vous travaillez pour une grande entreprise et que votre mission consiste à protéger des informations stratégiques valant plusieurs millions. Les hackers le convoitent, et il vous revient de les en tenir éloignés. Votre configuration de jetons peut inclure :
- Mots-clés. L’utilisateur doit saisir de mémoire un mot de passe sécurisé. Il existe souvent des exigences précises pour ce mot de passe, comme un nombre minimal de caractères ou d’autres critères spécifiques.
- Configuration de l’ordinateur. Lors d'une tentative de connexion, le système informatique envoie un message au téléphone portable de l'utilisateur. Ce message contient un mot de passe à saisir, sinon l’accès est bloqué.
En apparence, il s’agit du même type d’ authentification et d’autorisation que les consommateurs et consommatrices utilisent depuis des années avec des mots de passe. Vous devez saisir les identifiants que vous avez mémorisés pour accéder aux systèmes dont vous avez besoin. Mais les tokens de sécurité nécessitent un certain type d’outil. Une simple mémoire ne suffit pas.
Trois principaux types de jetons de sécurité
Les tokens de sécurité sont conçus pour être personnalisables. Les besoins d’une entreprise peuvent être très différents de ceux d’une autre. Sélectionnez votre version avec soin afin d’offrir le bon équilibre entre sécurité et flexibilité.
Les types de tokens de sécurité incluent :
| Type | Comment ça se connecte | Exemple |
|---|---|---|
| Jetons connectés | Les utilisateurs doivent physiquement associer le jeton au système qu’ils souhaitent utiliser. | Une carte à puce ou un porte-clés comme une Yubikey. Les utilisateurs insèrent l’appareil dans un lecteur, et celui-ci transmet automatiquement les informations d’authentification au système informatique. |
| Jetons déconnectés | Les utilisateurs n'ont pas besoin d'insérer physiquement quoi que ce soit dans un appareil, mais ils peuvent devoir saisir un code généré par le jeton. | Un téléphone portable configuré comme appareil d’authentification à deux facteurs (2FA). |
| Jetons sans contact | Les utilisateurs n'ont pas besoin de se connecter à un appareil, et il ne leur est pas demandé de saisir un mot-clé ou un code d'accès supplémentaire. À la place, ces appareils se connectent sans fil au système, et l’accès est accordé ou refusé en fonction de cette connexion. | Jetons Bluetooth et systèmes d’accès sans clé. |
La personnalisation ne s’arrête pas là. Votre système de jetons de sécurité pourrait également inclure :
- Claviers numériques. Protégez les données contenues dans votre token en exigeant un mot de passe.
- Données biométriques. Stocker les scans d’iris ou les empreintes digitales, et associer ces données aux scanners sur site.
- Caractéristiques anti-manipulation. Des mesures de sécurité sont ajoutées afin d’éviter que des personnes malveillantes ne démontent les clés et ne volent des données.
Quels types de mots de passe les tokens de sécurité utilisent-ils ?
Chaque jeton de sécurité contient une petite quantité de données pouvant être considérée comme un mot de passe. Il n'est pas toujours saisi dans un système à l'aide d'un clavier ou d'un scanner, mais le jeton effectue un échange de données sécurisé avec la ressource à laquelle l’utilisateur souhaite accéder.
Il existe de nombreux types de jetons de sécurité et de mots de passe, notamment :
- Mots de passe statiques. Une suite de chiffres, de lettres ou des deux se trouve à l’intérieur du jeton. Le mot de passe ne change jamais sans l’intervention directe d’un spécialiste de la sécurité. La personne qui détient le jeton peut ignorer l’existence du mot de passe, et elle ne peut pas récupérer les données si on le lui demande.
- Mots de passe dynamiques. Le système de sécurité choisit un nouveau mot de passe, et il est transmis au jeton. En général, l’utilisateur doit saisir les résultats avant d’obtenir l’accès. Certains systèmes de ce type utilisent un minuteur et un algorithme pour générer des mots de passe, tandis que d'autres reposent sur une solution de mot de passe à usage unique.
- Remettre en question les mots de passe. Le serveur et la clé se connectent l’un à l’autre, et les données sont chiffrées tout au long du parcours. L’appareil doit fournir la preuve sous sa forme déchiffrée pour obtenir l’accès.
Quels sont les avantages à utiliser des tokens de sécurité ?
Les mots de passe sont particulièrement vulnérables au piratage. En réalité, selon les chercheurs, le mot de passe le plus courant est « 123456 ». Confier la sécurité uniquement à vos utilisateurs, c’est prendre le risque qu’une catastrophe survienne tôt ou tard. Les jetons de sécurité peuvent atténuer ces menaces en complétant, voire en remplaçant entièrement, les mots de passe créés par les utilisateurs.
Un système de jetons de sécurité approprié repose sur trois types d’informations.
- Possession : La personne doit disposer d’un objet (comme un téléphone, un badge ou une clé USB) à portée de main pour accéder au système.
- Connaissance : la personne doit connaître une information (un mot de passe) pour finaliser la boucle et obtenir l’accès.
- Héritage: cela concerne la biométrie. Il s’agit de quelque chose qui caractérise la personne (comme une empreinte digitale ou une analyse de reconnaissance faciale).
Lorsqu'ils sont utilisés avec des mots de passe, les tokens de sécurité font partie d'une solution d'authentification multifacteur (MFA). Les solutions MFA renforcent la sécurité de l’authentification, car elles exigent que l’utilisateur ou l’utilisatrice fournisse un autre facteur de vérification, tel qu’un code à usage unique ou les informations d’un token Universal 2nd Factor (U2F).
Pourquoi les tokens de sécurité offrent-ils de meilleures performances que les seuls mots de passe ?
Utiliser uniquement un mot de passe revient à protéger son domicile avec une simple combinaison de chiffres. Cela fonctionne, mais cela accorde également l'accès à toute personne connaissant le numéro. Ajouter un jeton de sécurité, c’est comme placer une porte verrouillée par une clé devant votre entrée. Même les personnes qui connaissent le code de votre porte ne peuvent pas franchir le portail, et votre domicile reste parfaitement sécurisé. Elle ajoute un niveau supplémentaire de protection pour renforcer votre sécurité.
Les consommateurs apprécient les avantages des jetons de sécurité. Elles doivent également protéger des informations sensibles, notamment :
- Données financières.
- Informations d’épargne enregistrées.
- Documents d’identité.
- Documents juridiques.
Certaines entreprises, notamment des banques, mettent en avant leurs dispositifs d’authentification à deux facteurs comme argument auprès des personnes clientes les plus prudentes. En démontrant que l’entreprise accorde de l’importance à la sécurité, elle a davantage de chances de fidéliser et de développer sa clientèle.
Quelles sont les vulnérabilités des tokens de sécurité ?
Comme leur nom l’indique, les jetons de sécurité doivent protéger les données critiques. Ils ne sont malheureusement pas invincibles. Les risques sont bien réels et il peut parfois être difficile de les réduire.
Les vulnérabilités courantes des tokens de sécurité incluent :
- Perte. Les badges, porte-clés et clés USB sont de petite taille et faciles à égarer. S'ils ne sont pas chiffrés ou protégés par un mot de passe secondaire, toute personne qui les trouve y a accès.
- Vol. Ces mêmes appareils peuvent être volés, que ce soit lors d'une attaque ciblée ou dans le cadre d'un autre délit, comme un vol de sac à main. Comme en cas de perte, cela peut les placer entre les mains de personnes mal intentionnées.
- Piratage. Les jetons doivent protéger les utilisateurs contre les malwares, et des entreprises comme les banques expliquent souvent à leurs clients que les systèmes de jetons sont plus sûrs pour cette raison. Mais tout appareil électronique connecté à un réseau peut être piraté par une personne compétente et patiente. Bien que les tokens de sécurité apportent un niveau de protection supplémentaire, ils ne sont pas à l’abri du piratage.
- Brèches de sécurité. Les hackers peuvent se placer devant les systèmes d’authentification et inciter les utilisateurs à saisir des mots-clés pour les collecter. Cela est arrivé à un grand système bancaire en 2006, et cela a provoqué un véritable scandale.
Quel que soit le système de token de sécurité que vous utilisez, la modération et la vigilance restent indispensables. Vérifiez que tout fonctionne comme prévu et préparez-vous à intervenir si vous constatez un problème.
Comment les jetons d’authentification se comparent-ils aux jetons de sécurité cryptographiques ?
Les transactions en cryptomonnaies exigent une preuve de propriété et cette propriété doit être transférée à un acheteur ou une acheteuse. Les tokens de sécurité crypto fonctionnent comme une sorte de contrat liquide.
Certains experts estiment que cette forme de jeton de sécurité représente l’avenir de la finance. Ces jetons comportent un élément de sécurité, mais ils ne sont pas essentiels aux tâches que la plupart des administrateurs IT accomplissent au quotidien.
Simplifiez vos processus
Les jetons de sécurité peuvent aider votre entreprise à sécuriser et protéger des actifs de valeur. Ils ajoutent un niveau de protection supplémentaire afin que vos clients, vos collaborateurs, vos partenaires et l’ensemble de votre entreprise restent en sécurité.
Créer un tel système n'est pas toujours simple. Vous souhaitez que ce système soit configuré correctement, sans aucune anomalie.
Plus de 8 400 entreprises à travers le monde font confiance à Okta pour gérer et authentifier des systèmes tels que celui-ci. Rejoignez-les pour renforcer la sécurité de votre organisation.
Foire aux questions (FAQ)
Quelle est la différence entre un token de sécurité connecté, déconnecté et sans contact ?
Les jetons connectés nécessitent une attache physique au système — comme l’insertion d’une carte à puce ou d’une YubiKey dans un lecteur — afin que l’appareil puisse transmettre directement les données d’authentification. Les jetons déconnectés, comme un téléphone portable utilisé pour l’authentification à deux facteurs, génèrent un code que l’utilisateur doit saisir sans aucune connexion physique au système. Les tokens sans contact vont plus loin en se connectant sans fil et en accordant ou refusant l’accès automatiquement, sans qu’il soit nécessaire d’insérer un dispositif ou de saisir un code. Les tokens Bluetooth et les systèmes d’entrée sans clé en sont des exemples courants.
Un token de sécurité peut-il être piraté ?
Oui. Bien que les tokens de sécurité apportent une couche de protection essentielle, tout dispositif électronique connecté à un réseau peut être piraté par une personne disposant des compétences et de la patience nécessaires. Les hackers peuvent également intercepter les systèmes d’authentification et inciter les utilisateurs à saisir des mots-clés pour les collecter — une technique qui a touché un grand système bancaire en 2006. Les jetons de sécurité ne sont pas à l’abri du piratage, et une vigilance constante est nécessaire.
Que se passe-t-il si un token de sécurité est perdu ou volé ?
Si un jeton de sécurité tel qu’une carte d’accès, un badge ou une clé USB est perdu ou volé et qu’il n’est ni chiffré ni protégé par un mot de passe secondaire, toute personne qui le trouve ou s’en empare peut accéder au système protégé. Le vol peut survenir lors d’une attaque ciblée ou dans le cadre d’un autre délit, comme le vol d’un sac à main. C’est pourquoi des mesures de sécurité multiniveau – comme l’exigence d’un code PIN ou d’un mot de passe en complément du jeton – sont essentielles.
Comment un jeton de sécurité fonctionne-t-il avec l’authentification multifacteur ?
Les tokens de sécurité sont un élément clé de l’authentification multifacteur (MFA). Plutôt que de s’appuyer uniquement sur un mot de passe, la MFA associe le token à au moins un facteur de vérification supplémentaire, comme un code à usage unique ou une authentification Universal 2nd Factor (U2F), de sorte qu’un mot de passe compromis ne suffit pas, à lui seul, pour qu’un attaquant puisse accéder au compte.
Quelle est la différence entre un mot de passe statique et un mot de passe dynamique dans un token de sécurité ?
Un mot de passe statique est une chaîne fixe de chiffres, de lettres ou des deux, stockée dans le token et qui ne change jamais sans l’intervention directe d’un ou d’une spécialiste de la sécurité ; la personne détentrice du token peut même ignorer son existence. Un mot de passe dynamique est généré en temps réel par le système de sécurité et envoyé au token ; l'utilisateur doit généralement saisir le résultat avant d’obtenir l’accès, et certains systèmes utilisent un minuteur et un algorithme ou une solution de mot de passe à usage unique pour le générer.
Les tokens de sécurité cryptographiques sont-ils identiques aux tokens de sécurité d’authentification ?
Non. Les tokens de sécurité cryptographiques sont utilisés dans les transactions de cryptomonnaie comme forme de contrat liquide pour prouver et transférer la propriété. Les tokens de sécurité d’authentification sont des dispositifs physiques ou numériques utilisés pour vérifier l’identité d’une personne lors de l’accès à un système. Bien que les deux soient appelés « jetons de sécurité », les jetons de sécurité cryptographiques ne sont pas pertinents pour le travail quotidien de la plupart des administrateurs informatiques.
