Au commencement de l'informatique, chacun d'entre nous a forcément utilisé une identification primaire via le bon vieux couple : identifiant / mot de passe.
Seulement, depuis l'émergence de l'informatique connectée, les réseaux se sont multipliés, et les tentatives de vol ou destruction de données aussi. Aujourd'hui, ce moyen d'authentification ne répond plus à nos exigences en terme de sécurité.
N'importe quel « pirate amateur », passionné de technologies, serait en mesure de trouver vos identifiants à l'aide de logiciels disponibles en téléchargement sur internet et ce, en moins d'une journée. Plus simplement, quel employé peut nier avoir déjà écrit ses mots de passe (souvent nombreux et difficiles à retenir) sur un bout de papier qui traîne sur le bureau ou sur le bord de son écran ?
La diversité des applications, des besoins en accès sécurisés, poussent forcément les DSI à utiliser toujours plus de mots de passe et de contraintes d'accès. Seulement voilà... avec des politiques de sécurité qui imposent des changements de mot de passe tous les 3 mois, et le nombre d'applications ciblées, les employés se sentent souvent démunis, voire dépassés.
Pourtant, et heureusement d'ailleurs, il existe des solutions simples pour sécuriser les accès au SI, contrer les attaques de compte, et ce, sans multiplier les mots de passe !
La solution passe par l'authentification forte à double facteur
L'authentification forte consiste à utiliser un support (carte à puce, clé USB, Smartphone...) que l'utilisateur possède toujours sur lui, en plus de son identifiant / mot de passe ou mieux, de son certificat client.
Ce moyen d'authentification est en train de devenir la norme dans le monde professionnel, et de plus en plus de services informatiques désirent sécuriser leur réseau, avec des techniques simples et garantissant l'intégrité de leur système d'information. Il est également possible de faciliter le déploiement de certificat grâce à un outil de CMS (card management system), qui permet de gérer son parc d'authentifieurs, et de générer des certificats en Self-Service.
Il n'est plus rare de voir un employé muni d'une carte à puce (ou autre), et qu'il doive la présenter pour ouvrir une session de travail sur son PC. Le code PIN de la carte est alors nécessaire pour déverrouiller le poste.
Plus généralement, la tendance est à l'utilisation des Smartphones (BYOD, COPE) comme moyen d'authentification. Grâce à une application compatible iOS et androïd, l'utilisateur va également pouvoir s'authentifier sur son terminal mobile, et générer un jeton de session directement sur son smartphone (via le mécanisme d'authentification choisi).
Pour contrer la multiplicité des mots de passe à retenir, il est également possible de mettre en place un système de SSO (Single Sign On), qui va propager et gérer pour l'utilisateur les mots de passe de ses différentes applications : « Je m'identifie une seule fois, et l'authentification à toutes les applications que j'utilise sera faite automatiquement ». C'est un gain en sécurité, en productivité et un réel confort pour l'utilisateur.
Enfin, sachez que si vous désirez encore plus de sécurité, c'est possible avec l'authentification forte à trois facteurs !
Cela consiste en l'utilisation d'un élément que l'utilisateur possède (carte à puce, smartphone,...) protégé par un code PIN (ce que je sais), et utilisant la biométrie (ce que je suis).
Ce moyen d'authentification est très prisé par les clients du secteur bancaire, puisqu' il garantit le plus haut niveau de sécurité simple à mettre en œuvre à ce jour, et permet de sécuriser des applications sensibles, fréquemment utilisées dans ce secteur d'activité.