Authentification

31 janvier 2025, Thales | Article original rédigé par : Herbert Wieler

Par Simon McNally, directeur consultant en solutions pour l’identité des travailleurs en Europe chez Thales

Les mots de passe sont désormais obsolètes : ils sont souvent trop faibles, fréquemment réutilisés ou faciles à craquer. En moyenne, une personne gère environ 100 mots de passe et se tourne donc vers des solutions de contournement, comme choisir des mots de passe faciles à retenir ou reprendre le même pour plusieurs services. Cela vous semble-t-il familier ? Ajouter un « ! » à chaque changement de mot de passe ne suffit plus.

Pour cette journée du « Change Your Password Day », nous pourrions simplement recommander les pratiques habituelles : « 10 caractères, un mélange de lettres et de symboles, privilégiez une phrase de passe plutôt qu’un mot de passe », mais nous souhaitons aller plus loin – l’utilisation de Passkeys. Grâce à des techniques cryptographiques, les Passkeys sont plus difficiles à craquer et beaucoup plus sécurisées. De plus, elles sont générées automatiquement et peuvent être stockées en toute sécurité sur les appareils, ce qui élimine le besoin de créer de longs mots de passe compliqués. Enfin, les Passkeys offrent une meilleure protection de la vie privée en permettant l’authentification sans partager d’informations sensibles, réduisant ainsi le risque de violations de données.

Nous assistons déjà à de grands progrès dans ce domaine : Google, Amazon, Sony, Nintendo et Apple ont tous adopté les Passkeys pour leurs utilisateurs. Il est essentiel de promouvoir ce type d’évolution, et c’est pourquoi nous croyons fermement que la journée du « Change Your Password Day » devrait viser à changer les normes en matière de mots de passe.

Comment configurer les Passkeys ?

La journée « Change Your Password Day » est une excellente occasion de mettre en place des Passkeys chaque fois que cela est possible. De nombreuses entreprises ont déjà commencé à les utiliser comme norme. Les étapes pour introduire des Passkeys dépendent des comptes que l’on possède et des sites que l’on utilise, mais dans l’ensemble, voici ce qu’il faut faire :

• Vérification des comptes : Des entreprises comme Google, Apple, Amazon, Sony et Nintendo ont commencé à prendre en charge les Passkeys avec leurs logiciels et services, facilitant ainsi la transition.
• Configurer des Passkeys sur les appareils : Que ce soit sur un téléphone, une tablette ou un ordinateur, il est possible de trouver une option dans les paramètres de sécurité permettant de créer un Passkey. Selon l’appareil, cette option peut se situer dans les paramètres de sécurité ou les options de connexion.
• Configurer une méthode d’authentification : Si l’appareil ou le système d’exploitation le permet, il convient de mettre en place une méthode d’authentification, comme une empreinte digitale ou la reconnaissance faciale.

Les entreprises doivent renforcer leur authentification multi-facteurs

En 2025, les entreprises doivent améliorer leur cybersécurité en adoptant des pratiques modernes telles que les Passkeys et l’authentification à deux facteurs (2FA) résistante au phishing ou l’authentification multi-facteurs (MFA), afin de garantir une authentification plus sûre et plus robuste pour tous leurs employés.

Près de la moitié des entreprises, selon l’étude Thales 2024 sur la sécurité du cloud, ont déjà subi une violation de données dans le cloud. Le non recours à l’authentification multi-facteurs (MFA) a été un facteur essentiel dans 17% de ces violations, ce qui souligne l’urgence de dépasser le simple mot de passe. Les données montrent que l’authentification à deux facteurs (2FA) peut bloquer 99,9% des attaques automatisées et réduire considérablement les tentatives de phishing. Les entreprises doivent instaurer une authentification 2FA basique, comme par SMS ou via des applications d’authentification, pour les comptes modérément sensibles tels que les réseaux sociaux. En revanche, pour les comptes très sensibles comme les services bancaires, les emails ou les accès d’entreprise, des méthodes avancées de 2FA, telles que des clés de sécurité ou des systèmes biométriques, sont essentielles. Cela constitue une méthode simple mais efficace pour protéger les données de leurs clients contre les cybercriminels.

La journée « Change Your Password Day » devrait également rappeler que les entreprises qui abandonnent l’authentification à un seul facteur peuvent considérablement améliorer leur sécurité. Les entreprises doivent donner la priorité à des mesures de sécurité globales pour éviter des cyberattaques dévastatrices et montrer à leurs clients qu’elles s’engagent à protéger leurs données, peu importe la nature de ces données.

La nécessité d’une authentification à deux facteurs n’est pas négociable : tout le monde, partout, doit l’activer pour tous ses comptes et tous ses appareils. À mesure que le phishing devient de plus en plus sophistiqué grâce à l’IA, une 2FA avancée, résistante au phishing – comme les clés de sécurité matérielles ou les méthodes conformes à FIDO2 – est cruciale, surtout pour accéder à des systèmes sensibles. Employez une 2FA simple pour les comptes légèrement sensibles tels que les réseaux sociaux ou les achats en ligne, et une 2FA avancée pour des comptes hautement sensibles comme les opérations bancaires, les emails ou les accès d’entreprise, où les violations de données peuvent entraîner des conséquences graves.