Comment 1Password prévoit de construire un avenir sans mot de passe

Les grandes entreprises technologiques ont récemment fait la une des journaux en s’engageant à abandonner les mots de passe traditionnels au profit d’une solution plus moderne : les clés de sécurité. Mais pour Anna Pobletts, l’avènement des clés de sécurité n’a rien de nouveau.

Il y a deux ans, Pobletts a cofondé et était CTO de la startup Passage basée à Austin, au Texas, qui s’est concentrée sur la création du prédécesseur des clés de sécurité, une API appelée WebAuthn, accessible aux développeurs et aux entreprises qui cherchaient à mettre en œuvre une authentification sans mot de passe.

Au cours de la deuxième année seulement de son existence, Passage a attiré l’attention d’un autre acteur majeur dans le domaine de l’authentification : 1Password, le gestionnaire de mots de passe utilisé par des millions de personnes et l’une des entreprises technologiques les plus précieuses au Canada.

Au cours de l’année écoulée, l’entreprise canadienne dont le nom contient « mot de passe » a été explicite sur son désir de construire un avenir sans eux. Depuis qu’il a rejoint l’Alliance FIDO en juin, 1Password a signalé qu’il s’intéressait entièrement aux clés d’accès, et son acquisition de Passage en novembre a marqué une nouvelle étape vers cette vision.

1Password estime qu’il est dans une fenêtre critique de 18 mois pour inaugurer les mots de passe, et Pobletts, maintenant responsable du sans mot de passe chez 1Password, est à l’avant-garde de cette charge.

Bonjour, les passe-partout

Pour comprendre comment 1Password aborde son avenir sans mot de passe, il est d’abord important de comprendre les mots de passe. Remontant leurs racines à WebAuthn, les clés d’accès permettent aux utilisateurs de se connecter à des applications ou à des sites Web avec uniquement leur nom d’utilisateur et un appareil pré-authentifié, en utilisant un jeton cryptographique au lieu d’un mot de passe ou d’un code de message texte.

“Ce ne sera pas comme si nous implémentions des clés de passe, puis l’authentification est résolue.”
—Anna Pobletts, 1Password

L’Alliance FIDO, qui comprend 40 membres au niveau du conseil d’administration, dont Amazon, Apple, Google et 1Password, a initialement développé la norme derrière les clés de sécurité. Cependant, la mise en œuvre de cette technologie variera d’une entreprise à l’autre. 1Password, par exemple, cherche à implémenter “Universal Sign On” ; ce qu’il espère sera une expérience de connexion plus transparente et sécurisée qui utilise des clés d’accès, des mots de passe et d’autres formes d’authentification.

Ceux qui connaissent le produit de 1Password pourraient envisager la distinction entre un mot de passe et la «clé secrète» actuelle de l’entreprise, qui déverrouille les coffres-forts de mots de passe des utilisateurs. Pobletts a expliqué que si les clés de passe et les clés secrètes sont toutes deux basées sur la cryptographie à clé publique, les clés de passe ne nécessitent pas une chaîne de lettres et de chiffres mémorisés. Avec les clés d’accès, les utilisateurs n’ont besoin que d’un authentificateur choisi, tel qu’un téléphone ou un PC, et l’appareil les authentifiera à l’aide d’un scan du visage ou d’une empreinte digitale.

Les clés de sécurité ont pris de l’ampleur ces derniers mois en raison de leur capacité à faire la distinction entre sécurité et convivialité. Avec une entropie complète de 256 bits (une mesure du caractère aléatoire d’une fonction génératrice de données en cryptographie), Pobletts a déclaré qu’ils étaient beaucoup plus résistants que le phishing ou le cracking. Ils évitent également les tracas de l’authentification multifacteur. “Je pense que c’est une combinaison de ces deux choses qui a fait que c’est la première fois que le remplacement des mots de passe semble vraiment viable”, a-t-elle ajouté.

1Password propose déjà une démo montrant à quoi ressemblera sa mise en œuvre des mots de passe. Au lieu de saisir un mot de passe lors de la création d’un nouveau compte, les utilisateurs n’ont qu’à entrer leur adresse e-mail et en un clic, l’extension de navigateur de 1Password crée une clé d’authentification unique.

Angles d’attaque

Alors que 1Password passe à cette nouvelle forme d’authentification, le timing est primordial. Des géants de la technologie comme Apple, Google et Microsoft ont tous annoncé l’année dernière leur intention de mettre en œuvre une connexion sans mot de passe sur leurs plates-formes, c’est pourquoi le chef de produit de 1Password, Steve Won, a récemment déclaré à TechRepublic que la société se trouvait désormais dans une “fenêtre clé de 18 mois”. aller sans mot de passe.

“Plus de 80 % des violations au cours des deux dernières années étaient liées au vol d’informations d’identification d’une manière ou d’une autre. C’est fou.”

Pobletts a décrit le changement comme une entreprise « évolutive » pour 1Password. “Ce ne sera pas comme si nous implémentions des clés de passe, puis l’authentification est résolue”, a-t-elle ajouté. Cependant, 1Password a déjà pris des mesures et prévoit de lancer davantage d’offres sans mot de passe dans les mois à venir.

Pobletts a déclaré que 1Password s’attaque à son évolution sans mot de passe sous plusieurs angles simultanément. Le premier angle consiste à “manger votre propre nourriture pour chien”, a déclaré Pobletts, ce qui signifie faire des clés de passe un moyen pour les utilisateurs de se connecter à 1Password lui-même, une fonctionnalité que la société prévoit de rendre disponible cet été.

Deuxièmement, 1Password veut aider ses utilisateurs actuels à passer aux clés de sécurité, ce qui signifie ajouter plus de fonctionnalités pour aider les clients à stocker, gérer et créer leurs clés de sécurité dans le gestionnaire de mots de passe existant de l’entreprise. La société explore également les moyens permettant aux utilisateurs d’exporter des clés d’accès vers d’autres gestionnaires de mots de passe.

1Password cherche également à aider les développeurs à intégrer la prise en charge des clés de sécurité dans leurs applications et sites Web, car la plupart des services sont encore loin d’accepter les clés de sécurité. Depuis qu’elle a rejoint 1Password en novembre, l’équipe Passage s’est concentrée sur le développement de l’authentification par mot de passe pour les entreprises en contact direct avec les consommateurs, telles que les magasins de commerce électronique ou les sites de réservation, afin de lancer l’adoption sans mot de passe.

Au cours des derniers mois, 1Password a fait quelques autres mouvements liés à l’absence de mot de passe. Depuis le lancement de son authentification universelle en version bêta en juin dernier, la société a mis le « déverrouillage avec authentification unique » à la disposition des entreprises clientes utilisant Okta, Azure AD et Duo devant suivre dans les mois à venir. Pobletts a qualifié cette décision de “bon premier pas vers le sans mot de passe”.

« Nous voulons absolument faire plus de choses dans cette direction ; offrant aux utilisateurs non seulement le support Okta pour la connexion, mais également le support de clé de passe pour la connexion », a-t-elle ajouté.

Abattre le jardin clos

La chronologie de 1Password vers le sans mot de passe est alimentée, en partie, par la sophistication croissante et la menace accrue des failles de sécurité. Un rapport de HackerOne a révélé que les pirates éthiques ont pu découvrir plus de 65 000 vulnérabilités logicielles rien qu’en 2022, en hausse de 21 % par rapport à 2021.

Une autre étude a fait état de plus de 4 100 violations de données divulguées publiquement qui ont eu lieu en 2022, exposant un total de 22 milliards d’enregistrements. Certaines de ces violations ont eu un impact sur les organisations du domaine de 1Password, telles que le gestionnaire de mots de passe américain LastPass, qui a été touché par une violation de données l’année dernière qui a vu des pirates accéder aux coffres-forts de mots de passe cryptés de l’entreprise.

“Je pense que nous sommes maintenant à un tournant très important”, a déclaré Pobletts. “Plus de 80 % des violations au cours des deux dernières années étaient liées au vol d’informations d’identification d’une manière ou d’une autre. C’est fou.”

Un autre facteur à l’origine du passage de 1Password au sans mot de passe est la concurrence, car les entreprises Big Tech et les gestionnaires de mots de passe concurrents comme NordPass et DashLane travaillent tous pour mettre en œuvre des clés de sécurité. Pobletts a souligné que 1Password a collaboré étroitement avec ses homologues Big Tech par le biais de l’Alliance FIDO au cours de l’année dernière. Pourtant, elle pense que 1Password est “très bien positionné” pour garantir que les utilisateurs ont le choix dans la façon dont ils gèrent leurs identités en ligne.

CONNEXES: Avec l’acquisition de Passage, 1Password se prépare à combattre les géants de la technologie pour un avenir sans mot de passe

Google, Microsoft et Apple ont adopté une approche plus conciliante que d’habitude afin d’étendre la norme FIDO. Cependant, au niveau individuel, chaque entreprise travaille indépendamment pour incorporer des clés de sécurité dans ses propres écosystèmes. Si sa mise en œuvre des clés de sécurité réussit, 1Password ​​pourrait, contrairement à ses concurrents, fournir une portabilité de clé de sécurité indépendante de l’écosystème, sans obliger les utilisateurs à jurer fidélité à un seul fournisseur de cloud.

“J’ai un MacBook et j’ai un téléphone Android, donc j’utilise une variété de plates-formes différentes dans ma vie de tous les jours, et l’utilisation d’un outil comme 1Password pour stocker mes mots de passe facilite cette tâche”, a déclaré Pobletts. “Je n’ai pas à me soucier de l’appareil sur lequel se trouve mon mot de passe, mon 1Password est sur chaque appareil que je possède.”

Mais pour une entreprise avec « mot de passe » dans son nom, il est naturel de se demander comment ce nouveau paradigme influencera la proposition de valeur fondamentale de 1Password. Le PDG Jeff Shiner a déclaré à BetaKit l’année dernière qu’il pensait que les mots de passe traditionnels ne disparaîtraient pas de si tôt et que l’accent mis par 1Password sur la gestion de l’authentification était absolument nécessaire, quelle que soit la forme que prend l’authentification. C’est un sentiment que Pobletts partage, bien qu’elle envisage que les mots de passe deviennent une “petite section” du puzzle de l’authentification à l’avenir.

“La mission principale et la valeur de 1Password ont toujours consisté à faciliter la sécurité des personnes en ligne, malgré le nom, qui, j’en suis sûr, suscite beaucoup de blagues”, a ajouté Pobletts. « Il ne s’agit pas vraiment de mots de passe. Plus précisément, il s’agit de tout ce dont cette technologie a besoin pour rendre la sécurité en ligne plus facile et plus centrée sur l’humain.

Source de l’image 1Password.