La puissance et l’efficacité du mot de passe

La discussion sur un avenir sans mot de passe s’est considérablement échauffée – encore une fois – récemment. Plusieurs grandes entreprises technologiques travaillent sur le concept depuis près de 20 ans. Puis, en mai 2022, Apple, Google et Microsoft ont uni leurs forces dans une synergie très inhabituelle pour étendre la prise en charge des systèmes d’authentification sans mot de passe sur diverses plates-formes.

Les mots de passe ne disparaissent pas

Le mot « sans mot de passe » est simple, élégant et sublime, mais quelque peu exotique. La vérité est qu’un monde sans mot de passe est très loin de devenir une réalité, s’il le deviendra un jour. Personne n’aime les mots de passe, mais ils sont intrinsèquement liés à l’architecture dorsale des systèmes d’authentification et de chiffrement dès la conception. Ce n’est pas en essayant, en travaillant dur ou même en rêvant. C’est simplement une fonction du fonctionnement des schémas de cryptage. Par exemple, les smartphones et autres appareils à jetons sont sujets au vol, à la perte et aux bogues pour commencer. Même avec la biométrie, à moins de subir une intervention chirurgicale, il est impossible de modifier votre empreinte digitale, votre rétine ou votre visage après que les données associées ont été volées ou compromises par des cybercriminels.

L’utilisation des mots de passe augmente à un rythme significatif

De plus, non seulement les mots de passe sont intrinsèques au fonctionnement des appareils connectés modernes, mais ces appareils sont désormais partout. Au cours des trois dernières années seulement, le nombre d’appareils IoT alimentés par le travail distribué et la prolifération de l’informatique basée sur le cloud ont entraîné une augmentation exponentielle du nombre de mots de passe.

Les employés travaillent de pratiquement n’importe où et, souvent, sur des réseaux non sécurisés. Nous comptons tous désormais sur une vaste gamme de services basés sur le cloud. Les secteurs public et privé utilisent plus d’appareils de types différents et avec des systèmes d’exploitation et des schémas d’authentification différents que jamais auparavant. Tout cela a entraîné une augmentation significative du mot de passe. Chaque site Web, application native, système et base de données nécessite des mots de passe à un certain niveau, même si la biométrie est utilisée comme facteur de commodité. Le fait est que des clés de chiffrement robustes ne peuvent pas être générées sans mot de passe. Même les solutions d’authentification unique nécessitent un mot de passe, à un certain niveau de l’architecture, pour authentifier un utilisateur — avant que l’utilisateur n’effectue des transactions avec des services d’authentification conformes à SAML.

Les problèmes de sécurité des mots de passe et le comportement humain sont intrinsèquement liés

Les entreprises du monde entier ont essayé de rester au top des styles de travail hybrides avancés et progressifs en mettant en œuvre de nouveaux niveaux de sécurité, bien que le mot de passe reste le pilier central d’un système de sécurité. Les équipes de cybersécurité ont du mal à suivre l’évolution des habitudes de leurs effectifs, l’augmentation massive des applications basées sur le cloud, l’infrastructure dont elles ont besoin pour gérer et sécuriser, et oui, l’assaut de cyberattaques plus sophistiquées.

Les organisations informatiques sont confrontées à un dilemme omniprésent et critique concernant la manière d’obtenir la visibilité, la sécurité et le contrôle de l’ensemble de l’infrastructure de l’organisation. Cela signifie garder un œil sur chaque utilisateur sur chaque appareil lorsqu’il effectue des transactions avec chaque site Web, application et système de l’organisation, et ce, à partir de différents emplacements et réseaux. Ainsi, les solutions de cybersécurité nécessitent aujourd’hui une plus grande convergence et ubiquité en termes de regroupement des principales solutions de gestion des identités et des accès sur une seule plate-forme.

Le rapport d’enquête sur les violations de données 2022 de Verizon a souligné que les problèmes de sécurité des mots de passe représentaient 80 % de toutes les violations de données dans le monde. Cependant, cela n’est pas dû à des faiblesses techniques, mais à un échec humain à pratiquer une bonne hygiène des mots de passe. La plupart des gens sauront à quoi ressemblent les meilleures pratiques, comme la création de mots de passe longs et uniques pour chaque compte individuel dont ils disposent. Pourtant, selon notre dernière étude sur les habitudes de mot de passe en milieu de travail, près de la moitié (44 %) des personnes interrogées ont admis utiliser le même mot de passe pour les comptes personnels et professionnels.

Sensibiliser les gens à l’importance d’une sécurité par mot de passe fort doit devenir un élément essentiel des politiques de sécurité numérique pour les entreprises du monde entier. Le risque d’une violation de la cybersécurité sera considérablement réduit si nous faisons de la formation à la cybersécurité une étape d’intégration formelle pour tous les employés existants et les nouvelles recrues.

L’avenir du mot de passe

Cela dit, le mouvement croissant vers un avenir d’identification par mot de passe et d’authentifications reposant sur une architecture à connaissance zéro dans les organisations est plus prometteur. Ces innovations garantissent que l’entreprise qui développe le logiciel qui protège l’organisation ne peut pas accéder et décrypter les données qu’elle contient.

Nous avons également constaté une croissance et des progrès significatifs dans l’utilisation de l’authentification multifacteur (MFA), qui est extrêmement efficace pour atténuer les attaques par mot de passe compte tenu de sa communication multi-utilisateurs. Il doit être traité comme une exigence par défaut dans le renforcement de la posture de sécurité de toute organisation.

Malgré cela, une solution de cybersécurité efficace ne sera pas entièrement motivée par la force musculaire ou l’argent de la technologie. La complexité de l’infrastructure et de l’organisation associée aux modèles de cybersécurité entrave souvent la désintermédiation axée sur la technologie. Il existe plus de 1,1 milliard de sites Web dans le monde, sans compter les milliards d’applications, de systèmes et de bases de données natifs qui nécessitent à la fois des schémas d’authentification et de chiffrement. Compte tenu de ces mesures, pensez au temps qu’il faudrait et à la logistique collaborative qui serait nécessaire pour réaliser une migration et une adoption massives vers un schéma d’authentification unique sans mot de passe qui répond à la fois aux exigences d’authentification et de chiffrement.

Les solutions sans mot de passe n’ont pas fourni une solution complète de bout en bout

Félicitations aux nombreux innovateurs de l’industrie qui ont introduit des formes alternatives d’authentification. Apple a introduit Touch ID il y a dix ans et a ensuite lancé Face ID en 2017. Avec Windows Hello pour se connecter à certains appareils informatiques, Microsoft a été le pionnier de l’abandon des mots de passe frontaux pour les empreintes digitales et la reconnaissance faciale. Nous continuerons à voir de nouvelles innovations dans la gestion de la sécurité telles que l’utilisation de l’intelligence artificielle (IA) ou l’authentification biométrique.

Aucune de ces innovations n’a tué le mot de passe, pour les nombreuses raisons évoquées ci-dessus. Le backend de tout système renforcé nécessite des mots de passe et des clés de chiffrement en couches pour protéger les données des utilisateurs. Les solutions sans mot de passe n’ont pas fourni une solution complète de bout en bout pour la gestion des identités et des accès. Au lieu de cela, ils sont devenus une “fonctionnalité” positive dans le cadre du schéma d’authentification, qui fonctionne particulièrement bien dans les scénarios d’authentification à deux facteurs. Votre visage, votre doigt, votre voix et même votre ADN sont en fin de compte un proxy pour un mot de passe, qui reste en jeu dans les coulisses. De plus, il y a un débat sain sur la façon dont les principaux acteurs technologiques et autres OEM pourront se marier et créer une plate-forme unique avec des fonctionnalités agnostiques qui fonctionnent sur n’importe quel appareil et n’importe quel navigateur. Et que se passe-t-il si une biométrie se brise ou est volée ?

La poursuite d’un avenir sans mot de passe est à la fois positive et audacieuse

Certes, ces dernières innovations sont brillantes et d’autres apparaîtront, mais il n’est tout simplement pas réaliste de croire que les mots de passe disparaîtront de si tôt. Nous pourrions supprimer le processus manuel consistant à saisir une chaîne de chiffres et de lettres pour accéder à tout ce dont nous avons besoin. Mais perdre complètement les mots de passe est un mythe. Le mieux que nous puissions faire est de fournir le plus grand soutien pour leur utilisation en toute sécurité.

Darren Guccione est PDG et co-fondateur de Keeper Security.