De nos jours, les entreprises utilisent plus de 1 000 services cloud différents et un collaborateur lambda utilise au quotidien une trentaine de services cloud pour réaliser son métier. Du point de vue des hackers, cela représente une très vaste surface d’attaque à exploiter et autant de points d’entrée potentiels. Il devient alors vital pour les entreprises de renforcer la sécurité de leurs accès réseau et l’accès aux différents services et outil SaaS pour tous leurs usagers. Si le mot de passe est un prérequis indispensable, il convient d’aller plus loin avec une authentification multifacteur ou MFA (multifactor authentification).
Qu’est-ce que l’authentification multifacteur
Appelée également authentification multiple, l’authentification multifacteur regroupe un ensemble d’outils de sécurité basés sur plusieurs méthodes d’authentification, permettant de vérifier l’identité de l’utilisateur qui souhaite se connecter à un système. Il est surtout utilisé afin de sécuriser l’accès vers une plateforme qui renferme des données sensibles ou qui permet de réaliser des transactions.
De nos jours, les vitesses de traitement élevées et les techniques permettant de casser plus facilement des mots de passe, notamment grâce aux Rainbow tables et à la technologie GPGPU, autrement dit l’utilisation de cartes graphiques plutôt que le classique CPU pour tester un volume conséquent de mots de passe en un temps record. La technique de déchiffrage de mot de passe par Rainbow tables permet de casser un mot de passe de 14 caractères alphanumériques en moins de 3 minutes tandis que l’usage du GPGPU permet de tenter 500 000 000 mots de passe à la seconde, sans avoir à recourir à un supercalculateur.
Une MFA comprend au moins deux niveaux d’identifications indépendantes. Si au départ les solutions de MFA se limitaient à 2 facteurs (2FA), plus récemment, les organisations ont commencé à augmenter le nombre de facteur, d’où le terme « multifacteur ». Ainsi, même si un cybercriminel parvient à trouver une faille sur l’un des facteurs d’authentification, il lui faudra franchir a minima un autre obstacle pour parvenir à ses fins. L’authentification profite à la fois aux collaborateurs et aux clients d’une entreprise.
Quels sont les facteurs d’authentification ?
Comme son nom le suggère, l’authentification multifacteur est basée sur des éléments que l’on désigne comme facteurs d’authentification ou preuves. Voici grandes catégories de facteurs utilisés à ce jour pour la MFA :
· Les facteurs mémoriels (authentification par la connaissance)
Cela représente les informations comme les identifiants (nom d’utilisateur), les mots de passe, les réponses aux questions secrètes ainsi que les codes PIN.
· Les facteurs matériels (authentification basée sur la possession d’un objet)
Cette catégorie regroupe les éléments que l’usager doit détenir pour pouvoir accéder au système. Ce sont les Token, les jetons de mot passe, les cartes SIM ou encore les badges d’accès. Les smartphones peuvent aussi être considérés comme facteur matériel lorsqu’ils sont utilisés pour recevoir un mot de passe à usage unique ou OTP (one time password).
· Les facteur corporels (authentification biométrique)
Cela regroupe les techniques d’authentification liées aux caractéristiques biologiques de l’utilisateur, comme l’analyse d’empreinte digitale, la reconnaissance faciale, la reconnaissance vocale ou encore le balayage de la rétine.
· Les facteurs de lieux (authentification basée sur la localisation)
La géolocalisation de l’usager peut être utilisée comme facteur d’authentification. Elle est surtout pratique si l’utilisateur demande l’accès depuis un smartphone ou une tablette connectée et localisée grâce au GPS que le dispositif embarque.
· Les facteurs temporels (authentification basée sur l’heure et la date)
Cela permet d’empêcher les personnes autorisées d’accéder au système hors de la plage horaire habituelle. Ainsi si un cybercriminel parvient à déjouer les premiers facteurs d’authentification, il ne pourra pas accéder au système pendant la nuit ou le week-end par exemple.
L’authentification multifacteur boudée par les utilisateurs
Plus un système intègre des facteurs d’authentification, plus il est sécurisé. Si imposer la MFA au sein d’une entreprise se passe généralement sans problème, il en est autrement pour les clients. Ces derniers rechignent souvent à donner leur accord si le produit ou l’outil qu’ils utilisent devient plus contraignant. Il faut un grand travail de communication et de sensibilisation en amont pour leur expliquer le bienfondé de l’authentification multifacteur.
Par ailleurs, la CNIL recommande fortement la MFA pour tous les usagers de tous types de comptes en ligne en reconnaissant que
« Comme toute mesure de sécurité, l’authentification multifacteur n’est pas infaillible. Ainsi, ce mécanisme reste vulnérable à certaines attaques sophistiquées telles que l’hameçonnage en temps réel, l’interception des SMS contenant les codes d’authentification ou les attaques du type "SIM swapping" ».
En tout cas, la MFA est un marché en pleine croissance. Les entreprises dominantes commencent à se faire un nom et vu la réalité et l’importance des menaces cyber, l’avenir de la cybersécurité reposera en grande partie sur le renforcement de la sécurité des accès, passant notamment par une authentification multifacteur.
