Les informations d'identification volées ou compromises représentant 80% des violations de données en 2024, l'arrêt des attaques basées sur les informations d'identification est essentiel pour protéger l'accès aux données, aux applications et aux autres ressources d'une organisation. La clé pour repousser ces types d'attaques est l'authentification multifactorielle (MFA), qui nécessite plusieurs facteurs de vérification pour accéder à des ressources sécurisées.
Comme leur nom l'indique, les méthodes d'authentification multifactorielle requièrent une authentification à l'aide d'au moins deux facteurs de catégories différentes : quelque chose que vous connaissez (comme un mot de passe, un code PIN ou une réponse à une question de sécurité), quelque chose que vous avez (comme un authentificateur physique ou virtuel) et/ou quelque chose que vous êtes (une caractéristique biométrique qui vous est propre). L'authentification à deux facteurs (2FA) est un sous-ensemble de l'AMF qui requiert exactement deux facteurs de catégories différentes. Si des facteurs supplémentaires sont ajoutés au-delà de deux, cela reste de l'AMF.
Si le 2FA est plus sûr qu'un seul facteur d'authentification, les méthodes MFA rendent l'environnement d'authentification encore plus sûr, en particulier lorsqu'il s'agit d'arrêter des campagnes de phishing de plus en plus sophistiquées et d'autres types d'attaques.
Quelque chose que vous connaissez
Mots de passe, codes PIN, questions de sécurité : ces facteurs basés sur les connaissances existent depuis que les ressources sécurisées ont besoin d'être protégées. Bien qu'ils impliquent des informations que seul un utilisateur légitime devrait connaître, il arrive souvent qu'un acteur malveillant ait trouvé un moyen d'accéder à ces informations, que ce soit par hameçonnage, par des attaques par force brute, par des fuites de données ou simplement en profitant d'une mauvaise hygiène des mots de passe (par exemple, lorsqu'un utilisateur utilise les mêmes informations d'identification à plusieurs reprises pour tout).
Il est difficile de reprocher aux utilisateurs d'écrire ou de réutiliser des informations d'identification que les pirates peuvent exploiter. Avec autant de mots de passe liés aux ressources de l'entreprise qu'ils doivent garder à l'esprit...avec une moyenne de 87, Selon une étude, il est presque impossible de le faire sans une aide quelconque. C'est pourquoi l'homme est le maillon faible de la cybersécurité.
Compte tenu des faiblesses inhérentes à l'utilisation des mots de passe, de plus en plus d'organisations accordent la priorité à l'utilisation des mots de passe. authentification sans mot de passe, Les entreprises utilisent souvent des clés d'accès qui reposent sur la biométrie et d'autres mécanismes d'authentification sans mot de passe. Les organisations mettent également en œuvre l'utilisation de questions de sécurité dynamiques liées au contexte en temps réel.
Dans la mesure où les mots de passe continuent d'être utilisés aujourd'hui, ils sont désormais presque toujours - en particulier dans les secteurs sensibles à la sécurité - associés à des facteurs d'authentification supplémentaires. Par exemple, pour se connecter à une application bancaire aujourd'hui, il est probable que l'utilisateur doive se connecter avec un mot de passe et utiliser également un mécanisme biométrique comme la reconnaissance faciale, en particulier si une activité inhabituelle a été détectée.
Quelque chose que vous avez
Les facteurs "quelque chose que vous avez", officiellement connus sous le nom de facteurs de possession, exigent qu'un utilisateur possède un objet physique ou virtuel qui peut être utilisé pour l'authentification. En voici quelques exemples :
- Les authentificateurs matériels qui génèrent des mots de passe à usage unique (OTP), en particulier dans les environnements hautement sécurisés où les dispositifs mobiles ne sont pas disponibles.
- Clés de sécurité basées sur la norme U2F et prenant également en charge la technologie sans fil NFC, de sorte qu'elles peuvent être utilisées dans des environnements USB ou sans fil.
- Cartes à puce contenant des informations d'authentification pour un accès sécurisé aux ressources
- Clés FIDO résistantes à l'hameçonnage, qui permettent aux utilisateurs de se connecter à l'aide de données biométriques ou d'un code PIN au lieu d'utiliser un mot de passe.
- Clés d'accès associées à des appareils spécifiques (dans l'intérêt d'une sécurité maximale, ces clés ne peuvent pas être synchronisées entre plusieurs appareils).
Quelque chose que vous êtes
Chaque fois que vous déverrouillez votre smartphone à l'aide de la reconnaissance faciale ou que vous accédez à une application sécurisée en scannant votre empreinte digitale, vous utilisez un facteur basé sur l'inhérence, c'est-à-dire "quelque chose que vous êtes". Il est difficile d'imaginer une meilleure défense, étant donné que cette forme d'authentification repose entièrement sur vos propres caractéristiques biométriques, qui sont presque impossibles à identifier.ou du moins extrêmement difficile-à reproduire. Les empreintes digitales ou la reconnaissance faciale, les scanners de la rétine ou de l'iris, la détection de la voix, voire la biométrie comportementale comme la vitesse de frappe, sont autant de moyens de prouver que l'on est vraiment soi-même.
Bien que les facteurs basés sur l'inhérence puissent soulever des problèmes de confidentialité, notamment en ce qui concerne la manière dont les données biométriques sont stockées (et leur sécurité), il est difficile de nier la puissance et la valeur d'une sécurité basée sur ce que l'on est plutôt que sur ce que l'on sait ou possède (et que l'on peut donc oublier ou perdre). C'est également un domaine qui invite à l'innovation, y compris les tendances émergentes comme l'authentification continue basée sur des facteurs environnementaux (un pilier clé de la confiance zéro), ainsi que la biométrie comportementale qui se concentre sur la dynamique de la frappe et les modèles de mouvement de la souris.
Pousser pour approuver
- Définition : Notification sur l'appareil demandant à l'utilisateur d'appuyer sur pour approuver une demande d'accès.
- Avantages : Moyen rapide et pratique de fournir un facteur supplémentaire pour l'authentification en temps réel
- Scénario : Accès à des applications mobiles sécurisées
Code d'accès unique (OTP)
- Définition : Code généré automatiquement qui authentifie un utilisateur pour une session de connexion.
- Avantage : mécanisme d'authentification qui ne peut être utilisé qu'une seule fois, ce qui renforce la sécurité.
- Scénario : Opérations bancaires en ligne ou autres transactions sensibles sur le plan de la sécurité
Biométrie
- Définition : Utilisation d'un dispositif ou d'une application qui reconnaît une empreinte digitale ou un autre élément biométrique.
- Avantage : authentification pratique et extrêmement difficile à usurper ou à imiter
- Scénario : Sécuriser l'accès à un appareil ou à une application
Clé de sécurité liée à l'appareil
- Définition : Méthode d'authentification basée sur un mécanisme biométrique ou autre que le mot de passe.
- Avantage : risque de sécurité plus faible que les clés de sécurité synchronisées utilisées sur plusieurs appareils.
- Scénario : Applications d'entreprise
Authentificateur matériel
- Définition : Jeton se présentant sous la forme d'un petit authentificateur portable générant des OTP.
- Avantage : la possession physique constitue un niveau de sécurité supplémentaire
- Scénario : Environnements sécurisés où les dispositifs mobiles ne sont pas une option pour l'authentification
Logiciel d'authentification
- Définition : Jeton qui existe sous la forme d'une application logicielle sur un smartphone ou un autre appareil.
- Avantage : Portable et facile à déployer
- Scénario : Partout où des dispositifs personnels ou émis par l'entreprise peuvent être utilisés pour l'authentification.
Plusieurs facteurs doivent être pris en compte lorsque vous réfléchissez aux méthodes d'AMF qui conviendront le mieux à votre organisation, notamment le niveau de risque et la sensibilité des données, la commodité et l'accessibilité pour l'utilisateur, ainsi que le coût et les exigences en matière de mise en œuvre. Vous trouverez ci-dessous des questions spécifiques à examiner en tenant compte de ces facteurs.
Questions critiques et recommandations à prendre en compte
- Avez-vous besoin de plusieurs méthodes MFA pour répondre aux besoins de plusieurs environnements - sur site, à distance ou une combinaison des deux ? L'utilisation de plusieurs méthodes d'AMF choisies stratégiquement et fournies par un seul fournisseur permettra de contrôler les coûts et de rationaliser la mise en œuvre.
- Votre personnel à distance utilise-t-il des appareils personnels non gérés pour s'authentifier auprès de ressources sécurisées ? Assurez-vous que l'une des méthodes MFA à votre disposition est conçue spécifiquement pour détecter et gérer les menaces sur les appareils BYOD.
- Travaillez-vous principalement dans un environnement hautement sécurisé (comme une salle blanche) où les téléphones portables ne sont pas autorisés ? Les méthodes MFA qui incluent l'authentification par jeton matériel utilisant des jetons qui peuvent être gérés dans le nuage permettront de répondre aux besoins d'authentification sécurisée et de facilité de gestion.
- Quels sont vos plans pour la continuité des activités, en particulier en ce qui concerne le maintien d'une authentification et d'un accès forts pendant une panne ? Envisagez un environnement hybride qui peut basculer vers des méthodes MFA sur site si nécessaire.
- Êtes-vous tenu de vous conformer à des réglementations ou directives spécifiques prescrivant une résistance au phishing ou d'autres qualités spécifiques pour vos méthodes d'AMF ? Faites preuve de diligence raisonnable pour vous assurer que les méthodes d'AMF que vous choisissez sont conçues spécifiquement pour répondre aux exigences réglementaires et autres.
On ne saurait trop insister sur l'importance des méthodes d'AMF dans la cybersécurité moderne, compte tenu notamment de la diversité et de la complexité des environnements d'authentification et des menaces actuelles. L'utilisation de plusieurs méthodes d'AMF permet d'adopter une approche multicouche de l'authentification, dans laquelle l'utilisation de plusieurs méthodes crée plusieurs couches de sécurité, ce qui rend l'accès plus difficile pour les utilisateurs non autorisés. Le fait de disposer de plusieurs méthodes peut également améliorer l'expérience de l'utilisateur, en offrant un large éventail de choix permettant d'adapter l'authentification aux différents besoins et circonstances des utilisateurs. Contacter l'ASR pour commencer à explorer la gamme de solutions complètes d'AMF qui s'offrent à vous aujourd'hui.
