Les clés USB : Sont-ils prêts à être utilisés par les entreprises ?

Ce blog a été publié pour la première fois en 2024 et a été mis à jour. 

Les clés d'accès sont de plus en plus courantes grâce à des services grand public tels que Google, Apple, Facebook, Meta et bien d'autres. L'utilisation des clés d'accès renforce considérablement la sécurité par rapport aux connexions traditionnelles basées sur un mot de passe ou à l'authentification multifactorielle (MFA) sans mot de passe.

Il est normal que certaines solutions grand public s'étendent à l'usage professionnel - pensez à la possibilité d'envoyer des réactions en emoji aux courriels. Mais ce n'est pas parce qu'Instagram me permet de me connecter à l'aide d'un mot de passe que les entreprises doivent en faire autant ?

En bref : les passkeys sont-ils prêts à être utilisés par les entreprises ?

Les Alliance FIDO a été fondée en 2013 par diverses entreprises afin de développer une norme d'authentification qui servirait de deuxième facteur ; aujourd'hui, FIDO peut servir de méthode d'authentification forte sans mot de passe.

Depuis 2013, FIDO est devenu l’un des moyens de connexion sans mot de passe les plus populaires, en grande partie parce qu’il tient les promesses de l’acronyme qui compose son nom : il permet une identification rapide en ligne. L’Alliance FIDO met fortement l’accent sur l’environnement grand public. Ce n’est donc pas étonnant que ses principaux membres soient actifs dans ce domaine : Apple, Google, PayPal et Microsoft. RSA est membre de l'alliance FIDO et copréside son groupe de travail sur le déploiement en entreprise.

Les identifiants FIDO utilisent des paires de clés asymétriques pour s'authentifier auprès d'un service. Lorsqu'un justificatif FIDO est enregistré auprès d'un service, une nouvelle paire de clés est générée sur l'authentificateur FIDO et le service fait alors confiance à cette paire de clés, et à elle seule. La paire de clés est liée au nom de domaine exact du service.

C'est précisément cette association stricte entre un service et un identifiant FIDO qui garantit une grande résistance au phishing : si un utilisateur tentait de se connecter à un faux site de phishing avec le mot de passe créé pour le site authentique, il échouerait car le nom de domaine indiqué ne correspondrait pas à l'identifiant.

En 2022, Apple, Google et Microsoft ont lancé la prise en charge d'un nouveau type de justificatif FIDO, appelé passe-partout. En 2023, l'Alliance FIDO a adopté le terme "passe-partoutLe terme "passkeys" désigne tout type d'identifiant FIDO, ce qui peut prêter à confusion quant à la signification exacte du terme "passkeys" utilisé par une organisation.

Cette ambiguïté possible a été résolue par l'Alliance FIDO (voir ci-dessous), mais elle peut encore exister dans les entreprises. Il est important de lever cette ambiguïté, car tous les passkeys ne sont pas créés égaux ou appropriés pour une utilisation en entreprise.

Types de passeports

Il existe désormais deux types de passkeys, tels que définis par l'alliance FIDO : les passkeys liés à un appareil et les passkeys synchronisés.

Clés d'accès liées à l'appareil et clés d'accès synchronisées

Les clés d'accès liées à un périphérique sont généralement hébergées sur des périphériques spécifiques appelés “ clés de sécurité ”. Ce type de clé d'accès est généralement considéré comme plus sûr, car la clé privée ne quitte jamais le périphérique, ce qui la rend résistante à toute extraction ou compromission à distance.

Cependant, cela signifie également qu'en cas de perte ou de détérioration de l'appareil, l'utilisateur devra enregistrer une nouvelle clé d'accès sur un nouvel appareil. Les clés d'accès liées à un appareil sont particulièrement prisées dans les environnements à haut niveau de sécurité et les cas d'utilisation en entreprise, où l'on recourt souvent à du matériel tel que des clés de sécurité ou des modules de plateforme de confiance (TPM).

Les clés d'accès liées à un appareil sont désormais également prises en charge dans certaines applications mobiles, telles que l'application RSA Authenticator pour iOS et Android.

Clés d'accès synchronisées

Avec les clés d'accès synchronisées, les données de clé sont enregistrées via ce qu'on appelle une « infrastructure de synchronisation à distance », et peuvent ensuite être restaurées sur n'importe quel autre appareil appartenant au même utilisateur. Les principales infrastructures de synchronisation actuelles sont Microsoft, Google et Apple. Cela signifie que si vous enregistrez votre téléphone Android en tant que clé d'accès, le matériel de clé correspondant sera stocké par Google et sera donc disponible sur tous vos autres appareils Android peu de temps après.

Les passkeys synchronisés sont, outre le fait qu'ils sont pris en charge par des services très répandus tels que WhatsApp ou Facebook, l'une des principales raisons de la forte augmentation de l'utilisation générale des passkeys. Il est facile de comprendre pourquoi : un utilisateur possédant de nombreux comptes et appareils peut utiliser le même mot de passe synchronisé pour chacun d'entre eux.

Les « passkeys » remplacent les mots de passe traditionnels par des paires de clés cryptographiques, offrant ainsi une authentification robuste et résistante au phishing. Lorsqu’un utilisateur s’inscrit à un service, son appareil génère une paire unique de clés privée-publique. La clé privée reste stockée en toute sécurité sur l’appareil de l’utilisateur, tandis que la clé publique est partagée avec le service. Lors de l’authentification, l’appareil prouve qu’il détient la clé privée en signant un défi envoyé par le service, et la signature est vérifiée à l’aide de la clé publique stockée. Aucun secret partagé n’est transmis, et aucun mot de passe n’est créé ni stocké, ce qui réduit considérablement le risque de vol d’identifiants ou d’attaques par rejeu.

Les mots de passe traditionnels reposent sur des secrets partagés qui peuvent être devinés, volés ou hameçonnés, ce qui en fait un point d'entrée courant pour les attaquants. Ils sont souvent réutilisés d'un compte à l'autre, stockés de manière non sécurisée et vulnérables aux attaques par force brute ou par bourrage d'identifiants.

Les clés d'accès éliminent ces risques en remplaçant les mots de passe par la cryptographie à clé publique-privée. L’authentification s’effectue en prouvant la possession de cette clé, sans qu’il soit nécessaire de la transmettre. Cette approche rend obsolètes la plupart des vecteurs d’attaque courants, notamment le phishing, le vol d’identifiants et la réutilisation des mots de passe. Pour les entreprises, les clés d’accès constituent une avancée majeure en matière d’authentification sécurisée, tout en réduisant la charge liée aux réinitialisations de mots de passe et aux demandes d’assistance.

• Résistant à l'hameçonnage: Les Passkeys sont conçus pour empêcher les attaques de phishing traditionnelles. Comme il n'y a pas de mot de passe, il n'y a rien à voler ou à réutiliser.
• Rapide et pratique: La connexion à l'aide d'un passe est souvent aussi simple que l'utilisation de la biométrie (comme Face ID ou une empreinte digitale), ce qui rend l'expérience plus fluide pour les utilisateurs.
• Une expérience utilisateur familière: Les connexions Passkey ressemblent aux modèles d'authentification mobiles courants, de sorte qu'il n'y a que peu ou pas de courbe d'apprentissage.
• Sécurité de l'appariement des domaines: Les clés de passage offrent un niveau de protection supplémentaire en garantissant que la clé ne fonctionne qu'avec le domaine de service d'origine - un avantage que toutes les méthodes d'AMF n'offrent pas.
• Approuvé par le gouvernement: Aux États-Unis, la résistance à l'hameçonnage est l'un des principaux facteurs à l'origine des mandats fédéraux. Décret 14028 exige une authentification sans mot de passe et résistante à l'hameçonnage pour protéger les infrastructures critiques.

Si les passkeys présentent des avantages considérables, ils s'accompagnent également de quelques défis et problèmes importants.

• Expérience utilisateur : Les invites relatives à la clé de sécurité, telles que celles demandant d'insérer la clé de sécurité dans le port USB ou de saisir le code PIN, par exemple, peuvent varier selon le système d'exploitation et le navigateur. Ces invites risquent de compliquer la formation des utilisateurs et d'entraîner une augmentation du nombre d'appels au service d'assistance.
• Détourner l'attention d'autres attaques : Quiconque pense que l'utilisation de clés d'accès le rend soudainement à l'abri des tentatives de contournement de l'authentification multifactorielle (MFA), telles que les attaques par ingénierie sociale, se trompe lourdement. Les clés d'accès constituent une protection contre un type d'attaque d'ingénierie sociale : le phishing. Malheureusement, il existe d'autres variantes. Les attaques contre MGM Resorts ou le Caesars Palace à Las Vegas comportaient une composante d'ingénierie sociale : l'exploitation du service d'assistance pour permettre à l'attaquant d'enregistrer lui-même un authentificateur d'authentification multifactorielle.
• Problèmes liés à la perte d'un appareil ou à sa mise à niveau : Si les utilisateurs perdent l'accès à un appareil prenant en charge les clés d'accès liées à l'appareil, celles-ci ne peuvent pas être récupérées.
• Prise en charge limitée pour l'ensemble des services : Bien que leur utilisation se généralise, tous les sites web ou systèmes d'entreprise ne prennent pas encore en charge les passkeys, ce qui peut limiter leur facilité d'utilisation au quotidien.
• Confusion ou manque de sensibilisation des utilisateurs : Le concept de « passkeys » est encore peu familier à de nombreux utilisateurs, ce qui peut être source de confusion quant à leur configuration, leur synchronisation ou leur fonctionnement en arrière-plan. Les variations terminologiques (clés d'accès, clés de sécurité, clés FIDO) et l'évolution des normes au sein du secteur peuvent accroître cette confusion et compliquer la tâche des utilisateurs et des organisations qui souhaitent comprendre clairement les bonnes pratiques et mettre en œuvre et adopter les clés d'accès de manière cohérente. Cela peut également entraîner des erreurs lors de la configuration et de l'utilisation, une augmentation des demandes d'assistance et des failles potentielles en matière de sécurité.
• État de préparation des infrastructures : Le déploiement des clés d'accès peut obliger les entreprises à mettre à jour leurs plateformes d'identité, leurs politiques de gestion des appareils et leurs programmes de formation, en particulier lorsqu'elles abandonnent les méthodes d'authentification traditionnelles. Les entreprises peuvent constater que leurs ressources existantes ou sur site ne sont pas compatibles avec les clés d'accès en raison d'une authentification exclusivement Web. Dans ces cas-là, elles doivent moderniser leur authentification multifactorielle (MFA) en sans mot de passe des capacités permettant de prendre en charge différents environnements et d'assurer la maintenance des infrastructures existantes.

Compte tenu des défis que posent les clés USB d'aujourd'hui lorsqu'il s'agit de fournir des flux de travail uniformes sur différents navigateurs, appareils et systèmes d'exploitation, que peut faire l'industrie pour garantir une expérience véritablement transparente et multiplateforme ? Comment pouvons-nous déterminer le meilleur moyen de résoudre les incohérences qui risquent de dérouter les utilisateurs et de freiner l'adoption généralisée ?

Chez RSA, notre direction UX est activement impliquée dans les groupes de travail de l'Alliance FIDO afin de plaider en faveur d'expériences utilisateur cohérentes. En apportant nos idées, nous souhaitons contribuer à l'élaboration de normes qui réduisent les distractions, les frictions et l'uniformité pour les utilisateurs finaux.

La mobilité est un autre aspect de la création d'une expérience "passkey" transparente dans tous les environnements. Les travailleurs s'attendent de plus en plus à la commodité des flux de travail mobiles. Si l'accès aux ressources de l'entreprise sur un smartphone semble aussi intuitif que le déverrouillage de ce même appareil, l'adoption de nouvelles méthodes d'authentification, telles que les clés de sécurité, devient beaucoup plus facile. Une expérience mobile sans friction permet de vaincre la résistance des utilisateurs, de minimiser la courbe d'apprentissage et de faciliter la transition vers l'abandon des mots de passe. En proposant une interface familière, transparente en ce qui concerne les autorisations et cohérente quel que soit l'appareil ou la plate-forme de l'utilisateur, les entreprises peuvent réduire la confusion et améliorer la confiance. La solution mobile FIDO de RSA est un exemple de mise en œuvre d'une clé de sécurité en fonction de l'appareil.

Pour les installations sécurisées et les environnements hautement sécurisés où l'authentification mobile n'est pas autorisée, le Série RSA iShield Key 2 fournit un authentificateur matériel certifié FIPS 140-3 niveau 3, FIDO2, qui offre une sécurité multiplateforme sans mot de passe et résistante au phishing.

On dit que lorsqu'on a un marteau, tout peut ressembler à un clou. Transformer en application d'entreprise une solution, même excellente, qui était à l'origine destinée à un usage grand public, peut présenter des risques importants.

En lisant cet article, vous avez peut-être eu un sentiment de malaise à la mention du "tissu de synchronisation". Votre intuition était la bonne.

Le fait que les clés d'accès synchronisées apparaissent comme par magie sur tous les appareils sur lesquels l'utilisateur est connecté via Apple ou Google constitue un signal d'alerte majeur dans le contexte d'entreprise et devrait soulever des questions importantes :

• Les utilisateurs devraient-ils être autorisés à utiliser plusieurs dispositifs (éventuellement aussi privés) pour l'authentification ? Si oui, combien ?
• La synchronisation des codes d'accès permet de restaurer un code d'accès "perdu" à l'aide des processus de récupération de compte de Google ou d'Apple, par exemple. C'est très bien... mais ces processus sont-ils suffisamment sûrs pour vous ?
• La fonction d'Apple qui permet aux utilisateurs de partager leurs clés d'accès avec leurs amis ou leur famille est assez intéressante... mais cela s'applique-t-il également aux clés d'accès utilisées pour se connecter à des applications d'entreprise ?

Lorsque vous utilisez des passkeys synchronisés, la sécurité de votre entreprise dépend soudain en grande partie de la sécurité technique et organisationnelle d'Apple et de Google. Bien sûr, il existe une certaine dépendance en raison de l'utilisation d'un mot de passe synchronisé. iOS et Android-Mais les clés de passage synchronisées augmentent considérablement cette dépendance.

Il ne s'agit pas non plus d'une vulnérabilité théorique. Retravailler a expliqué comment les acteurs de la menace l'avaient utilisé pour accéder à ses systèmes, en précisant que cette fonctionnalité signifie que “si votre compte Google est compromis, vos codes MFA le sont aussi”.”

Il n'est pas possible de répondre de manière générale à la question de savoir si les passkeys doivent être utilisés dans l'entreprise. Chaque organisation est différente et doit trouver un équilibre entre ses priorités uniques en matière de sécurité et de fonctionnement.

En outre, l'utilisation des clés ne devrait pas être une question de oui ou de non. L'introduction de passkeys ou de connexions sans mot de passe en général devrait être utilisée pour revoir fondamentalement l'ensemble des processus MFA d'une organisation. Ce qui a été valable pour les jetons OTP matériels pendant 15 ans ne l'est probablement plus tout à fait pour les clés d'accès ou d'autres méthodes d'AMF aujourd'hui.

RSA estime que les « passkeys » peuvent être déployées en entreprise à condition qu'elles s'inscrivent dans la stratégie de l'organisation et que celle-ci réfléchisse mûrement aux réponses aux questions suivantes. Nous avons constaté que certaines organisations utilisaient les « passkeys » avec succès dans le cadre de RSA^® ID Plus, Notre plateforme complète de gestion de l'identité et de l'accès (IAM) offre une gamme d'options sans mot de passe.

Parce que nous sommes une organisation qui privilégie la sécurité et que nous utilisons les principes Secure by Design / Secure by Default, nous empêchons l'utilisation de clés de chiffrement synchronisées par défaut. Seuls les passkeys liés au périphérique sont disponibles par défaut dans les environnements RSA afin de fournir un niveau de sécurité maximal dès la sortie de la boîte et sans travail supplémentaire de la part des administrateurs.

Lorsqu'elles évaluent l'opportunité d'introduire des passkeys, les organisations doivent se poser les questions suivantes : comment nos authentificateurs sont-ils enregistrés ? Existe-t-il des processus permettant de gérer en toute sécurité le scénario "J'ai perdu mon authentificateur" ? Qu'en est-il de la classification des utilisateurs, des applications et des données ?

Les passeports sont un Méthode de l'AMF parmi tant d'autres. Certes, leur protection contre le phishing est exceptionnelle, mais les utilisateurs peuvent-ils s'identifier grâce à ce système sur toutes les ressources protégées auxquelles ils doivent accéder ?.

Pour ces raisons et bien d'autres, il est important que votre système MFA ne soit pas seulement techniquement à jour, mais qu'il prenne également en charge une grande variété de méthodes MFA, telles que les codes QR, la biométrie, l'OTP, les messages push et les passkeys.

Il est également important que les processus liés à l'AMF soient adaptés aux nouvelles menaces. Cela va bien au-delà du système MFA proprement dit : votre service d'assistance est-il également à l'abri des attaques d'ingénierie sociale ?

Si les passkeys ont un sens pour vous, nous voulons vous aider. Contactez nous pour en savoir plus ou lancer un essai gratuit de 45 jours d'ID Plus.

Prendre la décision de déployer des clés d'accès est la partie la plus facile. Ce guide présente les trois phases d'un déploiement réussi — évaluation, projet pilote et déploiement à l'échelle de l'entreprise —, illustrées par des exemples concrets tirés d'organisations qui ont déjà franchi cette étape. Pour un aperçu complet des fonctionnalités « sans mot de passe » de RSA, rendez-vous sur le Page consacrée aux solutions RSA sans mot de passe.

Phase 1 : Évaluation et planification (quatre à huit semaines)

1. Réalisez un audit d'authentification. Recensez toutes les applications, infrastructures et systèmes qui nécessitent une authentification ou y sont liés, en notant ceux qui ne prennent pas encore en charge la norme FIDO2.
2. Identifiez les groupes d'utilisateurs à haut risque. Les administrateurs disposant de privilèges, le personnel financier, les télétravailleurs et les utilisateurs d'appareils partagés nécessitent chacun une approche différente : segmentez votre personnel en fonction du niveau de risque avant de planifier le déploiement.
3. Définissez votre politique en matière de clés d'accès. Déterminez quels groupes d'utilisateurs doivent utiliser des clés d'accès liées à un appareil, des clés d'accès synchronisées, ou une combinaison des deux. RSA recommande de définir par défaut les clés d'accès liées à un appareil, en réservant les clés d'accès synchronisées aux cas où le compromis est justifié.
4. Passez en revue les politiques internes susceptibles d'avoir une incidence sur l'utilisation des clés d'accès, telles que les restrictions relatives à l'utilisation des ports USB, du BLE ou des appareils mobiles. Établissez un calendrier de déploiement par étapes. Fixez des jalons, désignez des responsables et définissez les critères de décision (feu vert/feu rouge). Obtenez dès le début l'adhésion de la direction.

Phase 2 : Déploiement pilote (six à dix semaines)

1. Choisissez soigneusement votre groupe pilote. Le personnel informatique et de sécurité constitue un groupe idéal de premiers utilisateurs. L'ajout d'un petit groupe d'assistants de direction permet de mettre en évidence des cas limites concrets, tels que l'utilisation d'ordinateurs partagés ou les situations de délégation de tâches.
2. En fonction de vos cas d'utilisation, testez les deux types de passkey dans votre environnement. Vérifiez l'inscription, la connexion, la réauthentification après la mise en veille de l'appareil, ainsi que l'authentification unique (SSO) sur l'ensemble des types d'appareils et des systèmes d'exploitation utilisés par votre organisation.
3. Élaborer et tester les procédures du service d'assistance. Simuler des scénarios de perte d'appareil, d'oubli du code PIN, d'intégration et de départ avant qu'ils ne se produisent en production. Le personnel du service d'assistance doit être en mesure d'exécuter les procédures de récupération en toute sécurité, sans se faire piéger par des techniques d'ingénierie sociale.
4. Définissez des indicateurs de performance. Suivez les taux d'inscription, les taux de réussite et d'échec des authentifications, ainsi que le volume de tickets du service d'assistance afin d'établir des valeurs de référence avant de passer à l'échelle supérieure.
5. Recueillez des retours d'expérience structurés. Réalisez des enquêtes auprès des utilisateurs pilotes au bout de deux et six semaines. Tirez parti de ces enseignements pour mettre à jour les supports de formation et la configuration avant le déploiement à plus grande échelle.

Phase 3 : Déploiement à l'échelle de l'entreprise (de deux à six mois)

1. Mettez en place un programme de gestion du changement. De courtes vidéos explicatives et des guides pratiques écrits s’avèrent plus efficaces qu’une documentation volumineuse. Adaptez le contenu en fonction des différents segments d’utilisateurs : l’expérience d’un développeur travaillant à distance diffère de celle d’un utilisateur travaillant dans un espace de travail partagé.
2. Procédez à un déploiement par vagues. Déployez le système par service, par zone géographique ou par niveau de risque. Les utilisateurs à haut risque sont généralement prioritaires ; ceux qui partagent un appareil ou qui dépendent de systèmes hérités viennent en dernier.
3. Veillez à ce que des méthodes d'authentification de secours restent disponibles. Ne supprimez pas immédiatement les méthodes d'authentification multifactorielle (MFA) existantes. Conservez les codes OTP envoyés par notification push, les codes QR ou les clés matérielles comme solutions de secours jusqu'à ce que le nombre d'utilisateurs inscrits atteigne le seuil cible (généralement 90%+ par service).
4. Surveillez le taux d'adoption et l'état du système d'authentification. Utilisez les tableaux de bord de la plateforme pour suivre l'avancement des inscriptions, les taux d'échec et les tendances relatives au service d'assistance. Configurez des alertes pour détecter rapidement les anomalies.
5. Assurez la sécurité jusqu'au bout. Une fois le déploiement terminé, mettez à jour la documentation relative à votre politique d'authentification multifactorielle (MFA) et procédez à un audit post-déploiement. Les « passkeys » éliminent le phishing visant les identifiants, mais l'ingénierie sociale au sein du service d'assistance reste un risque bien réel.

Voici quelques exemples illustratifs basés sur des modèles de déploiement courants.

Scénario n° 1 : Services financiers — banque régionale, 5 000 employés
Une banque régionale de taille moyenne a mis en place des codes d'accès liés à un appareil via RSA ID Plus avec Clés de sécurité matérielles certifiées FIPS 140-3 pour les utilisateurs privilégiés et le personnel des agences.

• Défi majeur: L'application de guichet existante nécessitait une couche de proxy FIDO2 ; le personnel du service d'assistance a dû suivre une formation sur la prévention de l'ingénierie sociale avant le déploiement.
• Type de mot de passe: Clés de sécurité matérielles liées à un appareil
• Chronologie: Six mois
• Résultats: Réduction du nombre de tickets d'assistance 43% ; aucune violation liée aux mots de passe après le déploiement

Scénario n° 2 : Administration publique — organisme fédéral, 12 000 employés
Une agence fédérale civile devait se conformer aux exigences de l'EO 14028 et de la directive M-22-09 de l'OMB en matière d'authentification multifactorielle (MFA) résistante au phishing, dans un environnement hybride comprenant des segments de réseau classifiés isolés physiquement.

• Principaux défis: Les segments isolés physiquement nécessitaient une authentification sans connexion à Internet ; un ancien système de gestion des dossiers exigeait une couche proxy FIDO2 ; plus de 30 agences locales avaient besoin d'une assistance pour l'inscription à distance.
• Type de mot de passe: FIPS 140-3 niveau 3 RSA iShield Key 2 pour l'ensemble du personnel ; jetons OTP RSA DS100 pour les segments isolés physiquement
• Chronologie: Dix mois
• Résultats: Conformité totale certifiée aux dispositions du décret présidentiel 14028 et de la directive M-22-09 ; le taux de capture des identifiants est passé de 181 TP14T à moins de 11 TP14T ; réduction de 381 TP14T du nombre de tickets d'assistance