Déploiement d'un système sans mot de passe dans l'une des plus grandes banques du monde avec RSA ID Plus
L'une des plus grandes banques au monde a choisi RSA ID Plus pour jeter les bases d'un avenir sans mot de passe — en éliminant les vulnérabilités liées aux mots de passe pour l'ensemble des collaborateurs internes, des prestataires et des clients à forte valeur ajoutée. L'approche adoptée par la banque, les dispositifs d'authentification choisis et les exigences liées au déploiement sont détaillés dans l'étude de cas complète.
Poursuivez votre lecture pour découvrir les questions clés qui sous-tendent toute initiative bancaire à grande échelle sans mot de passe, un cadre de mise en œuvre fondé sur la manière dont ce type de déploiement se déroule concrètement, ou Télécharger l'étude de cas complète.
FIDO2 est la norme ouverte qui permet une connexion sans mot de passe et résistante au phishing. Lorsqu'un utilisateur enregistre un appareil FIDO2, une paire de clés cryptographiques unique est générée : la clé privée ne quitte jamais l'appareil, tandis que la clé publique est enregistrée auprès de l'application. Lors de la connexion, l'appareil signe un défi cryptographiquement lié au site web légitime ; ainsi, même si un utilisateur est amené par ruse à interagir avec une page frauduleuse, la réponse d'authentification ne peut pas y être utilisée.
Les clés d'accès liées à un appareil vont encore plus loin : les identifiants sont associés à un seul appareil physique et ne peuvent être ni exportés ni clonés. Dans les environnements bancaires où les menaces internes et le partage d'appareils constituent de réelles préoccupations, ce niveau de liaison offre la garantie la plus élevée qui soit. L'engagement de longue date de RSA au sein de l'Alliance FIDO le place au cœur du processus d'élaboration et de mise en œuvre de ces normes.
La population d'utilisateurs d'une banque n'est pas homogène. Les collaborateurs internes, les prestataires externes, les clients fortunés et les travailleurs mobiles ont tous des modes d'accès aux appareils, des exigences de sécurité et une tolérance aux complications qui leur sont propres. Un déploiement sans mot de passe qui fonctionne pour les traders sur des postes de travail fixes, mais qui échoue pour les prestataires externes utilisant des appareils partagés ou pour les clients sur mobile, ne constitue pas une solution complète.
RSA ID Plus y remédie en prenant en charge toute la gamme des solutions sans mot de passe et MFA résistant à l'hameçonnage méthodes — clés de sécurité matérielles, clés d'accès mobiles liées à un appareil et jetons matériels — dans les environnements cloud, hybrides et sur site. Basculement hybride garantit que l'authentification reste disponible même en cas d'interruption de la connexion, une exigence essentielle pour les opérations des services financiers.
Les déploiements à grande échelle d'authentification sans mot de passe ne se font pas du jour au lendemain. Pour une banque comptant des dizaines de milliers d'utilisateurs répartis sur plusieurs systèmes et zones géographiques, le passage d'un accès par mot de passe à une authentification entièrement résistante au phishing est un programme en plusieurs phases. Voici comment se déroulent généralement les déploiements de cette envergure.
Phase 1. Évaluation et planification
Avant de déployer toute technologie, les équipes chargées de la gestion des identités et de la sécurité de la banque recensent l’ensemble des catégories d’utilisateurs, des systèmes et des cas d’utilisation de l’authentification. Cela implique de déterminer quels utilisateurs ont besoin de clés matérielles plutôt que de clés d’accès mobiles, quels systèmes hérités nécessitent des solutions de transition, et quel est le plan de repli si une méthode venait à échouer dans un environnement particulier. La planification à ce stade permet d’éviter les lacunes qui apparaissent en cours de déploiement et qui entraînent des retouches coûteuses.
Phase 2. Déploiement pilote
Un sous-ensemble défini d'utilisateurs — généralement une seule unité opérationnelle ou un groupe pilote interfonctionnel — déploie les nouveaux dispositifs d'authentification dans un environnement contrôlé. L'objectif n'est pas seulement la validation technique, mais aussi la validation des processus : l'expérience d'authentification est-elle adaptée au mode de fonctionnement réel de ces utilisateurs ? Les problèmes liés à la mise en service, aux processus d'assistance et à la communication avec les utilisateurs sont bien moins coûteux à résoudre dans le cadre d'un projet pilote qu'à grande échelle.
Phase 3. Déploiement progressif à grande échelle
Le déploiement s'effectue service par service ou poste par poste, en accordant la priorité aux catégories d'utilisateurs présentant le plus grand risque : les comptes à accès privilégié, le personnel de la salle des marchés et les utilisateurs des systèmes de conformité. Chaque vague tient compte des enseignements tirés de la précédente. Pour la banque citée dans l'étude de cas, RSA Professional Services a fourni une assistance sur site tout au long de cette phase, garantissant ainsi que le déploiement se déroule comme prévu à chaque étape.
La plupart des banques procèdent à cette transition par étapes, en commençant par les catégories d’utilisateurs présentant le plus de risques — utilisateurs privilégiés, personnel de la salle des marchés, utilisateurs des systèmes de conformité — avant d’étendre la mesure à l’ensemble du personnel, puis aux clients. Cette transition ne nécessite pas de remplacer l’authentification multifactorielle (MFA) partout en même temps : RSA ID Plus prend en charge à la fois l'authentification multifactorielle (MFA) et les méthodes sans mot de passe, ce qui permet aux banques de suivre leur propre calendrier sans perturber l'accès pendant la migration.
Les clés d'accès liées à un appareil associent les identifiants d'authentification à un appareil physique spécifique, ce qui signifie qu'elles ne peuvent être ni exportées, ni partagées, ni utilisées depuis un autre appareil, même si un pirate parvient à accéder aux identifiants du compte de l'utilisateur. Pour services financiers Dans les environnements où le vol d'identifiants constitue le principal vecteur d'attaque, cette liaison élimine la catégorie de risque que les méthodes traditionnelles d'authentification multifactorielle (MFA) laissent ouverte.
RSA ID Plus prend en charge plusieurs types d'authentificateurs sans mot de passe — notamment les clés de sécurité matérielles pour les utilisateurs travaillant sur un poste de travail fixe et les clés d'accès mobiles liées à un appareil pour les utilisateurs qui utilisent un smartphone — afin que chaque catégorie d'utilisateurs dispose d'une méthode adaptée à ses habitudes de travail. Cela revêt une importance particulière dans le secteur bancaire, où les traders, le personnel des agences, les prestataires et les clients disposent tous d’environnements d’authentification distincts qu’une méthode unique ne peut pas prendre en charge de manière uniforme.
Pour une banque comptant des dizaines de milliers d'utilisateurs et présente dans plusieurs zones géographiques, le déploiement complet d'un système sans mot de passe s'inscrit généralement dans un programme de 18 à 24 mois lorsqu'il est planifié par phases. Le calendrier dépend fortement de la complexité de l'infrastructure d'identité existante, du nombre de groupes d'utilisateurs distincts et de l'ampleur de l'intégration des systèmes existants requise. Cette étude de cas détaille l'approche et le calendrier adoptés par cette banque en particulier.
FIDO2 utilise la cryptographie à clé publique pour lier l'authentification à un appareil et à une application spécifiques enregistrés, ce qui signifie que la réponse d'authentification ne peut pas être reproduite sur un site frauduleux — rendant ainsi le phishing techniquement inefficace, et pas seulement plus difficile. Les banques qui traitent des transactions de grande valeur et des données clients sensibles ont besoin de ce niveau de sécurité cryptographique ; les anciennes méthodes d’authentification multifactorielle (MFA) basées sur des secrets partagés ne peuvent pas l’assurer, quelle que soit la complexité de ces secrets.
RSA propose trois options d'authentificateurs résistants au phishing, adaptées à différents types d'utilisateurs de services bancaires : le Série iShield Key 2 clé matérielle (certifiée FIDO2 + FIPS 140-3, pour les environnements exigeant le plus haut niveau de sécurité), le mot de passe lié à l'appareil via l'application RSA Authenticator (pour les utilisateurs privilégiant les appareils mobiles), et le Clé matérielle DS100 (prenant en charge à la fois le protocole FIDO2 sans mot de passe et l'OTP pour les environnements nécessitant une solution de secours).
Cette étude de cas explique en détail quels moyens d'authentification cette banque a choisis et pourquoi.
Inclus