L'Alliance FIDO, qui reconnaît l'utilité du mot de passe à usage unique, s'inquiète du modèle même du password, pas à l'abri du piratage.
Ce petit code d'accès à six chiffres, appelé mot de passe à usage unique, s'avère, il est vrai, bien pratique pour s'authentifier sur un service en ligne, ou pour confirmer une transaction auprès de votre banque par exemple. S'il est populaire et bien utile, il souffre d'une limite : le mot de passe laisse des traces. L'Alliance FIDO, réputée pour ses solutions et protocoles d'authentification, milite toujours pour des normes tendant à réduire notre dépendance au mot de passe. Elle s'explique sur le sujet.
Le mot de passe à usage unique souffre des mêmes limites que le mot de passe traditionnel
Même s'il existe une échelle de sécurité qui dépend de facteurs comme la longueur ou la variété des caractères, le mot de passe le plus complexe peut faire l'objet d'une attaque rondement menée, ou être volé dans une base de données corrompue, puis exposé. Ce mot de passe peut se retrouver sur le dark web, où les pirates se l'échangent pour quelques centimes ou quelques euros.
De là, Andrew Shikiar, directeur exécutif de l'Alliance FIDO, nous dit que « toute forme d'authentification multifactorielle est préférable à l'utilisation des seuls mots de passe ». Selon lui, cette technique permettra « de déjouer la majorité des attaques à distance les plus courantes, comme le phishing ».
On pourrait croire que les mots de passe à usage unique constituent une solution de sécurité renforcée. Pour rappel, il s'agit d'un code unique, généralement à six chiffres, envoyé par SMS ou via des applications d'authentification, qui permet de vérifier l'identité de l'utilisateur. « Ces formes d'authentification multifacteur sont très populaires, parce qu'elles utilisent une technologie facilement disponible », explique Andrew Shikiar. Sauf qu'en fin de compte, le mot de passe à usage unique souffre des mêmes défauts et des mêmes limites que le mot de passe traditionnel. « Il s'agit toujours d'une forme d'authentification fondée sur la connaissance, qui repose sur la saisie par l'utilisateur d'un texte lisible par l'Homme qui doit correspondre au "secret" sur un serveur. »
Privilégier les méthodes d'authentification sans mot de passe
La durée est la différence majeure entre les mots de passe uniques et traditionnels. Mais les premiers cités, à la durée de vie courte, peuvent aussi être manipulés par des pirates, « soit par le biais d'attaques de phishing (où les pirates mettent en place une usurpation d'apparence réaliste d'un site qui transmet le code au vrai site en arrière-plan afin qu'ils puissent prendre le contrôle d'un compte d'utilisateur), soit par des moyens techniques tels que le "SIM Swapping", ou un logiciel de redirection de SIM, qu'ils peuvent facilement se procurer sur le dark web pour une poignée de dollars », détaille Andrew Shikiar.
Pour être pleinement efficace et sûre, l'authentification à plusieurs facteurs doit avant tout reposer, selon l'Alliance FIDO, sur la possession, plutôt que sur quelque chose que l'utilisateur connaît, comme le mot de passe. Une carte biométrique, une carte à puce ou une clé de sécurité présentent cet avantage de la possession. « Les cartes à puce stockent les informations d'identification et le code PIN d'un utilisateur. » Elles servent de clé pour authentifier l'utilisateur sur la carte quand le code PIN est saisi.
Andrew Shikiar ajoute que les méthodes d'authentification sans mot de passe, donc fondées sur la possession, restent à l'abri des attaques à distance et autre phishing. Les informations de l'utilisateur ne sont en effet pas stockées dans le Cloud ni sur un serveur d'entreprise, ce qui exclut qu'elles fassent l'objet d'une fuite de données. Elles sont aussi plus simples à retenir : « Au lieu de devoir retenir et gérer différents mots de passe, il suffit souvent d'appuyer sur un bouton pour s'authentifier en toute sécurité. »
Source : Alliance FIDO
).
).
