La biométrie se révèle plus efficace que les mots de passe, car elle est plus facile à utiliser et elle permet une confidentialité et une sécurité supérieures. De plus, elle est en cours de normalisation sur une large base de dispositifs mobiles, de bureau et de serveurs, sur lesquels les utilisateurs s’appuient pour accéder aux services en ligne.
Le secteur de la sécurité essaie de mettre fin à l’utilisation des mots de passe depuis des décennies. Ils sont depuis longtemps considérés comme une faiblesse, principalement en raison du facteur humain : les individus utilisent encore des mots de passe faibles, sur plusieurs comptes, au travail et dans leur vie privée. Selon un rapport de recherche sur les fuites de données de Verizon, 81 % des fuites de données sont liées à des informations d’identification faibles, volées, défectueuses ou autrement compromises.
La leçon principale que l’on tire du fournisseur Centrify, qui prend en charge l’authentification sans mot de passe, est de donner la priorité à la mise en œuvre de connexions d’administrateur privilégiées basées sur FIDO2. [1]
Centrify prend également en charge Touch ID et Face ID d’Apple, ainsi que Windows Hello. Windows Hello comme Windows Hello Entreprise sont basés sur une authentification sans mot de passe.
Cependant, la combinaison de diverses formes de biométrie s’avère problématique pour la plupart des entreprises qui fournissent ces technologies.
Les équipes de gestion de produits étudient la norme sur les contrôles d’authentification haute garantie NIST 800-53 [2] et intègrent ces contrôles dans leurs feuilles de route. Les 170 contrôles qui composent la norme NIST 800-53 sont rapidement adoptés par les fournisseurs qui revendiquent l’authentification sans mot de passe comme un axe fondamental de leur stratégie produit.
L’utilisation de la biométrie élimine le risque de vol d’informations d’identification et permet un meilleur alignement avec la norme sur les contrôles d’authentification haute garantie NIST 800-53.
Les fournisseurs d’outils biométriques n’en sont pas tous au même stade en ce qui concerne leur capacité à exploiter les métadonnées fournies par la biométrie, et certains prétendent même disposer d’analyses en temps réel. Tous les fournisseurs de technologie ont une réponse différente quant à la gestion des quantités massives de métadonnées générées par leurs données biométriques, qu’ils considèrent tous comme compatibles avec les analyses également.
L’authentification sans mot de passe garantit que les identifiants de connexion sont propres à chaque site Web, ne sont jamais stockés sur un serveur et ne quittent jamais le dispositif de l’utilisateur. Ce modèle de sécurité contribue à éliminer les risques de phishing, ainsi que toutes les formes de vol de mots de passe et d’attaque par rejeu. Nous sommes plus proches que jamais de l’objectif inéluctable d’un avenir sans mot de passe.
[1] FIDO2 : le projet FIDO2 est un effort conjoint de la FIDO Alliance et du World Wide Web Consortium qui vise à créer une authentification forte sur le Web. FIDO2 est principalement fondé à partir de la norme d’authentification sur le Web W3C et du protocole FIDO Client to Authenticator.
[2] NIST 800-53 : la publication spéciale NIST 800-53 offre un catalogue des contrôles de sécurité et de confidentialité pour tous les systèmes d’information fédéraux des États-Unis, à l’exception de ceux liés à la sécurité nationale.
_____
Aquest apunt en català / Esta entrada en español / This post in English