Utiliser l’authentification à deux facteurs

Généralement, l’authentification à deux facteurs repose sur « quelque chose que vous connaissez » associé à « quelque chose que vous avez ».

Mais, dans ce modèle, c’est « quelque chose que le système connaît » associé à « quelque chose que l’utilisateur a ». On peut pour cela verrouiller l’objet clé de décryptage au moyen d’un jeton de sécurité. Tant que le jeton de sécurité n’a pas été présenté et validé, la clé de décryptage ne peut pas être décryptée et passée à l’application.

Des mécanismes d’authentification à deux facteurs existent en tant que produits propriétaires, comme SecureID de RSA (rsa.com), et des produits open source comme Yubikey de Yubico (yubico.com), un générateur de mots de passe « une fois » USB. Les produits propriétaires offrent des solutions clés en main mais supposent une grande confiance dans le fournisseur et risquent de ne pas bien cohabiter avec vos applications existantes. Les produits open source vous donnent le contrôle de bout en bout sur l’authentification à deux facteurs.

L’authentification à deux facteurs gérée en interne peut être étendue par l’authentification utilisateur décentralisée OpenID et le standard de contrôle d’accès (openid.org). OpenID peut remplacer ou renforcer l’authentification ordinaire là où les références sont stockées dans un répertoire d’entreprise. OpenID emploie un tiers approuvé (trusted third party) pour valider les références utilisateur – en passant un jeton d’authentification sous la forme d’un URL unique – à une application recherchant la vérification utilisateur. OpenID est utile si vous devez élargir l’accès des données sensibles à des partenaires commerciaux ou à d’autres entités externes autorisées. Si tous les acteurs s’accordent sur OpenID comme standard, vous pouvez sous-traiter toute la fonction d’authentification tout en gardant la maîtrise totale de certains droits utilisateur.

Commencez tout de suite à verrouiller vos données

L’expérience montre que les pirates essaient constamment de voler vos données. Si vous êtes victimes d’une perte de données évitable par une simple sécurité au niveau table, vous serez probablement tenus pour responsable par les organismes de régulation. Vous serez alors deux fois victimes. Évitez cette double catastrophe en appliquant la protection au niveau table de vos données les plus sensibles, dès aujourd’hui.

Pour aller plus loin avec les experts @itprofr :

Les facteurs d’authentification · iTPro.fr

Dossier Sécurité : L’authentification forte en environnement Windows (1/2) · iTPro.fr