Renforcer la sécurité : le rôle crucial de l'Alliance FIDO dans une stratégie d'authentification multifactorielle

En tant que Chief Information Security Officer chez Veritas, je suis aux premières loges pour observer la montée en puissance de la cybercriminalité. Et surtout la tendance inquiétante du vol d'informations d'identification. Il est capital de comprendre pourquoi le renforcement de l'authentification multifactorielle (MFA) avec FIDO (Alliance Fast Identity Online) est l'un des meilleurs moyens de renforcer l'authentification.

Attaques croissantes contre l'authentification multifactorielle

Le vol de données d'identification n'est pas une tactique nouvelle, mais nous avons observé une augmentation significative au cours de ces derniers mois. Les cybercriminels ne se contentent pas de voler des informations d'identification, ils utilisent également des méthodes sophistiquées pour contourner les mécanismes d'authentification multifactorielle. Cela a conduit à une augmentation alarmante des accès non autorisés et des sessions détournées.

Nombre de mes pairs ont exprimé des préoccupations similaires, soulignant une forte augmentation des tentatives de contournement de l'authentification multifactorielle et des campagnes généralisées de collecte d'informations d'identification. L'entreprise de cybersécurité de premier plan, CrowdStrike, corrobore ces observations en mettant en lumière quatre tendances clés :

• Le passage de l'utilisation de malwares à l'exploitation d'informations d'identification légitimes.

• L'exploitation rapide par les adversaires des vulnérabilités divulguées publiquement.

• Une recrudescence des attaques d'ingénierie sociale visant spécifiquement à contourner les défenses de l'authentification multifactorielle.

• La lassitude relative aux notifications et à l'authentification multifactorielle conduisant au contournement de cette dernière.

L'authentification multifactorielle est cruciale : renforcer la sécurité avec FIDO

L'authentification multifactorielle sécurise généralement un environnement en exigeant une deuxième méthode de vérification de l'identité. Il peut s'agir d'un objet physique tel qu'une clé ou une carte à puce, ou d'une vérification biométrique telle qu'une empreinte digitale, un balayage de la rétine ou une reconnaissance vocale. 

Lors de la récente conférence RSA, Kevin Mandia, PDG de la société de cybersécurité Mandiant, a fait une déclaration très directe. Il a déclaré : « L'authentification multifactorielle est la solution la plus rentable pour lutter contre les ransomwares ou contre toute attaque importante.  »

Mais il ne suffit plus de mettre en œuvre l'authentification multifactorielle. Le type d'authentification multifactorielle que vous utilisez est important, car tous n'offrent pas le même niveau de protection. Les cybercriminels trouvent des moyens nouveaux et innovants pour contourner l'authentification multifactorielle. 

Les sites web de cybercriminalité vendent désormais des kits de phishing d'authentification multifactorielle, dont beaucoup coûtent « moins cher qu'une tasse de café », selon Matt Cooke, director cybersecurity strategy, EMEA chez Proofpoint. « Les attaquants s'appuient souvent sur la fatigue relative aux notifications, bombardant un employé de demandes d'approbation jusqu'à ce qu'il finisse par céder. » Ils utilisent également des attaques par proxy, le détournement de session, l'ingénierie sociale et l'échange de cartes SIM. 

Avantages de FIDO

Vous pouvez renforcer la sécurité, réduire la dépendance aux mots de passe et offrir une expérience d'authentification conviviale en intégrant FIDO dans une stratégie d'authentification multifactorielle. La prise en charge de la biométrie, des jetons matériels et des appareils mobiles, ainsi que l'interopérabilité et l'authentification continue par FIDO en font un cadre solide pour la mise en œuvre de solutions d'authentification multifactorielle sécurisées. En particulier :

• Une sécurité forte : FIDO offre une sécurité élevée en s'appuyant sur le chiffrement à clé publique. Il stocke en toute sécurité les clés privées sur les appareils des utilisateurs et effectue l'authentification localement, réduisant ainsi le risque de violation de mot de passe et d'attaques basées sur le serveur. En éliminant la dépendance à l'égard des mots de passe et en introduisant l'authentification par chiffrement, FIDO renforce la sécurité globale de la stratégie d'authentification multifactorielle.

• Authentification sans mot de passe : FIDO vise à éliminer les mots de passe, qui sont souvent vulnérables aux attaques. L'authentification sans mot de passe renforce la sécurité en éliminant les problèmes tels que les mots de passe faibles, la réutilisation des mots de passe et les attaques de phishing. Au lieu de cela, FIDO utilise des facteurs plus forts tels que la biométrie ou les jetons matériels, ce qui réduit la probabilité de réussite des attaques basées sur les informations d'identification.

• Convivialité pour l'utilisateur : FIDO offre une expérience d'authentification pratique et conviviale. Les utilisateurs peuvent s'appuyer sur des données biométriques ou sur des dispositifs physiques qu'ils possèdent déjà, tels que des smartphones ou des jetons matériels, pour s'authentifier. Il n'est donc plus nécessaire de se souvenir et de saisir des mots de passe complexes, ce qui se traduit par un processus d'authentification rationalisé et sans problème.

• L'interopérabilité : les normes FIDO favorisent l'interopérabilité entre différentes plates-formes, appareils et services. Cela signifie que vous pouvez utiliser des méthodes d'authentification compatibles avec FIDO dans différents services en ligne, pour une expérience utilisateur cohérente. Cette interopérabilité permet aux utilisateurs de s'authentifier à l'aide des mêmes dispositifs ou méthodes dans différentes applications, ce qui réduit la nécessité de recourir à plusieurs mécanismes d'authentification.

• Résistance au phishing : le modèle d'authentification locale de FIDO permet de lutter contre les attaques de phishing. L'authentification FIDO s'effectuant localement sur l'appareil de l'utilisateur, elle résiste aux tentatives visant à inciter les utilisateurs à saisir leurs informations d'identification sur des sites web ou des applications malveillants. FIDO garantit la vérification de l'authentification sur le dispositif de confiance de l'utilisateur, réduisant ainsi le risque d'attaques de phishing réussies.

• Évolutivité et pérennité : FIDO est conçu pour être évolutif et s'adapter à l'évolution des besoins en matière d'authentification. Il prend en charge un large éventail de méthodes d'authentification et peut s'adapter aux progrès futurs des technologies biométriques et de sécurité. En adoptant FIDO, vous pouvez pérenniser vos stratégies d'authentification multifactorielle et garantir la compatibilité avec les normes d'authentification émergentes.

Quelle est la prochaine étape ?

Les attaques visant l'authentification étant de plus en plus fréquentes et sophistiquées, il devient crucial de renforcer vos défenses contre ces dernières. Dans l'ensemble, FIDO apporte des avantages significatifs à une stratégie d'authentification multifactorielle. Ces avantages en font un choix incontournable pour les organisations qui cherchent à renforcer la sécurité tout en offrant une expérience d'authentification transparente et conviviale.

Chez Veritas, nous nous engageons à renforcer nos défenses de cybersécurité et à vous aider à faire de même. Nous soutenons FIDO par le biais de nos propres produits tels que NetBackup et Backup Exec, et par le biais d'intégrations avec d'autres solutions, telles que CyberArk. Si vous cherchez à renforcer votre posture de sécurité et à mettre en œuvre des solutions robustes, nous sommes là pour vous aider à y parvenir. Travaillons ensemble pour sécuriser nos écosystèmes numériques contre la tendance croissante au vol de données d'identification.

N'oubliez pas qu'une authentification multifactorielle constitue toujours une meilleure protection. Mais il faut viser ce qu'il y a de mieux : l'authentification multifactorielle résistant au phishing. N'attendez pas, commencez dès aujourd'hui à planifier des mesures de sécurité plus strictes.

En savoir plus sur les solutions de cyber-résilience de Veritas.