Mots de passe et authentification

L’analyse de la plus récente attaque sur les services de l’agence du revenu du Canada (ARC) n’est pas encore terminée que nous savons déjà ce qui a pu permettre cette attaque : des mots de passe réutilisés d’un autre site ayant été piraté. Le cas de l’ARC n’est pas isolé, plus de 15 milliards de comptes [i] (combinaisons de nom d’utilisateur et mot de passe) sont présentement en vente sur le darkweb.

Un trop grand nombre de personnes réutilisent les mêmes noms d’utilisateur (souvent le courriel) et mots de passe sur différents sites, permettant ainsi aux personnes malveillantes ayant piraté avec succès un site Web, de réutiliser ces comptes sur d’autres sites; incluant des sites gouvernementaux ou bancaires.

Comment m’en protéger?

En commençant par les sites et systèmes les plus sensibles, notamment ceux contenant de l’information confidentielle ou financière, un mot de passe unique et robuste devrait être utilisé par chaque employé ayant accès à ces systèmes. Les utilisateurs ayant une identité sur près d’une centaine de sites et systèmes, comment arriver? Voici quelques pistes de solutions :

Authentification unique (Single-sign-on (SSO))

Cette solution technologique permet de déléguer l’authentification d’un site ou système à une entité dédiée à faire de l’authentification. Très pratique pour l’utilisateur qui n’a alors qu’un seul mot de passe robuste à retenir, le fait d’avoir un système dédié et centralisé permet de mettre de la surveillance sur les tentatives de connexions infructueuses et d’ajouter des contrôles additionnels tels que l’authentification multi-facteurs.

Authentification multi-facteurs

Il y a trois (3) façons d’authentifier un utilisateur : par ce qu’il connait (ex : mot de passe), par ce qu’il est (ex : empreinte d’un doigt) et par ce qu’il possède (ex : une clé de maison). L’authentification multi-facteurs consiste donc à combiner plus d’un facteur d’authentification. Lorsque vous retirez de l’argent au guichet par exemple, vous devez fournir votre carte bancaire (possède) et votre NIP (connait). En combinant un 2^e facteur d’authentification à votre mot de passe, vous rendez la tâche plus difficile à une personne malveillante qui veut dérober votre identité numérique. Beaucoup d’applications mobiles gratuites peuvent vous aider.

Gestionnaire de mots de passe

Les deux solutions précédentes requièrent que le site ou le système supportent ces fonctionnalités. Lorsque ce n’est pas le cas, le gestionnaire de mots de passe peut toujours être utilisé. Ce dernier permet de générer et d’enregistrer tous vos mots de passe. Certains vous offrent même de remplir les champs pour vous lorsque vous vous authentifiez. Plusieurs applications gratuites peuvent vous aider.

Besoin d’aide?

Notre équipe de professionnels est à votre disposition pour vous guider dans la prise de décisions en lien aux technologies de l’information. Contactez-nous pour en savoir plus!

[i] https://resources.digitalshadows.com/whitepapers-and-reports/from-exposure-to-takeover