Ján Lunter, fondateur et PDG de Innovatrics
« L’authentification multifacteur (MFA) peut mettre fin à toutes les attaques. » Cela a été le mantra de la sécurité des mots de passe du marché de la technologie au cours des années précédentes. Et le mantra est devenu plus puissant à mesure que les atouts de l’innovation MFA étaient salués par tous les secteurs leaders.
En 2019, Microsoft, qui a subi chaque jour plus de 300 millions de tentatives de connexion frauduleuses dans son environnement cloud, a garanti que l’authentification MFA pourrait empêcher 99,9 % de toutes les violations. Même la conseillère adjointe à la sécurité nationale des États-Unis pour les technologies cybernétiques et émergentes, Anne Neuberger, et toutes les entreprises du gouvernement fédéral ont suivi la tendance MFA.
« Un certain nombre de cadres (tech) ont indiqué que l’authentification multifactorielle empêchait 80 à 90 % des cyberattaques », a déclaré Neuberger lors d’une interview à la Maison Blanche en septembre 2021. L’inévitable déploiement de la technologie MFA s’est répandu dans le monde entier, atteignant tous les marchés et tous les consommateurs. Et avec le tout nouvel avenir sans mot de passe et les clés d’authentification FIDO Alliance, MFA a progressé.
Aujourd’hui, presque tout le monde utilise la technologie MFA tous les jours, plusieurs fois par jour. Indépendamment de tout l’élan, le nombre de violations d’authentification n’a en fait pas diminué. En fait, les cybercriminels contournent les MFA avec des techniques si simples qu’elles remettent en question l’ensemble de l’entreprise de sécurité.
Comment les cybercriminels contournent les MFA
The Expel Quarterly Danger Report, Q3-2022 , révèle que l’identité continue d’être le tout nouveau point de terminaison des attaques et ne révèle aucun signe de déclin. Selon le rapport, près de 60 % de toutes les violations comprenaient des attaques d’identité.
Les malfaiteurs contournent l’authentification MFA en utilisant des adresses IP américaines et s’appuient sur une méthode appelée fatigue MFA. Dans la fatigue MFA, les assaillants tentent de semer la confusion et d’utiliser la posture de sécurité d’une victime en l’inondant de notifications push MFA. Finalement, les utilisateurs cèdent aux attaques de fatigue MFA car ils pensent que quelque chose dans le système ne fonctionne pas efficacement.
Les fournisseurs d’identité d’accès au cloud, comme Okta, Ping Identity ou OneLogin, sont largement utilisés par les entreprises car ils offrent une expérience d’authentification unique (SSO) plus pratique pour les membres du personnel. Le rapport Expel indique que la vulnérabilité augmente lorsque les adversaires n’ont besoin que d’un seul identifiant au lieu d’un certain nombre pour différents accès.
Associer la biométrie à l’authentification MFA pour renforcer la sécurité
MFA par lui-même n’est plus considéré comme la solution d’authentification de sécurité ultime. De nouvelles approches qui confirment d’autres types d’informations, telles que les modèles d’apprentissage automatique qui peuvent prévoir des modèles normaux pour chaque utilisateur (par exemple, comment une personne tape, une zone et d’autres habitudes), sont considérées comme de toutes nouvelles options. Alors que certains spécialistes de la sécurité conseillent aux entreprises de passer des alertes push MFA aux codes PIN, d’autres plaident en faveur de la technologie biométrique.
La vérité est que les logiciels malveillants de mot de passe ont progressé rapidement. Les attaques de force modernes peuvent deviner des centaines d’innombrables mots de passe en quelques minutes et peuvent rapidement violer les combinaisons nom d’utilisateur/mot de passe. De plus, l’ingénierie sociale est à son plus haut niveau, les utilisateurs distribuant volontairement des informations d’identification de haut niveau trompés par des pirates. Les codes SMS peuvent être usurpés, les appareils peuvent être physiquement accessibles ou pris, et les clés USB peuvent également être perdues.
Les éléments biométriques ont un compromis abordable. Ils ne peuvent pas être volés, sont largement pris en charge et les gens les ont avec eux tout le temps. L’utilisation de la détection de la vivacité ou de la surveillance périodique d’un visage spécifique devant les lieux d’attaque spécifiques à l’appareil peut empêcher les tentatives d’infraction. De plus, la biométrie laisse également une trace numérique du véritable auteur et de ses tentatives de connexion infructueuses. Cela rend la criminalistique cybercriminelle et l’enquête sur les événements plus faciles et beaucoup plus rapides.
La biométrie se heurte également à des obstacles : elle n’est pas précise à 100 %, les bases de données sont constituées d’informations individuelles délicates et leur traitement est soumis aux lois sur la protection des données. De plus, l’établissement de la biométrie exige que les entreprises maîtrisent le développement, la formation, le dépistage, l’entretien et l’exploitation de la conception de l’IA et de l’intelligence artificielle.
Alors que la biométrie en tant que service finit par être plus typique et que les fournisseurs de cloud commencent à inclure fonctionnalités biométriques intégrées permettant à toute organisation d’accéder à la technologie : la biométrie se positionne comme l’élément de sécurité le plus robuste que MFA ait jamais eu.
L’environnement de cyber-risque en constante évolution a toujours été un excellent instructeur. Les leçons que les mauvaises étoiles présentent au monde sont difficilement compliquées. Le marché de l’AMF doit se renseigner et découvrir rapidement, s’adapter et progresser. Des couches de sécurité supplémentaires sont essentielles aujourd’hui. Associée à la MFA, la biométrie peut renforcer la sécurité de votre entreprise.
À propos de l’auteur
Jan Lunter est co-fondateur et PDG d’Innovatrics, qui développe et propose des solutions de reconnaissance d’empreintes digitales depuis 2004. Jan est l’auteur de l’algorithme d’analyse et de reconnaissance des empreintes digitales, qui se classe souvent parmi les meilleurs dans les tests de contraste distingués (NIST PFT II, NIST Minex). Au cours des dernières années, il s’est également occupé du traitement d’images et de l’utilisation de réseaux de neurones pour la reconnaissance faciale.
AVIS DE NON-RESPONSABILITÉ : les informations sur le marché de Biometric Update sont envoyées. Les opinions exprimées dans cet article sont celles de l’auteur et ne reflètent pas toujours les opinions de Biometric Update.
.
Toute l’actualité en temps réel, est sur L’Entrepreneur
