Les points faibles de la sécurité des identités et ce qui peut être fait

Par Clayton Donley, vice-président et directeur général, Sécurité de la gestion des identités, Broadcom Software

(Cet article a été initialement publié dans Lecture sombre par Clayton Donley.)

Bien que les analystes prédisent la mort des mots de passe depuis des années, les mots de passe restent le principal identifiant d’authentification utilisé pour de nombreuses applications et systèmes informatiques. La raison en est simple : tout le monde sait comment fonctionnent les mots de passe, ce qui les rend plus pratiques à utiliser.

En conséquence, 80 % des tout le monde les violations de données et les incidents de piratage résultent de mots de passe volés ou compromis. Il n’est pas difficile de comprendre pourquoi. L’utilisateur moyen possède plus de 90 comptes en ligne, dont presque tous nécessitent un mot de passe plus de la moitié des mêmes utilisateurs réutilisent. Et avec un record de 1 862 violations de données en 2021 pour un coût moyen de 4,24 millions de dollars par violation, il n’est pas étonnant que plus de 555 millions de mots de passe soient disponibles sur le Dark Web.

Les mots de passe se répandent dans notre monde numérique et sont volés en nombre record chaque année. Mais il ne doit pas en être ainsi.

Le double dilemme sécurité vs. commodité

Les entreprises peuvent résoudre ce problème aujourd’hui. En fait, beaucoup améliorent déjà les mots de passe existants par un autre facteur – par exemple, en envoyant un code hors bande par SMS ou par e-mail. La technologie existe pour des informations de connexion encore plus solides, mais celles-ci affecteront souvent de manière significative l’expérience utilisateur, ce qui nuit à l’adoption par les utilisateurs internes (employés) ou à la rétention par les utilisateurs externes (consommateurs).

Les organisations sont confrontées à un exercice d’équilibre : comment améliorer leur processus d’authentification afin que les informations d’identification offrent la sécurité nécessaire tout en étant faciles à utiliser, mais difficiles à voler ou à compromettre par les pirates. Oh, et n’oublions pas que ce mécanisme d’authentification amélioré doit également être rentable !

Au fil des ans, de nombreux nouveaux types de diplômes sont apparus, efficaces dans un ou deux domaines, mais insuffisants dans d’autres. Mais il y a de l’espoir. Une nouvelle approche consiste à renverser ce paradigme.

La taille est importante

L’ampleur et l’ampleur du problème doivent également être prises en compte. Pour les grandes entreprises, ces défis sont multipliés en raison du grand nombre d’applications exécutées dans leurs environnements hybrides, du cloud au mainframe. Vous entendez beaucoup parler du cloud, mais à quelle fréquence entendez-vous quelqu’un mentionner le mainframe ? Saviez-vous que les mainframes gèrent 90 % de toutes les transactions par carte de crédit, ou que les mainframes gèrent 68 % des charges de travail informatiques de fabrication dans le monde ? Pour nombre de nos clients stratégiques, le mainframe est plus stratégique que tout ce qui s’exécute dans le cloud.

Une solution de sécurité des identités vraiment efficace doit couvrir tous les aspects de l’infrastructure d’une organisation. Tout, du mainframe aux serveurs distribués, des environnements virtualisés aux environnements multi-cloud, en passant par la gestion de l’accès aux applications métier, aux comptes privilégiés et tout le reste.

La convergence des technologies et des normes

Le chaînon manquant dans l’effort pour améliorer ce défi de sécurité d’identité est un échec à reconnaître que le remplacement du mot de passe n’est pas aussi facile que les gens le pensent. Mais il existe plusieurs tendances qui pourraient aider à accélérer la mort du mot de passe une fois pour toutes.

Le premier est le smartphone. Selon Ericsson, le nombre d’utilisateurs de smartphones dans le monde est aujourd’hui d’environ 6,6 milliards, ce qui correspond à près de 84 % de la population mondiale. Ces appareils sont non seulement omniprésents, mais sont également chargés d’enseigner aux utilisateurs comment utiliser leur empreinte digitale pour déverrouiller leurs appareils et prendre un selfie. La biométrie n’est plus un concept abstrait – elle devient familière même aux personnes qui ont du mal à utiliser un ordinateur.

La deuxième tendance est la standardisation, en particulier le support croissant de FIDO ou Open ID Connect. Ces nouvelles normes de sécurité contribuent à faciliter l’échange d’informations d’identité et d’authentification entre un fournisseur d’identité et une application. Ces normes éliminent le besoin de mots de passe et les remplacent par des techniques sans mot de passe, telles que la biométrie (un seul glissement de doigt sur le téléphone). Cependant, de nombreuses applications mainframe et Web n’ont jamais été conçues avec la prise en charge de ces normes et ne peuvent donc pas tirer parti de l’authentification sans mot de passe, c’est-à-dire sans une refonte majeure ou une aide.

Pour les entreprises plus récentes ou plus petites, la modification des applications pour qu’elles soient conformes à FIDO ou OpenID Connect peut être relativement mineure, mais pour les grandes entreprises, ce problème est important car la plupart de leurs applications critiques doivent être modifiées et ce n’est tout simplement pas financièrement faisable. Par conséquent, alors que les nouvelles applications sont construites avec des mécanismes d’authentification sans mot de passe, elles ne traitent qu’un sous-ensemble d’applications, de réseaux et d’environnements d’entreprise. Un système de sécurité vraiment efficace doit couvrir tout le monde des actifs numériques d’une organisation. Sinon, les méchants trouveront toujours le maillon le plus faible.

Quelque chose de vieux, quelque chose de nouveau, quelque chose d’emprunté, quelque chose bleu Rouge.

Ce dicton a inspiré de nombreuses traditions de mariage et est quelque peu approprié pour ce sujet car la solution aux défis de la sécurité de l’identité d’entreprise est fondamentalement la même : tisser ensemble vos outils existants de gestion des identités et des accès avec de nouveaux outils basés sur le cloud pour créer un tissu d’identité moderne, empruntant des produits de niche ou ponctuels pour combler des lacunes spécifiques ou traiter des cas d’utilisation uniques.

Ce n’est que grâce à une plate-forme complète que les entreprises peuvent résoudre les principaux problèmes de sécurité de l’identité en remplaçant le besoin de mots de passe par une procédure de connexion unique sans mot de passe pour tout dans notre monde numérique. Et comme beaucoup de couples inspirés par ce célèbre dicton de mariage, les entreprises ne recherchent pas un fournisseur, mais un partenaire pour la vie (quelque chose de rouge).

Pour en savoir plus sur la manière dont Broadcom Software peut vous aider à moderniser, optimiser et protéger votre entreprise, contactez-nous ici.

Clayton Donley, vice-président et directeur général, Sécurité de la gestion des identités, Broadcom Software :

Logiciel Broadcom

Clayton Donley est vice-président et directeur général de la division de la sécurité de la gestion des identités chez Broadcom (IMS). Dans ce rôle, il est responsable du portefeuille de logiciels d’identité et d’accès de la société, qui protège et gère l’accès à certaines des applications les plus critiques au monde.