Retour aux bases : authentification multifacteur (MFA)

Version imprimable, PDF et e-mail

Il est d'avis d'affirmer que les employés représentent le maillon faible de la sécurité et de la protection des données au sein d'une entreprise. Cette affirmation est véridique : comme on nous l'a toujours enseigné, nul n'est parfait. Nous pouvons tous nous trouver distraits, développer de mauvaises habitudes ou ne pas bénéficier de formation à la cybersécurité. Et lorsque cela arrive, c'est toute l'entreprise qui peut être exposée à cause de l'erreur d'une seule personne.

Les combinaisons de nom d'utilisateur et de mot de passe demeurent la principale méthode d'authentification utilisée pour les comptes professionnels et privés. Aujourd'hui encore, bien trop de personnes utilisent un mot de passe identique sur leurs différents comptes et/ou associent à leur messagerie professionnelle un compte personnel. D'autres encore préfèrent avoir recours à des mots de passe simples et communs, tels que « azerty123 » ou « m0tdepasse ». Le problème dans tout ceci est simple : bon nombre de ces comptes peuvent être facilement compromis, par force brute ou à l'aide d'une attaque par dictionnaire

Soyons réalistes, utiliser des mots de passe sécurisés est l'une des méthodes les plus simples, certes, mais aussi les plus importantes, pour protéger une entreprise. Les mots de passe sont de véritables gardiens, protégeant nos boîtes de réception, nos données, nos comptes bancaires et tout ce que nous possédons en ligne, c'est pourquoi les équipes en charge de la sécurité doivent combattre tout comportement inapproprié en la matière. Le problème, lui, se veut clair : beaucoup ne veulent pas s'embêter à retenir des mots de passe complexes. Pour autant, aussi complexe soit-il, un mot de passe réseau, par exemple, ne servira à rien s'il est noté sur un bout de papier collé sur l'écran de l'utilisateur. Les équipes informatiques doivent donc trouver le juste milieu entre sécurité efficace et facilité d'utilisation.

Processus d'authentification multifacteur (MFA)

La solution à ce problème d'équilibre peut être l'authentification multifacteur (ou MFA). Cette couche supplémentaire de sécurité repose sur les identifiants utilisateur, qui permettent de confirmer l'identité d'une personne. De cette manière, l'utilisateur est protégé contre les attaques qui se servent uniquement d'une combinaison nom d'utilisateur/mot de passe.

Le fonctionnement de la MFA est simple : cette méthode vous oblige à présenter entre un et trois éléments lorsque vous tentez d'accéder à une ressource.

  • Une chose que vous possédez : un dispositif d'authentification matériel, tel qu'une clé de sécurité ou une carte à puce
  • Une chose qui vous définit : une empreinte digitale ou une reconnaissance faciale, réalisables sur les tablettes et smartphones actuels
  • Une chose que vous connaissez : un code de sécurité qui vous a été envoyé par SMS, e-mail ou via une application d'authentification

L'envoi par SMS est actuellement l'une des méthodes les plus utilisées par la MFA. Imaginons la situation suivante : vous souhaitez vous connecter à un site Web à l'aide de l'authentification multifacteur par SMS, c'est-à-dire, en recevant un message sur votre téléphone. Après avoir saisi votre nom d'utilisateur et votre mot de passe sur la page de connexion, le mécanisme d'authentification du site Web vous enverra par SMS un code à usage unique. Vous pourrez alors le saisir sur le site Web et, si ce dernier s'avère correct, la connexion vous sera autorisée. Vous avez confirmé votre identité en présentant vos identifiants ainsi qu'un autre élément, dans notre cas, un code à usage unique. Pour de nombreux utilisateurs, cette méthode est le compromis entre « vraiment sécurisé » et « vraiment ennuyeux ».

Malheureusement, les SMS ne sont pas aussi sécurisés que d'autres méthodes à votre disposition : bien qu'ils soient mieux que rien, ils sont toutefois sensibles aux malwares et autres attaques, aux vulnérabilités des protocoles et à la faiblesse des réseaux cellulaires. Côté serveur, les SMS sont parfois exposés aux connaissances pointues de certains cybercriminels.

Il existe alors des méthodes plus performantes, telles que le recours à une application d'authentification comme Microsoft Authenticator ou Google Authenticator. Ces applications apportent sécurité et intuitivité et doivent être facilement adoptables par tous les utilisateurs de l'entreprise. Le plus ? Elles fonctionneront de pair avec d'autres méthodes d'authentification, dans le cas où les mots de passe venaient à être relayés au second plan.

Utiliser la MFA sur Barracuda Cloud Control

La MFA est disponible sur Barracuda Cloud Control et configurée par défaut sur tous les comptes comme facultative. L'administrateur de compte BCC peut modifier ces paramètres à tout moment. Voici les options disponibles :

Obligatoire : tous les utilisateurs associés au compte client sont tenus d'avoir recours à l'authentification multifacteur pour se connecter. Si cette procédure n'a pas encore été configurée pour un utilisateur, ce dernier devra y remédier avant de se connecter une nouvelle fois.

Facultatif : tous les utilisateurs associés au compte peuvent choisir d'avoir recours ou non à l'authentification multifacteur. Ce paramètre peut être défini directement par l'utilisateur, en accédant à son profil. L'administrateur de compte pourra modifier les paramètres MFA de manière individuelle.

Barracuda Campus regroupe une documentation complète sur la manière de configurer l'authentification multifacteur sur Barracuda Cloud Control. Pour en savoir plus, consultez les pages suivantes :

Accédez à Barracuda Campus pour en savoir plus sur la configuration et l'application de politiques de définition de mots de passe complexes.

Remonter en haut de page
Tweeter
Partager
Partager