Techso EN

La sécurité MFA améliorée grâce aux clés Yubikey de Yubico

IT, Sécurité, Technologie

Yubikey 5C

 

La décennie 2010 sera possiblement connue comme les dernières années où l’authentification uniquement par mot de passe était considérée sécuritaire. Depuis quelques années, des solutions de plus en plus intéressantes voient le jour afin de permettre une authentification à plusieurs facteurs (MFA – multi-factor authentication), soit l’authentification avec une combinaison de ce que l’on sait (mot de passe), ce que l’on possède (jeton d’authentification, cellulaire) et ce que l’on est (biométrie).

La biométrie a été mise en application par Apple sur ses appareils via le Face ID et le Touch ID, mais le jeton d’authentification demeure la solution couvrant le plus large spectre technologique.

Yubico a sorti différentes versions de sa Yubikey, et nous voyons de plus en plus les bénéfices appréciables.

Tout d’abord, c’est une technologie ouverte, n’étant pas possédée par un grand groupe technologique. Leur clé est peu coûteuse (entre 25$ et 75$CAD pour les clés actuelles, selon les technologies supportées).

Ensuite, le fonctionnement est simple: vous traînez cette clé avec vous, et lorsque vous souhaitez vous authentifier, vous saisissez votre mot de passe et ensuite laissez la clé interagir avec le dispositif afin de lui partager une information cryptée d’authentification. Par exemple, vous pouvez vous en servir pour déverrouiller votre PC (Windows ou Mac) en l’insérant dans le port USB, ou bien pour vous authentifier sur un site web.

Le jeton Yubico supporte plusieurs protocoles, dont le U2F, OTP, et le FIDO2. Bien que leur approche soit légèrement différente, ces technologies interagissent avec votre appareil ou un site web distant afin de valider que vous êtes bien la bonne personne tentant de s’authentifier. La technologie U2F, par exemple, est intégrée dans les fureteurs tels Google Chrome et vous permet de vous authentifier aisément sur plusieurs sites populaires, donc Facebook, Gmail, GitHub et SalesForce.

L’authentification OTP est particulièrement intéressante: la clé Yubikey simule un clavier USB puis, à chaque fois que l’on appuie sur son bouton, la clé génère un mot de passe de 44 caractères utilisable qu’une seule fois: les 12 premiers servent à identifier la clé, puis les 32 autres contiennent une combinaison de secret, de compteur, de date et heure, et autres informations. Il est dons possible d’associer les 12 premiers caractères à votre utilisateur système, puis de valider les 32 autres auprès d’un serveur Yubico (local ou Cloud). 

Pour ceux étant habitués à utiliser Google Authenticator, l’app Yubico Authenticator (disponible sur les App Store de Apple) offre un avantage distinctif: au lieu de stocker les clés générant les numéros d’authentification sur votre appareil mobile, elles sont emmagasinées sur la clé Yubico, accessible via NFC. Il suffit donc de démarrer l’app Yubico, toucher votre clé à votre appareil mobile NFC et les numéros à 6 chiffres apparaîtront. Ainsi, si vous perdez votre appareil mobile, celui-ci ne contient aucune information sensible, toutes les clés privées étant sur votre Yubikey.

Pour les entreprises, un vaste éventail de librairies de programmation (API) vous permettent de créer des solutions pouvant profiter de ces technologies. Vous pouvez ainsi protéger les accès à vos solutions informatique pour un coût relativement peu élevé.

Techso est votre partenaire pour vous assister dans le déploiement de ces solutions. Contactez-nous pour toute question.