Deviceless MFA : une révolution sur le marché de l'authentification forte
Deviceless MFA est la réponse aux défis de la cybersécurité sans compromettre l'expérience de l'utilisateur ou la facilité de déploiement pour les entreprises. Qu'est-ce que c'est exactement ? Comment cela fonctionne-t-il ? Quels en sont les avantages ? Interview de deux de nos experts en cybersécurité, Bruno Prigent et Lorena Cabrera, tous deux ingénieurs avant-vente chez inWebo.
Qu’est-ce que le Deviceless MFA ?
B.P : En bref, Deviceless MFA est ce que nous appelons token browser. Il permet une authentification forte multifactorielle sans aucun dispositif (smartphone, tablette ou clé physique). Il s'agit d'une innovation majeure pour l'industrie MFA .
L.C : Deviceless MFA est un moyen pour l'utilisateur final de s'authentifier fortement, de manière ultra-sécurisée, par le biais de son navigateur. Aucune installation de matériel ou de logiciel spécifique n'est nécessaire.
B.P : Exactement ! Avec Deviceless MFA, c'est le navigateur web (Edge, Chrome, Firefox, Safari, IE, etc.) qui devient le "dispositif" de confiance (à défaut d'un meilleur terme) pour s'authentifier en toute sécurité auprès de la ou des applications.
Deviceless MFA: Authentification multifactorielle via le navigateur, sans dispositif spécifique (smartphone, clé de sécurité, carte à puce).
Comment fonctionne le site MFA ?
L.C : Deviceless MFA repose sur un JavaScript qui s'exécute dans le navigateur de l'utilisateur.
B.P : Et comme tous les navigateurs savent exécuter JavaScript, l'authentification forte peut se faire dans n'importe quel type de navigateur, que ce soit sur un ordinateur, une tablette ou un téléphone.
Comment est-il possible d'assurer une authentification hautement sécurisée dans un navigateur ?
B.P : Un navigateur ne peut pas être considéré comme un environnement "sûr" car il peut être facilement manipulé par un individu malveillant. Seules nos clés dynamiques et aléatoires, une technologie exclusive et propriétaire d'inWebo, nous permettent de surmonter cette faiblesse.
L.C : En changeant nos clés de manière aléatoire, simultanément à chaque demande de connexion, nous assurons une sécurité maximale, même dans un environnement non sécurisé. Nos clés ont une durée de vie virtuelle de 0s.
B.P : Oui, la clé nécessaire à la connexion est générée exactement lorsqu'une demande de connexion est reçue. Une fois utilisée, elle expire. Cela signifie que même si un hacker s'en empare, elle ne fonctionnera plus. inWebo ne se contente pas de protéger ses clés : nous avons tout simplement rendu leur vol inutile.
L.C : Raison pour laquelle il faut être attentif à la technologie qui se cache derrière chaque solution MFA . Elles sont loin d'être toutes égales. L'authentification multifactorielle est certainement une protection très efficace contre les attaques de phishing et de credential stuffing, mais cela dépend de la technologie MFA à laquelle vous faites référence. Par exemple, dans le règlement européen PSD2 sur la sécurité des paiements, les solutions d'authentification par SMS sont clairement identifiées comme n'étant pas suffisamment sûres.
L'authentification forte offre une protection totale contre les cyberattaques. Mais n'importe quelle solution d'authentification forte n'est pas adaptée à cette tâche.
Avantages pour les personnes sans déficience MFA
Un jeton universel, accessible à tous et disponible immédiatement.
Quels sont les avantages pour l'utilisateur final ?
B.P. : Le processus d'enrôlement est totalement transparent pour l'utilisateur et l'authentification est transparente. De plus, les utilisateurs finaux sont libérés des contraintes liées à leur équipement. L.C : Un autre avantage de Deviceless MFA est que le même navigateur peut être utilisé par différents utilisateurs qui auront chacun leur propre authentification. Ceci est très utile sur les ordinateurs partagés afin de maintenir un haut niveau de sécurité des connexions et de distinguer les différents utilisateurs utilisant les accès.
Qu'en est-il des administrateurs ?
B.P. : Deviceless MFA est un soulagement pour les administrateurs. Ils n'ont plus besoin de fournir du matériel spécifique aux utilisateurs (prestataires externes, employés sans équipement informatique mobile, partenaires, etc.) C'est LE gage pour favoriser le BYOD tout en augmentant son niveau de sécurité. L.C : Quand on a un projet MFA , il y a une urgence immédiate. Là où certaines politiques de sécurité empêchent l'installation d'une application, ou nécessitent une procédure longue et fastidieuse, Deviceless est un gain de temps. Il n'y a rien à installer, le déploiement se fait très rapidement en quelques clics, sans installation, et sans besoin de contact humain.
Qu'en est-il des intégrateurs/développeurs ?
B.P. : Les développeurs seront heureux de se débarrasser de la gestion des mots de passe des utilisateurs. Ils peuvent s'appuyer sur le site token browser et les bibliothèques de développement inWebo pour mettre en œuvre rapidement MFA pour leur application. Et pour ceux qui ne développent pas, nous proposons des outils prêts à l'emploi qu'il suffit de configurer. L.C : Oui et les équipes informatiques pourront se déporter et déléguer l'authentification à l'éditeur du logiciel, en l'occurrence inWebo. Mais c'est une bonne chose, car l'authentification forte est notre spécialité.
Pour les utilisateurs finaux
- La meilleure expérience utilisateur
- Accessible à tous
- Connexions multi-utilisateurs sécurisées
Pour les administrateurs
- Garantir la sécurité de tous les accès sans contraintes d'équipement
- Déploiement rapide
Pour les intégrateurs et les développeurs
- Intégration très facile
- Délégation de l'authentification forte à un spécialiste "pure player" sans aucune friction
Qui propose le site MFA ?
B.P : Seules des clés dynamiques aléatoires rendent possible et surtout ultra-sécurisé le site Deviceless MFA . Cette technologie est unique et brevetée par inWebo.
L.C : C'est cette technologie qui permet au site MFA d'inWebo d'offrir le niveau de sécurité le plus élevé du marché.
B.P : Il faut savoir qu'inWebo est centré sur l'UX by Design. La solution offre un large choix de tokens qui permet aux clients d'ouvrir le champ des possibles et aux utilisateurs finaux de se connecter simplement et rapidement à leurs applications, quelles qu'elles soient. En plus de sécuriser l'accès depuis le navigateur, inWebo a pris un soin particulier à se protéger contre le phishing en vérifiant que l'appareil de confiance est utilisé avec une application légitime et non un site web malveillant.
L.C. : Certains clients peuvent avoir une solution qui offre une authentification basée sur des protocoles standards tels que SAML ou Open ID connect, ou des protocoles spécifiques tels que Microsoft Azure AD ou ADFS. Dans ce cas, notre technologie leur permet d'ajouter simplement la couche MFA inWebo pour offrir une expérience de navigation complète à leurs utilisateurs.
TrustBuilder est le seul acteur sur le marché à proposer Deviceless MFA
Conclusion
La sécurité la plus élevée du marché, quel que soit votre environnement numérique
Ne partez pas du principe que toutes les solutions MFA sont équivalentes en termes de sécurité, de fonctionnalités et d'expérience de connexion. A l'heure où les utilisateurs sont de plus en plus exigeants, recherchant plus de simplicité et de facilité d'utilisation, il est important d'inclure la dimension " UX " dans la mise en œuvre de votre stratégie de cybersécurité.
Grâce à un grand nombre de connecteurs, quelle que soit votre application, l'intégration de la solution MFA peut se faire en quelques clics. De plus, inWebo soutient les intégrateurs et les développeurs dans le processus d'intégration grâce à son interface de programmation (API) et son kit de développement logiciel (SDK).
Consultez notre graphique pour vous aider à comparer une solution d'authentification multifonctionnelle MFA .
