IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Microsoft rapproche Windows 10 d'un avenir sans mots de passe
Avec le déploiement de la certification FIDO2 dans la prochaine mise à jour Windows 10

Le , par Stéphane le calme

184PARTAGES

11  0 
Microsoft a très discrètement confirmé faire un pas de plus vers la mort des mots de passe Windows 10 cette semaine. Yogesh Mehta, responsable du groupe Crypto, Identity & Authentication de Microsoft, a annoncé : « Avec la certification FIDO2 de Windows Hello, Microsoft rapproche les 800 millions d'utilisateurs de Windows 10 d'un monde sans mots de passe ».

Dans l’industrie de la sécurité, nombreux sont les acteurs qui estiment que les mots de passe ont atteint leur « date d’expiration ». Par cela, il faut comprendre qu’ils pensent que le concept de mot de passe en tant que méthode d’authentification sécurisée est désormais obsolète. C’est pour cela par exemple que vous avez un acteur comme Google qui recommande l’authentification multifacteur ou, plus récemment encore, l’utilisation d’une clé physique de sécurité.

Et Mehta de déclarer :

« Personne n'aime les mots de passe (en dehors des hackers). Les gens n'aiment pas les mots de passe, car nous devons nous en souvenir. Par conséquent, nous créons souvent des mots de passe faciles à deviner, ce qui en fait la première cible des pirates informatiques tentant d’accéder à votre ordinateur ou à votre réseau au travail.

« Depuis 2015, Microsoft crée un chemin vers un monde sécurisé et sans mot de passe avec Windows Hello, permettant aux utilisateurs de Windows 10 de se connecter partout sur leurs appareils à l'aide de la biométrie ou d'un code PIN et de laisser le monde des mots de passe. Poursuivant sur cette lancée, Microsoft a annoncé en novembre 2018 la possibilité d'utiliser Windows Hello ou une clé de sécurité FIDO2 pour se connecter en toute sécurité à votre compte Microsoft sur le Web, sans mot de passe! ».

Mehta a confirmé qu'avec la publication de la prochaine mise à jour de mai de Windows 10, Windows Hello devient un authentificateur entièrement certifié FIDO2. Pour mémoire, l'Alliance FIDO (qui signifie Fast Identity Online) est un organisme du secteur ayant pour mission de résoudre le problème des mots de passe en utilisant des normes ouvertes pour piloter des technologies capables de les remplacer en toute sécurité. FIDO2 est un ensemble de telles normes qui permettent des connexions sécurisées par une sécurité cryptographique renforcée. La certification en question s’applique à l’utilisation de Windows Hello pour les utilisateurs Windows 10.

« Aujourd'hui, l'alliance FIDO a annoncé que, avec la prochaine version de Windows 10, version 1903, Windows Hello est un authentificateur certifié FIDO2. FIDO2 permet aux développeurs d'exploiter des protocoles et des périphériques standard pour fournir aux utilisateurs une authentification facile aux services en ligne, dans les environnements de bureau et mobiles. Microsoft est un membre important de l'Alliance FIDO et collabore étroitement avec les membres de l'alliance pour permettre la connexion sans mot de passe pour les sites Web prenant en charge l'authentification FIDO2. Ensemble, ces normes permettent aux utilisateurs de se connecter plus facilement et en toute sécurité aux services en ligne à l'aide de clés de sécurité conformes à FIDO2 et de Windows Hello ».


Selon lui, « Chaque mois, plus de 800 millions de personnes utilisent un compte Microsoft pour accéder à la messagerie électronique, jouer à un jeu ou accéder à des fichiers dans le cloud. C’est pourquoi, outre la certification FIDO2, Windows 10, version 1903, permettra aux utilisateurs de la dernière version de Mozilla Firefox de se connecter à leur compte Microsoft ou à d’autres sites Web prenant en charge FIDO. Les navigateurs à base de chrome, y compris Microsoft Edge sur Chromium, prendront bientôt en charge la même fonctionnalité ».

Microsoft encourage les entreprises et les développeurs de logiciels à adopter une stratégie visant à créer un avenir sans mot de passe et à le commencer immédiatement par la prise en charge de solutions de remplacement du mot de passe, telles que Windows Hello, pour leurs utilisateurs.

« Pour prendre en charge l'authentification sécurisée sur les PC Windows 10 partagés, tels que ceux utilisés par Firstline Workers, les clés de sécurité compatibles Microsoft compatibles FIDO2 constituent une solution portable permettant aux utilisateurs de se connecter à Windows 10 sans mot de passe. Pour en savoir plus sur ce scénario, lisez les clés de sécurité Windows Hello et FIDO2 qui permettent une authentification simple et sécurisée des périphériques partagés ».

Enfin, il a expliqué que Microsoft Authenticator peut permettre aux utilisateurs d'authentifier leurs comptes Microsoft à l'aide de leurs téléphones mobiles. Construit sur une technologie sécurisée similaire à Windows Hello, Microsoft Authenticator regroupe l'authentification dans une application simple sur votre appareil mobile.

Andrew Shikiar, le directeur du marketing de l'Alliance FIDO, a déclaré que « Microsoft a été l'un des principaux défenseurs de la mission de l'Alliance FIDO qui consiste à faire évoluer le monde au-delà des mots de passe ». En effet, Microsoft a commencé à déployer des efforts pour supprimer progressivement les mots de passe depuis l’introduction en 2015 de Windows Hello, qui permet aux utilisateurs de Windows 10 de se connecter à des appareils utilisant la reconnaissance faciale. L’arrivée de la certification FIDO2 pour Windows 10 signifie-t-elle que les mots de passe sont maintenant morts ? Pas vraiment. La mort du mot de passe de Windows 10 pourrait encore être reportée à très longtemps. C’est d’ailleurs ce que reconnaît Mehta lorsqu’il déclare « Nous encourageons les entreprises et les développeurs de logiciels à adopter une stratégie visant à créer un avenir sans mot de passe et à commencer dès aujourd'hui en prenant en charge des mots de passe alternatifs tels que Windows Hello ». D’ailleurs, pour arriver dans cet avenir, Mehta indique qu’il faut « des solutions interopérables fonctionnant sur toutes les plateformes du secteur et les navigateurs ».

Jake Moore, spécialiste de la sécurité chez ESET, se réjouit de cette nouvelle. « Compte tenu du nombre de violations de données dont nous avons été témoins au cours des derniers mois, il est bon de voir les entreprises prendre les mesures nécessaires pour protéger leurs utilisateurs ». Cependant, il prévient que les mots de passe « resteront une caractéristique à l'arrière-plan » et que les utilisateurs doivent « adopter une meilleure gestion des mots de passe et une authentification multifactorielle pour protéger leurs données au cas où leurs informations se retrouveraient entre de mauvaises mains ».

Mehta conclu en disant que Windows Hello, les clés de sécurité FIDO2 et l’application mobile Microsoft Authenticator sont d’excellentes alternatives aux mots de passe. « Nous continuerons d’investir dans cet espace et avons hâte de partager les futures mises à jour ». En attendant, si vous êtes développeur, vous pouvez aider en prenant en charge l’authentification FIDO2 dans vos services Web et applications actuels.

Source : Microsoft

Et vous ?

Que pensez-vous de l'approche passwordless ?
En tant que développeur, allez-vous songer à prendre en charge l'authentification FIDO2 dans vos services Web et applications actuelles ?
Selon vous, Cette approche a-t-elle des chances de convaincre un public qui est déjà habitué aux mots de passe ?
Si oui, pourquoi ? Si non, quelles pourraient en être les causes ?

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de Voyvode
Membre émérite https://www.developpez.com
Le 13/05/2019 à 10:10
@herr_wann
C'est pas grave, il suffira de rajouter un mot de passe pour protéger la clé sécurisée.
8  0 
Avatar de tanaka59
Inactif https://www.developpez.com
Le 21/12/2020 à 14:28
Bonjour,

Que pensez-vous de l'authentification sans mot de passe ?
Cela n'existe pas ... Il y a toujours un mot de passe genre un token ou code temporaire ... cela reste un mot de passe malgré tout.

Garantit-elle plus de sécurité que le mot de passe ?
Pas nécessairement ... Quid des moments ou l'on a pas forcement internet ou le réseau de téléphonie fixe comme mobile pour recevoir le code temporaire ? Quid du télétravail quand l'utilisateur n'a accès à sa ligne d'entreprise ?

Quid des utilisateurs sans smartphone ou GSM qui ont un pc windows 10 ?

Quid des particuliers lors du premier paramétrage du pc sans internet ?

Partir du postulat que tout le monde à internet pour les sacro-saintes solutions multifacteurs me fait bien ...

Avez déjà utilisé l'une des alternatives au mot de passe de Microsoft ? Si oui, laquelle ? Quel est votre retour d'expérience ?
J'ai déjà essayé Hellow et l'identification multifacteur ... deçu car trop usine à gaz ... pire parfois même le sms n'arrive pas ...
7  0 
Avatar de herr_wann
Membre confirmé https://www.developpez.com
Le 13/05/2019 à 8:57
C'est une bonne initiative ! Lorsqu'une faille sera découverte dans le protocole en question, ce sont 800 millions de personnes qui seront vulnérables d'un coup. Les pirates vont adorer, les vendeurs de clés sécurisées aussi
6  0 
Avatar de zoonel
Membre actif https://www.developpez.com
Le 21/12/2020 à 23:26
Moi ce dont j'ai le plus peur avec ce genre de système c'est que se passe-t-il si on perd sa clef ? (je parle ici plutot de FIDO2 que des veines de la paume même si c'est également possible)
(gsm volé, dongle perdu, ...)
Si c'est pour une société je dirais qu'on s'en fout, doit y avoir des backup qque part.
Mais si c'est pour du perso, comment on fait ? on backup sa clef, mais qu'on sécurise avec quoi du coup ? (un mdp ? ) Et encore c'est si on a été assez prudent pour faire un backup (et puis on le backup où ?).
D'après ce que j'ai lu sur ce genre d'auth, si t'as pas de backup de la clef t'es foutu, tes données sont perdues à jamais.
Dans la vie réelle au moins si tu perds tes clefs tu peux faire appel à un serrurier pour quand même rentrer chez toi, même avec une porte blindée. Ici non, c'est bien ça qui me fait peur.
6  0 
Avatar de droggo
Expert confirmé https://www.developpez.com
Le 11/07/2019 à 14:11
Bonjour,

Il ne nous reste plus qu'à attendre la catastrophe si largement prévisible ...
5  0 
Avatar de sergio_is_back
Expert confirmé https://www.developpez.com
Le 16/09/2021 à 15:32
C'est sympa l'authentification par SMS sur ton tél, lorsque tu es sur site classé SEVESO avec interdiction des téléphones portables....
5  0 
Avatar de 4bstract
Membre habitué https://www.developpez.com
Le 13/05/2019 à 13:09
"[...]permettant aux utilisateurs de Windows 10 de se connecter partout sur leurs appareils à l'aide de la biométrie ou d'un code PIN et de laisser le monde des mots de passe."
Un code PIN... un mot de passe quoi é_é
Je dois avouer ne pas vraiment saisir la différence avec un mot de passe et un code PIN.

De mon avis personnel (qui est tout à fait discutable), je pense que d'essayer de se débarrasser des mots de passes est un objectif chimérique. les alternatives actuelles proposées sont au moins aussi dysfonctionnelles que les mots de passe.
  • L'authentification à facteurs multiples est certes efficace mais apporte à l'utilisateur un inconvénient supplémentaire. Et ce base souvent sur des mots de passe.
  • La clé physique est autant problématique que le mot de passe. Elle peut être facilement volée, cassée ou répliquée et dans ces cas, il y a un délai pour en obtenir une nouvelle.
  • L'authentification biométrique, outre le fait qu'elle pose problème concernant l'anonymat, est sujette aux accidents. Le corps humain se dégrade facilement, il ne peut être un moyen d'authentification fiable. Et une fois que vous pouvez plus vous connecter, il devient difficile de prouver son identité pour régler le problème (à moins d'utiliser les questions secrètes, etc... qui reviennent au final à un autre mot de passe).


Pour terminer cette tirade, rappelons tout de même que le vol d'identifiants se fait très bien en s'introduisant sur serveur, le problème ne serait règlé que partiellement.

Après, je dois avouer que je ne suis pas impartial étant donné que j'aime bien utiliser les mots de passe en général
4  0 
Avatar de ji_louis
Membre régulier https://www.developpez.com
Le 21/12/2020 à 16:00
Je ne doute pas du fait qu'une solution biométrique (doigt, veines, oeil, etc) donne un code plus complexe, personnel et reproductible qu'un mot de passe.

Le problème est "Que se passera-t-il quand ce code biométrique aura été compromis?" (parce que tout code binaire peut être copié et reproduit).
Imaginez votre compte bancaire vidé par un pirate qui aura utilisé votre code biométrique (donc non répudiable), opération non remboursée par la banque...

La gestion des mots de passe est une plaie nécessaire pour assurer un bon niveau de sécurité. Les industriels de l'informatique veulent faire passer tous leurs clients sur des services distants, donc gérés par les industriels, ce qui assure à ces industriels une clientèle captive qu'ils pourront pressurer à loisir (quand ils n'en profiteront pas pour pirater leurs secrets, de la correspondance, industriels, commerciaux ou autres, comme Amazon est accusé de l'avoir fait).

Il vaut mieux avoir un service local de gestion des mots de passes avec une sauvegarde ad hoc et des procédures de redémarrage idoines, cela assure l'indépendance de l'entreprise.
4  0 
Avatar de totozor
Membre expert https://www.developpez.com
Le 16/09/2021 à 16:26
Citation Envoyé par sergio_is_back Voir le message
C'est sympa l'authentification par SMS sur ton tél, lorsque tu es sur site classé SEVESO avec interdiction des téléphones portables....
Ou quand il sert à débloquer une application qui est sur ton téléphone
4  0 
Avatar de fatbob
Membre éclairé https://www.developpez.com
Le 24/09/2021 à 10:13
Quelqu'un sait-il pourquoi aucun site où l'on a besoin d'un mot de passe n'interdit de faire des dizaines de milliers d'essais chaque seconde ?
Si il n'était pas possible de faire plus d'un essais toute les trois secondes, par exemple, cela ne serait-il pas déjà un bon début pour limiter le problème ?
Avec 6 caractères alphanumériques, et 3 secondes par essais, on atteint déjà 5400 ans pour un algo de force brute.

Toutes ces méthodes alternative de double authentification, cela ressemble plus à un moyen de récupérer les numéros de téléphone de tous les clients qui ouvrent un compte.
Pour ma part, je n'ai pas envie de filer ce numéro à n'importe qui sous prétexte de sécurité.
On reparlera de ça quand les opérateurs téléphoniques permettront d'avoir au moins un ou deux alias modifiables pour nos numéros de téléphones afin de pouvoir virer périodiquement tous les spammeurs sans avoir besoin de prévenir tous ses contacts mais pour l'instant, c'est juste un moyen de plus pour nous envoyer de la pub.
4  0