Quand les questions de cybersécurité se mêlent aux questions étiques des entreprises !

L’article Kaspersky dans la tourmente … est apparu en premier sur Expert line.

Les fraudeurs et les cybercriminels sont des professionnels. Ils savent comment nous utiliser car dans beaucoup de situations, nous sécurisons mal notre vie en ligne.

Après avoir expliqué à qui nous avons à faire et comment ils vont essayer de nous manipuler, je vous donne des conseils simples et efficaces pour votre sécurité sur internet.

Move to cloud, Travail hybride … L’accélération de la transition digitale des entreprises met à rude épreuve le travail des RSSI …

L’article Expert story – Zero Trust est apparu en premier sur Expert line.

EBIOS 2010 tire sa révérence après plus de 12 ans de bons et de loyaux services. Face à l’évolution des menaces et des méthodes d’attaque, ainsi qu’à l’interconnexion grandissante des systèmes d’information et la prise en compte de leur écosystème, EBIOS 2010 n’est plus la méthodologie d’analyse de risques privilégiée pour permettre aux organisations d’appréhender la complexité des risques portant sur la sécurité des systèmes d’information (SSI), ni de prendre en compte des scénarios d’attaque complexes.

EBIOS 2010 est, de fait, devenu obsolète et n’est désormais plus préconisé, ni soutenue par l’ANSSI.

D’EBIOS 2010 à EBIOS Risk Manager

Nouvelle déclinaison de la méthodologie d’analyse de risque de l’ANSSI, EBIOS Risk Manager (EBIOS RM) permet une approche efficace plutôt qu’exhaustive rompant avec les méthodes d’analyse de risque quantitatives traditionnelles par l’introduction de nouveaux axes d’étude :

• l’analyse se focalise sur les risques intentionnels et numériques ;
• elle combine l’étude de scénarios de menaces ciblées en complément de la conformité aux cadres règlementaires ;
• l’écosystème est pris en compte dans la construction des scénarios d’attaque ;
• l’analyse est réalisée à la fois selon le point de vue de l’organisation et de l’attaquant.

Démarche adaptable et collaborative faisant intervenir la direction, les métiers et les équipes SSI, EBIOS RM est un véritable outil de management du risque numérique qui remet en avant la gouvernance dans les phases de décision et qui offre une compréhension partagée des risques cyber entre les décideurs et les opérationnels.

L’article Interview Coumba DIABATE est apparu en premier sur Expert Line.

Le NIST (National Institute of Standards and Technology, organisme de standardisation américain) organise depuis 2016 un concours international en vue de la standardisation d’algorithmes cryptographiques post-quantiques. Dans le cadre de ce concours, le NIST a publié le 6 juillet dernier une liste de quatre premiers algorithmes sélectionnés : un algorithme d’établissement de clé nommé CRYSTALS-Kyber ; et trois algorithmes de signature nommés CRYSTALS-Dilithium, FALCON et SPHINCS+. Les trois premiers de ces algorithmes sont fondés sur les réseaux euclidiens structurés ; le dernier, SPHINCS+, est fondé sur des constructions en arbres de hachage.

Ces quatre algorithmes serviront donc de base à la rédaction de normes fédérales américaines. Cependant, la portée de l’annonce du NIST est en fait internationale ; cela est dû non seulement au caractère international de la compétition dans laquelle la communauté de recherche en cryptographie est très fortement impliquée, mais aussi au fait que les futures normes américaines seront également _de facto_ utilisées comme standards industriels internationaux.

En complément des quatre vainqueurs déjà cités, un prolongement de la campagne de standardisation est prévu pour quatre algorithmes : il s’agit des algorithmes d’établissement de clé BIKE, HQC, Classic McEliece (tous trois fondés sur les codes correcteurs d’erreur) et SIKE (fondé sur les graphes d’isogénies de courbes elliptiques). Certains de ces algorithmes pourraient donc ultérieurement rejoindre le même processus de standardisation que les quatre algorithmes déjà sélectionnés. L’objectif final du NIST est effectivement de pouvoir standardiser un éventail varié d’algorithmes de manière à couvrir une majorité de cas d’usages.

D’un point de vue scientifique, l’ANSSI est satisfaite du choix effectué par le NIST. Les algorithmes choisis paraissent en effet offrir des perspectives raisonnables quant à leur sécurité à long terme. On peut donc désormais considérer les quatre algorithmes CRYSTALS-Kyber, CRYSTALS-Dilithium, FALCON et SPHINCS+ comme des choix à envisager dans la majorité des cas pour la sélection d’algorithmes post-quantiques pour la conception de produits de sécurité.

Toutefois, il est important de noter que l’étape franchie par le NIST dans son processus de standardisation ne constitue pas une validation définitive de la sécurité des algorithmes retenus. Par conséquent, la doctrine française en ce qui concerne les algorithmes post-quantiques, présentée dans un avis scientifique et technique en janvier 2022, n’est pas modifiée par cette annonce. En effet, même si ces algorithmes sont prometteurs, l’ANSSI ne recommande en aucun cas le remplacement direct des algorithmes actuels par ces nouveaux futurs standards. Dans les années qui viennent, ces algorithmes post-quantiques devront encore être utilisés dans un mode hybride, c’est à dire combinés avec un algorithme à clé publique pré-quantique reconnu et éprouvé (à l’exception de mécanismes uniquement fondés sur la sécurité de fonctions de hachage comme SPHINCS+, pour lesquels l’hybridation est optionnelle). Les modes d’hybridation en cours de standardisation par l’ETSI et les spécifications IETF en cours d’élaboration pour l’hybridation dans les protocoles de communications sécurisées TLS 1.3 et IKEv2 pourraient par exemple être des solutions pour les futurs déploiements.

Notons de plus que la sélection opérée par le NIST ne doit pas être comprise comme une liste « fermée » d’algorithmes post-quantiques utilisables. En effet, certains algorithmes qui n’ont pas été retenus mais qui semblent disposer d’une sécurité à long terme au moins équivalente à celle des algorithmes sélectionnés (comme par exemple le mécanisme d’établissement de clé FrodoKEM, fondé sur les réseaux euclidiens non structurés) peuvent demeurer une option digne d’intérêt pour des applications de haute sécurité suffisamment peu contraintes en termes de bande passante. D’une manière générale, l’ANSSI souhaite continuer à encourager la recherche et la R&D en cryptographie post-quantique, qu’il s’agisse de l’analyse de la difficulté des problèmes mathématiques sous-jacents, de l’intégration des algorithmes post-quantiques dans des protocoles hybrides de communication, de l’analyse de sécurité formelle des modes d’hybridation ou de la conception et l’analyse d’implémentations sécurisées.

Les quatre algorithmes sélectionnés et les quatre algorithmes retenus pour le prolongement de la campagne de standardisation résultent de coopérations internationales. Mais la liste de leurs co-auteurs et leurs affiliations n’en illustrent pas moins de manière frappante l’extraordinaire vitalité de la recherche française et de la recherche européenne en cryptographie.

L’article Expert Story : Zero Trust est apparu en premier sur Expert Line.

L’article Interview Nicolas DE WAEGENEIRE est apparu en premier sur Expert Line.

Les dirigeants sont souvent perdus quant on leur parle de stratégie cybersécurité. Pourtant, la protection de leur entreprise ou organisation contre les cybercriminels devrait reposer sur cette stratégie.

Nous allons vous expliquer, comment, simplement, le dirigeant peut prendre en main la sécurité informatique de son business. C’est plus simple qu’il n’y parait.

Dès l’entrée en vigueur de l’accord, les certificats valides et publics précédemment délivrés seront reconnus en France comme en Allemagne, tandis que les prochains le seront dès leur publication. L’accord a vocation à couvrir l’ensemble des certificats émis par les deux schémas mais peuvent en être exclus s’ils sont, par exemple, soumis à une réglementation nationale spéciale.

Outre la reconnaissance mutuelle des certificats, l’accord pose les bases d’une coopération renforcée entre les organismes de certification de l’ANSSI et du BSI. Les échanges techniques réguliers sur la poursuite de l’harmonisation  CSPN et BSZ, ainsi que sur le développement de ces schémas, pourront bénéficier d’un cadre formalisé.

Cet accord représente un pas supplémentaire vers l’harmonisation globale des schémas de certification s’appuyant sur dans un délai d’évaluation prédéterminé. La norme européenne FiTCEM (Fixed Time Cybersecurity Evaluation Methodology for ICT products, prEN 17640), en cours d’élaboration, permettra d’étendre au niveau européen l’harmonisation des ces pratiques, notamment via la création d’un système européen de certification basé sur le Cybersecurity Act.

Se déroulant au Campus Cyber, cette semaine de réunions intervient quelques jours après l’obtention d’un accord politique provisoire sur la révision de la directive NIS visant à relever le niveau global de cybersécurité des écosystèmes européens publics comme privés. Quelques mois après la séquence d’exercices (EU CyCLES) organisée pour tester et renforcer la coopération en cas de crise majeure d’origine cyber, elle a permis des partager des expériences nationales et européennes. Ces échanges ont été enrichissants à l’aune, notamment, des tensions internationales causées par l’invasion de l’Ukraine par la Russie.

Réseau CSIRTs Network

Depuis sa création en 2017, le réseau a démontré sa capacité à coopérer en amont et en réaction à la menace cyber grâce à la solide confiance forgée entre les équipes de réponse aux incidents. A la tête du trio de présidence, le CERT-FR œuvre à optimiser les échanges entre les membres du réseau et encourage au quotidien une plus large participation aux travaux du réseau. Un moment de retrouvailles précieux pour chaque participant, qui, après de longs mois de pandémie, a offert des échanges techniques sur la menace et les incidents récents toujours aussi qualitatifs et instructifs. Les réflexions sur l’accroissement des moyens et actions permettant la montée en maturité de chacun de ses membres comme du groupe, aussi bien capacitaire que technique, se réaffirment comme l’un des objectifs majeurs du réseau.

CyCLONe

Fort de l’expérience acquise après un an et demi d’existence informelle, le réseau CyCLONe, dont les missions seront prochainement inscrites dans le droit européen, a abordé l’ensemble des activités structurantes pour le réseau. Parmi les thèmes d’échange figuraient notamment la définition des mécanismes de coopération et des interactions avec les niveaux technique et politique de gestion de crise. Avec l’approche de l’exercice paneuropéen de gestion de crise Cyber Europe 2022, organisé par l’ENISA en juin, les membres ont également échangé autour des objectifs de ce type d’entraînements. A la sortie de pandémie, il s’agissait également d’une rare opportunité pour les dirigeants européens en charge de la gestion de crise cyber de se rencontrer pour échanger sur l’état de la menace et les enjeux posés par le contexte actuel.

Groupe de coopération NIS

Avec l’extension de son mandat prévu par NIS2, le Groupe de coopération continue de démontrer sa place de forum européen quant à l’ensemble des sujets de cybersécurité. Ses membres ont d’ailleurs déjà commencé à échanger sur les futurs enjeux de la transposition de la nouvelle directive. Des sujets plus thématiques ont également été abordés, comme les travaux récents du Groupe sur la sécurité de la 5G et d’Open RAN.

Merci à tous les participants, l’ENISA, à la Commission européenne pour leur participation active et au Campus Cyber pour leur accueil !

L’article Expert Story : Ransomware est apparu en premier sur Expert Line.

L’authentification unique (SSO) est une fonction d’identité numérique populaire auprès des organisations qui cherchent à simplifier et à sécuriser les processus d’inscription et de connexion de leurs services. Dans cet article, j’explique ce qu’est le SSO du point de vue des organisations, des utilisateurs finaux de leurs services et pour vous, le développeur qui implémente les API SSO.

Cet article fait suite à notre précédent article non technique intitulé « Qu’est-ce que le Single Sign-On (SSO) ? Comment utiliser le SSO pour améliorer la sécurité et l’expérience client » – qui fournit une bonne introduction de base pour les collègues du côté plus commercial de votre entreprise. Ici, je vais entrer un peu plus dans les détails techniques du SSO – l’architecture du SSO et comment le SSO fonctionne dans le contexte des applications web.

Qu’est-ce que le SSO ?
Le SSO permet aux utilisateurs de se connecter une seule fois pour avoir accès à toutes vos applications web auxquelles ils ont le droit d’accéder.

SSO dans le cloud IDaaS

Passons en revue les différentes perspectives du SSO, afin de bien comprendre ce que cela signifie en pratique pour toutes les personnes concernées.

Utilisateur final
Pour l’utilisateur final de votre application web, le SSO est invisible. C’est une fonctionnalité qui n’est remarquée que lorsqu’elle est absente de votre service, car les utilisateurs (en particulier les clients) attendent de tout service qu’ils utilisent une expérience transparente et une sécurité solide. Si les clients constatent des frictions dans l’interface utilisateur ou ont vent d’une data breach, ils iront voir ailleurs.

Le SSO offre une expérience positive à vos utilisateurs, notamment en réduisant la fréquence des invites de connexion. Cet aspect est de plus en plus important à mesure que l’authentification multifactorielle (AMF) se généralise, c’est-à-dire qu’il faut plus d’une méthode d’authentification pour se connecter. Avec l’AMF, le processus de connexion peut sembler plus complexe à l’utilisateur final, malgré ses avantages indéniables en matière de sécurité. Le fait de devoir se connecter moins souvent signifie que cet obstacle à la convivialité apparaît moins souvent.

De cette façon, un seul ensemble d’informations d’authentification fonctionne pour plusieurs applications. Il n’est pas toujours facile de se souvenir de mots de passe complexes ou de conserver les informations d’identification de l’AMF.

Les avantages du SSO en termes de facilité d’utilisation peuvent être bien équilibrés avec les avantages de l’AMF en termes de sécurité lorsqu’ils sont correctement réalisés, par exemple en demandant des méthodes d’authentification supplémentaires uniquement lorsque l’utilisateur accède à un service contenant des données plus sensibles (authentification renforcée). L’authentification basée sur le risque (RBA) est un excellent moyen d’évaluer automatiquement si une authentification renforcée est nécessaire, en analysant si l’adresse IP de l’utilisateur ou d’autres données comportementales sont suspectes ou conformes aux attentes (voir plus loin). Le risque de failles d’accès est ainsi éliminé avec moins de processus d’authentification pour les utilisateurs autorisés.

Développeur d’applications
Pour le développeur d’une application web, le SSO permet de se libérer de la responsabilité (souvent lourde) de l’authentification des utilisateurs, puisque la fonctionnalité d’authentification de l’utilisateur final est déplacée hors de l’application. Le SSO peut être intégré aux API et, comme il s’agit d’une fonction d’identité numérique standardisée, il peut être mis en œuvre rapidement et facilement avec IDaaS (Identity-as-a-Service).

Le développeur peut ainsi se concentrer sur les fonctions essentielles de l’application – la « sauce spéciale » de l’entreprise – au lieu de tenter de résoudre des problèmes complexes d’authentification, de gestion des informations d’identification et de politique, dont la maîtrise peut prendre plusieurs années.

Les exigences d’un système d’authentification moderne ne cessent de croître. Le système doit permettre des fonctions très basiques, comme la récupération du mot de passe en libre-service, mais aussi être capable de s’adapter aux besoins futurs du système (comme les flux de travail de délégation), tout en respectant les changements réglementaires et l’évolution des normes.

Responsable de la sécurité
Pour les responsables de la sécurité, le SSO est synonyme de gestion centralisée des identités et des accès (IAM). Le SSO donne aux équipes de sécurité informatique une meilleure visibilité et une réponse plus rapide aux menaces de sécurité, ce qui leur permet de mieux contrôler les exigences de sécurité et de conformité. Le SSO signifie que le provisionnement et le déprovisionnement des justificatifs d’identité s’effectuent en un seul endroit, ce qui réduit la menace de comptes expirés négligés et non sécurisés.

Bien que le risque de violation de l’accès à un ensemble d’informations d’identification soit apparemment plus élevé qu’avec une gestion décentralisée de l’accès aux informations, les utilisateurs sont plus susceptibles de maintenir des pratiques d’identification plus strictes (par exemple, des mots de passe sécurisés et une authentification automatique) s’ils n’ont qu’un seul ensemble d’informations à gérer, ce qui augmente encore les avantages du SSO en matière de sécurité.

Architecture du SSO
Le SSO est mis en œuvre par un fournisseur d’identité (IdP) – le cœur d’une solution centralisée de gestion des accès.

Les applications Web et mobiles s’intègrent à l’IdP à l’aide de protocoles basés sur des normes, tels que SAML et OpenID Connect. Le fait que ces protocoles soient basés sur des normes permet aux développeurs d’applications de choisir parmi de nombreux modules d’intégration et connecteurs prêts à l’emploi et faciles à utiliser. L’interopérabilité entre les IdP de différents fournisseurs permet au développeur d’applications de choisir l’IdP à utiliser. Dans certains cas, l’application peut utiliser plus d’un IdP, par exemple lorsqu’elle utilise des fournisseurs de connexion sociale courants tels que Google, Microsoft et Facebook.

(Pour en savoir plus sur les différents protocoles, consultez notre livre blanc gratuit : SAML vs OAuth 2.0 vs OpenID Connect)

Fournisseur d’identité Connect bleu

Comment fonctionne l’authentification unique (SSO) ?
Le fournisseur d’identité (IdP) est au cœur du système SSO. L’IdP existe à une origine unique (ou adresse réseau) pour être découvrable par les applications et pour mettre en œuvre le suivi de session.

Lorsqu’une application a besoin d’authentifier un utilisateur, elle envoie le navigateur Web de l’utilisateur à l’IdP. Pour cela, l’application compose un message de demande d’authentification basé sur des normes. L’IdP reçoit le message et identifie l’application qui demande l’authentification.

Sur la base de l’identité de l’application et des paramètres de la demande d’authentification, du suivi de session et du contexte de navigation, l’IdP choisit comment authentifier l’utilisateur.

Après avoir authentifié l’utilisateur, l’IdP compose un message de réponse d’authentification et renvoie le navigateur de l’utilisateur à l’application. L’application exécute alors un ensemble d’actions spécifiées par le protocole pour valider la réponse et reçoit finalement un ensemble de revendications qui décrivent l’identité de l’utilisateur.

Suivi des sessions
Le concept de « session » est assez ambigu. Ici, la session fait référence à la technologie que l’IdP utilise pour se souvenir des authentifications passées, c’est-à-dire pour mettre en œuvre la fonctionnalité d’authentification unique.

Toutes les technologies de suivi de session sont liées à l’origine ou à l’adresse réseau où l’IdP est hébergé. Pour que l’authentification unique fonctionne, le navigateur de l’utilisateur doit visiter la même origine que celle où l’authentification a eu lieu précédemment.

Les cookies Http sont la technologie la plus populaire pour mettre en œuvre le suivi de session. Le contenu d’un cookie peut être un identifiant qui fait référence à une session stockée dans une base de données sur le serveur. L’avantage de stocker les sessions sur le serveur est de réduire la taille des cookies et de permettre la révocation des sessions à partir du serveur. Par exemple, si le compte d’un utilisateur est compromis, il est utile de pouvoir révoquer toutes les sessions de l’utilisateur.

Le cookie peut également être un jeton cryptographique contenant des revendications qui permettent au serveur de restaurer une session. L’avantage de l’utilisation de jetons est l’évolutivité, car moins d’informations doivent être stockées du côté du serveur. D’un autre côté, le processus de révocation des jetons et des sessions devient plus difficile.

Souvent, une combinaison de sessions côté serveur et de jetons cryptographiques est nécessaire.

Les technologies HTML5 modernes, telles que Web Crypto et Web Storage, peuvent être utilisées pour améliorer la sécurité du suivi des sessions. Web Crypto permet de générer des clés cryptographiques qui sont stockées en toute sécurité par le navigateur. Ces clés sécurisées peuvent être utilisées pour fournir une preuve supplémentaire de la propriété de la session pour l’IdP.

Autorisation et consentement
Dans un monde où la confidentialité est primordiale, il n’est souvent pas souhaitable de permettre à une application éventuellement inconnue d’utiliser l’authentification unique pour demander des informations identifiant l’utilisateur. Au lieu de cela, l’IdP doit interrompre le flux SSO et demander l’autorisation et le consentement de l’utilisateur avant de divulguer des informations d’identité à une application que l’utilisateur n’a jamais visitée auparavant. Comme pour l’authentification, l’IdP choisit comment il accepte l’autorisation en fonction de divers paramètres. Il peut accepter quelque chose d’aussi simple qu’un clic sur un bouton, ou l’IdP peut exiger quelque chose de plus complexe, comme que l’utilisateur saisisse à nouveau les informations d’authentification.

Authentification basée sur le risque
L’authentification unique pour l’utilisateur final est une expérience utilisateur améliorée, alors que le responsable de la sécurité voit potentiellement un risque accru. Avec l’authentification basée sur le risque, il est possible de mettre en œuvre un équilibre dynamique entre la convivialité et le risque.

L’IdP peut s’adapter au contexte dans lequel l’authentification a lieu et soit demander une authentification simple, soit exiger une authentification plus complexe.

Par exemple, si une demande d’authentification est reçue sur un appareil de confiance, depuis le réseau du bureau et pendant les heures de travail, l’IdP peut accepter une authentification silencieuse basée sur les cookies et autres informations stockées dans le navigateur de l’utilisateur.

Comparez cela à une demande d’authentification reçue sur un appareil inconnu provenant d’un pays que l’utilisateur n’a jamais visité auparavant. Dans ce cas, l’IdP reconnaît les facteurs de risque et peut exiger une authentification multifactorielle plus forte.

Conclusions
L’authentification unique (SSO) présente de nombreux avantages pour les organisations qui utilisent toutes sortes d’applications et de services en ligne lorsqu’elle est correctement mise en œuvre, ce qui en fait l’un des cas d’utilisation de l’identité numérique les plus courants.

Intégrez rapidement et facilement le SSO dans vos applications grâce à l’Identité en tant que Service (IDaaS, alias IAM en mode SaaS) d’Ubisecure. IDaaS est un service géré, qui vous permet d’éliminer la complexité de la gestion des identités en interne et de vous concentrer sur votre activité principale.

Comment le SSO peut-il améliorer la sécurité des clients et l’expérience des utilisateurs ?

Le SSO, ou Single Sign-On, est un service qui permet à un utilisateur de se connecter à une application ou à un domaine réseau, puis d’être authentifié et connecté automatiquement à d’autres applications ou domaines associés. L’utilisateur n’a donc besoin que d’un seul ensemble d’informations d’identification (nom d’utilisateur/mot de passe, par exemple) pour s’authentifier et accéder en toute sécurité à plusieurs applications, services et même à différents fournisseurs de services.

Remarque : pour un aperçu plus technique de « Qu’est-ce que l’authentification unique (SSO) », consultez notre blog « Qu’est-ce que l’authentification unique (SSO) – conseils techniques pour les développeurs d’applications Web ».

Le SSO est utilisé depuis longtemps dans les entreprises pour réduire (et mieux gérer) le nombre d’informations d’identification dont un employé a besoin pour accéder aux applications de l’entreprise. Cependant, nous constatons aujourd’hui que le SSO est également utilisé pour les utilisateurs externes, comme les clients, les consommateurs ou les partenaires. Avec l’augmentation des failles et des attaques sur les données d’identité des clients, cet article de blog se concentre sur le scénario très attendu du client/consommateur de confiance.

Par exemple, une société d’énergie pourrait utiliser la capacité SSO d’une plateforme d’identité pour permettre aux clients d’utiliser une seule identité pour l’authentification et la connexion simplifiée à tous ses services numériques – paramètres du compte, rapports d’électricité, consommation de gaz, historique des paiements, etc.

Schéma de l’authentification unique (SSO)

Examinons quelques questions sur le SSO : avantages, niveaux de sécurité et configuration.

Quels sont les avantages du SSO ?
Le SSO améliore l’expérience utilisateur (UX)
L’amélioration de l’expérience utilisateur est peut-être l’avantage le plus évident de l’authentification unique. Les connexions répétées sont encombrantes et ennuyeuses, donc supprimer cette nécessité est un grand avantage. Comme les clients exigent de plus en plus une bonne expérience numérique, une mauvaise expérience utilisateur entraînera une perte de clientèle.

Autre avantage de l’interface utilisateur, la connexion peut être authentifiée à l’aide des informations d’identification que vous pensez que vos visiteurs voudront utiliser, par exemple un nom d’utilisateur/mot de passe ou une identité numérique existante d’un fournisseur d’identité (IdP). L’identité fédérée d’un IdP comprend toute une gamme d’identités numériques existantes, qu’il s’agisse d’identités sociales (Facebook, Google, Twitter) ou d’identités plus solides, comme une identité numérique nationale (eID) ou une identité bancaire.

Il n’est pas nécessaire pour l’utilisateur de créer un tout nouvel ensemble d’informations d’identification, si vous le souhaitez – il existe de nombreuses options permettant à un utilisateur de se vérifier avec une identité numérique qu’il possède déjà – ce qui satisfait les utilisateurs et renforce la sécurité (nous y reviendrons).

Le SSO réduit le temps et les coûts d’administration
Avec un seul ensemble d’informations d’identification à gérer, les problèmes de connexion et d’authentification sont considérablement réduits, ce qui signifie que les administrateurs informatiques perdent beaucoup moins de temps à les résoudre – un avantage qui évolue avec la croissance de votre entreprise.

En outre, la simplification de la création et de la désactivation internes des identifiants d’accès – par exemple, lorsque les contrats des partenaires commencent/se terminent dans un service B2B – permet également de gagner du temps.

Comme nous le savons tous, le temps est synonyme d’argent. Le SSO fait gagner du temps, et donc de l’argent à votre entreprise.

L’authentification unique est-elle sûre ?
Alors qu’une première impression du SSO pourrait vous faire douter de la sécurité de n’avoir besoin que d’un seul ensemble d’informations d’identification pour gérer l’accès à plusieurs systèmes, le SSO améliore en fait la sécurité lorsqu’il est correctement mis en œuvre.

Si nous reprenons le cas d’utilisation du partenaire B2B ci-dessus, avec une révocation plus simple des identifiants d’accès à l’expiration des contrats, cela signifie également qu’il est beaucoup plus facile de voir et de gérer qui a accès aux données de votre organisation.

De plus, l’authentification initiale peut être très forte, l’authentification multifactorielle (MFA) étant désormais une fonctionnalité standard de l’Identity and Access Management. Les utilisateurs sont susceptibles de créer un mot de passe unique plus fort s’ils n’ont à en créer qu’un seul, ou d’opter pour l’authentification multifactorielle s’ils n’ont à le faire qu’une seule fois.

L’authentification sans mot de passe pourrait également être utilisée dans le SSO. L’authentification sans mot de passe permet aux utilisateurs de se connecter en utilisant un élément qu’ils possèdent, plutôt qu’un élément qu’ils connaissent (et dont ils doivent se souvenir). Il peut s’agir d’un mot de passe unique basé sur le temps (TOTP) ou d’un appareil mobile enregistré.

Le SSO vous permet d’améliorer votre posture de sécurité en réduisant le nombre d’identifiants que vous demandez à vos utilisateurs de gérer et, au lieu de cela, de consolider plusieurs identités en une seule, c’est-à-dire un seul ensemble d’identifiants pour toutes vos applications.

Si les niveaux d’exigences en matière d’assurance de la sécurité varient entre vos services, vous pouvez créer le flux de travail suivant. Si un utilisateur s’est authentifié avec un niveau d’assurance supérieur/égal dans la première application au niveau requis pour la deuxième application, il peut s’authentifier à la deuxième application. Cependant, si un utilisateur s’est authentifié avec un niveau d’assurance inférieur dans la première application et que la seconde exige un niveau d’assurance supérieur, vous pouvez demander à l’utilisateur de se réauthentifier.

Quels sont les protocoles SSO ?
Les protocoles d’authentification unique ont été testés, ont fait leurs preuves et sont arrivés à maturité. Ils incluent traditionnellement le langage SAML (Security Assertion Markup Language) et la fédération de services Web (WS-Fed). Aujourd’hui, dans les cas d’utilisation de l’authentification unique pour la gestion des identités et des accès des clients (CIAM) et des partenaires (B2B IAM), nous voyons également OAuth 2.0, OpenID Connect (OIDC) et Mobile Connect utilisés, avec l’utilisation de jetons d’accès pour autoriser le partage d’informations de compte spécifiques.

Il est important de choisir une solution SSO qui prend en charge le protocole d’authentification unique le mieux adapté à votre cas d’utilisation.

Si vous avez besoin de comparer les protocoles pour déterminer celui ou ceux qui conviennent le mieux à votre entreprise, téléchargez notre livre blanc gratuit sur la comparaison des protocoles d’autorisation SSO.

L’authentification unique est-elle facile à mettre en œuvre ?
Le SSO est une fonction standard de gestion des identités pour de nombreuses organisations, ce qui en fait l’un des cas d’utilisation de l’identité numérique les plus courants et un élément crucial de la gestion des accès. Toutefois, il convient d’être prudent lorsque l’on tente d’intégrer des protocoles et des fonctionnalités SSO en interne en partant de zéro. La gestion des identités numériques peut être complexe, et la complexité s’accompagne de risques. Heureusement, il existe de nombreuses solutions SSO qui peuvent contribuer à réduire cette complexité.

Le SSO évolue
De nombreuses organisations géraient traditionnellement les identités des utilisateurs et les fournisseurs d’identité par le biais de systèmes dédiés tels que Active Directory (AD) de Microsoft et Lightweight Directory Access Protocol (LDAP). Les solutions de gestion des accès, utilisant le SSO, fédèrent ces identités stockées localement à la bibliothèque d’applications de l’entreprise, à la fois locale et, plus couramment maintenant, dans le Cloud.

L’évolution du Cloud a vu le déplacement des annuaires d’identités vers le Cloud, les services d’annuaires constituant un composant essentiel des solutions IDaaS (Identity-as-a-Service). En outre, le champ d’application des annuaires d’identités s’est élargi et comprend désormais les offres de CRM, de RH et d’autres services d’annuaire en tant que service. Tout étant dans le Cloud, les administrateurs informatiques ont beaucoup plus de contrôle et de visibilité sur les données d’identité qu’ils doivent protéger.

Choix d’un fournisseur de SSO – comment l’IDaaS peut accélérer la mise en œuvre
L’utilisation d’une solution SaaS (software-as-a-service) pour intégrer la fonctionnalité SSO dans votre application peut réduire considérablement le temps et le coût du déploiement des services. Un tel SSO-as-a-Service est Ubisecure IDaaS (Identity-as-a-Service ou, comme le mentionne Gartner, SaaS delivered IAM).

Le délai de mise sur le marché (et le délai de valorisation) d’IDaaS est réduit par rapport à une solution d’identité plus complexe en raison des ensembles de fonctionnalités standardisées et parce que l’entreprise ne doit pas gérer elle-même le déploiement, la sécurité, la configuration et la maintenance de la solution. Il s’agit d’un simple déploiement prêt à l’emploi – plutôt que de réinventer la roue. IDaaS réduit également les risques créés par les mauvais choix de conception qui peuvent survenir lors du développement d’une solution de signature unique en interne.

L’article Définition du SSO – Single Sign On est apparu en premier sur Actualité Informatique.

« Je suis certain que mon téléphone écoute mes conversations. » Nous avons tous douté un jour en voyant une publicité sur internet en relation avec une conversation qui venait d’avoir lieu. Est-ce que nos téléphones portables écoutent ce que nous disons afin de nous proposer de la pub adaptées ? Je me suis intéressé à ce qui pourrait être un des sujets les plus controversés d’internet. Et pour tout vous dire, la vérité est … pire que ce que je pensais.

L’ANSSI participe au FIC, cette année encore, par le traditionnel discours de son directeur général, Guillaume Poupard, le 8 juin à 9h10, ainsi qu’une conférence de presse le même jour à 14h30. Sur notre stand A18, nos agents se rendront disponibles pour vous rencontrer, vous présenter nos dernières actualités et répondre à vos questions. Vous aurez également l’occasion d’échanger avec nos agents sur les questions de recrutement, de formations et du Visa de sécurité.

Cette année, les agents de l’ANSSI participeront à des table-rondes tout au long de ces trois journées autour de la souveraineté numérique, de la réponse à incident, de la sécurité des données et de la transformation numérique, ainsi que du management des risques cyber. Au vu de l’actualité, nous partagerons notre retour d’expérience sur l’état de la menace et soulignerons la nécessité de collaborer pour renforcer notre protection contre les risques cyber.

Les temps forts

• Le 7 juin à 9h45, forum santé de l’ARS Hauts de France, intervention d’Emmanuel Naëgelen, directeur général adjoint de l’ANSSI.
• Le 8 juin à 9h10, intervention de Guillaume Poupard, directeur général de l’ANSSI, en salle plénière.
• Le 8 juin à 14h30, conférence de presse de Guillaume Poupard (réservée aux journalistes sur inscription).

Retrouvez-nous lors des tables rondes

• Le 7 juin de 15h à 15h30 : « Stratégie Cyber, où en sommes-nous ? », Gwenaëlle Martinet, cheffe de projet France Relance à l’ANSSI.
• Le 8 juin de 11h à 12h, «Pénurie de compétences : quelles solutions ? », Aurélie Bauer, cheffe du centre de formation à la sécurité des systèmes d’information (CFSSI).
• Le 8 juin de 11h à 12h, « Réponse à incident : La stratégie de moyens ne suffit pas ! », Mathieu Couturier, chef du bureau Management des crises cyber à l’ANSSI.
• Le 9 juin de 13h à 14h, « Sécuriser les identités numériques pour exploiter les données en toute confiance », Hugo Mania, chargé de mission identité numérique, biométrie & confiance numérique à l’ANSSI.
• Le 9 juin de 13h à 14h, « Les collectivités en première ligne », François Degez, chef de la division Coordination territoriale à l’ANSSI.

En savoir plus : Accueil – Forum International de la Cybersécurité (forum-fic.com)

Comment configurer un VPN avec Android ?

L’utilisation d’Internet est un grand défi de nos jours. Toute notre activité en ligne laisse des traces qui nous privent de notre anonymat. Ce fait est utilisé non seulement par les agences de publicité et les fournisseurs d’accès Internet, mais également par les autorités et les pirates. Vous souhaitez surfer sur Internet de manière anonyme et sécuriser vos données personnelles ou financières ?

Si c’est le cas, vous devriez rechercher un programme VPN fiable. Les meilleurs fournisseurs de services VPN proposent des solutions modernes adaptées à de nombreux systèmes d’exploitation. Aussi à nos téléphones portables!

N’oubliez pas qu’une partie importante du trafic Internet se fait aujourd’hui via les smartphones, en particulier avec Android.

Comment puis-je protéger les données personnelles sur le téléphone Android ?

Jusqu’à récemment, de nombreux utilisateurs de smartphones oubliaient souvent de protéger leurs données et leur vie privée lorsqu’ils naviguaient sur Internet. Heureusement, cette situation s’est améliorée avec le temps. De nos jours, il existe déjà plusieurs outils pour protéger votre vie privée. Vous avez les options suivantes :

• Utiliser le navigateur Tor anonyme, bien qu’il soit relativement compliqué et pèse sur la vitesse d’Internet ;
• Utilisation de serveurs proxy qui négocient la connexion entre votre appareil et un site Web spécifique. Cependant, les serveurs ne sont souvent pas dignes de confiance ;
• VPN – un réseau privé virtuel qui vous permet de vous connecter à Internet via un tunnel crypté. Lorsque vous utilisez un programme VPN, votre activité Internet ne peut pas être suivie. Une connexion VPN est une excellente solution pour les utilisateurs de plateformes de streaming (comme Netlfix) où vous pouvez masquer votre emplacement réel et ainsi accéder à du contenu géo-restreint.

Comment configurer un VPN sur Android ?

Il existe de nombreuses solutions VPN pour les appareils Android sur le marché. L’offre comprend des VPN payants et gratuits. À ce stade, il convient de souligner qu’il faut être très prudent avec les outils gratuits.

Le système d’exploitation Android offre une prise en charge intégrée pour certains types de VPN. Cela permet de se connecter à un réseau existant si vous n’avez accès qu’aux données. La configuration du service VPN intégré sur Android peut se faire en quelques étapes simples (il peut y avoir de petites différences selon la version du système) :

• recherchez « Paramètres » et cliquez sur « Réseaux sans fil » ;
• cliquez sur l’option VPN puis cliquez sur l’option comme « Ajouter un réseau VPN » ;
• entrez vos informations d’identification VPN, que vous recevrez de l’administrateur réseau ;
• cliquez sur VPN pour vous connecter à Internet en toute sécurité.

Anonymat complet avec un VPN en ligne sur les appareils Android

Tous les réseaux VPN gratuits ou intégrés ont un inconvénient très important : on ne peut pas leur faire entièrement confiance. Pourquoi? Il existe des fournisseurs de VPN dont les pratiques de confidentialité ne sont pas claires. Les fournisseurs peuvent collecter des données largement comprises sur votre activité Internet (par le biais de journaux), puis les partager avec des tiers. Par conséquent, il est recommandé de choisir des solutions éprouvées auprès de fournisseurs de confiance qui

• sont généralement évalués positivement ;
• offrir à leurs clients une connexion rapide et stable (quelle que soit leur situation géographique) ;
• proposer à leurs clients un large choix de serveurs dans de nombreux pays du monde ;
• Protégez votre sécurité et votre vie privée.

Prenez votre temps pour trouver un fournisseur VPN fiable offrant tout ce dont vous pourriez avoir besoin pour votre sécurité en ligne.

L’article Comment configurer un VPN avec Android est apparu en premier sur Actualité Informatique.

Netflix arrête le partage de mot de passe

Netflix a récemment annoncé souhaiter modifier sa politique en ce qui concerne le partage de comptes, une pratique largement répandue au sein des utilisateurs de la plateforme de streaming. Comment Netflix compte-t-il s’y prendre, bonne ou mauvaise nouvelle pour les utilisateurs de la plateforme ?

Le partage de mot de passe : une option bientôt révolue sur Netflix

Nous sommes nombreux à utiliser le compte Netflix d’un ami ou d’un proche, pour visionner des films en tout genre et les séries du moment. S’agit-il d’une habitude qui touche à sa fin ? En effet, Netflix annonce souhaiter développer de nouvelles règles en ce qui concerne le partage de comptes, qui serait largement réprimé pour les utilisateurs ne vivant pas au sein du même foyer.

Pour cela, Netflix souhaite tester un nouveau modèle de fonctionnement et de tarification, pour le moment proposé aux utilisateurs de Netflix situés au Chili, au Costa Rica et au Pérou. Les titulaires d’un compte pourront ajouter jusqu’à deux membres supplémentaires à leur abonnement principal, cela nécessitant le règlement de frais supplémentaires, évalués à 3$ pour le Costa Rica.

Ce changement dans les positions de Netflix en matière de partage de mots de passe aurait-il un lien avec la perte de croissance du géant du streaming ? En effet, le nombre de nouveaux abonnés semble depuis quelque temps diminuer pour Netflix, tandis que la production de nouvelles séries et films représente un budget toujours plus élevé pour l’entreprise. C’est l’une des raisons qui pourrait expliquer la mise en place progressive de cette répression du partage de comptes.

À savoir que ce type de méthode est déjà présent sur de nombreux sites de streaming, qui utilisent également des campagnes de publicité pour améliorer leur rendement. Une solution qui n’est pour le moment pas adoptée par Netflix.

S’agit-il réellement d’une mauvaise nouvelle pour les utilisateurs de la plateforme ?

Ainsi, comme vous l’aurez compris, le coût de l’abonnement Netflix pourrait prochainement augmenter, si vous décidez de partager votre compte avec d’autres membres extérieurs à votre foyer. Face à cette augmentation de quelques euros, des points positifs peuvent tout de même être mis en avant pour les utilisateurs de Netflix.

Dans un premier temps, cette répression ne devrait faire son apparition que progressivement, après la période de test réalisée dans les 3 pays d’Amérique du Sud cités plus tôt. De plus, le partage de mots de passe peut constituer un risque de cybersécurité qu’il est important de prendre au sérieux, pour éviter que des personnes tierces ne puissent accéder à votre compte et détourner vos informations personnelles.

Pour éviter cela, il est bien sûr possible d’utiliser un gestionnaire de mot de passe. Cet outil vous aidera à mettre au point des mots de passe de sécurité élevée, et vous pourrez partager son utilisation grâce à l’option de partage proposée par certains gestionnaires. De quoi bénéficier d’une authentification plus sécurisée, pour vous permettre de partager votre compte tout en assurant la protection de vos informations personnelles.

L’article Netflix n’accepte plus le partage de mot de passe est apparu en premier sur Actualité Informatique.