« Sign in with Apple » : réelle avancée ou coup de com ?

Idéalement, vous devriez utiliser un gestionnaire de mots de passe pour créer des mots de passe longs et compliqués à votre place. Mais le plus important reste d’utiliser un mot de passe différent par site web.

L’usage des adresses e-mail à usage unique n’est pas une idée nouvelle, mais la question est de savoir si Apple peut les rendre suffisamment populaires. Pour le moment, nos études ont montré que les consommateurs ont toujours du mal avec l’idée d’utiliser des emails générés au hasard…

Donc, nous allons voir si Apple sera capable de rendre cette technique attractive.

Même si le SSO (Single Sign On) est une bonne technologie, elle n’est pas exempte de tout reproche. Et l’idée de construire un gigantesque ensemble de clés universelles pour des millions de consommateurs représente un gros risque de sécurité, car elle sera compromise un jour ou l’autre.

C’est ce qui est arrivé à Facebook récemment. En septembre dernier, le réseau social a révélé une faille massive dans laquelle des pirates ont volé des tokens (jetons d’accès) SSO concernant des dizaines de millions de comptes.
Ces tokens, qui ne sont pas les mots de passe mais des clés numériques générées par le système SSO, évitent à l’internaute d’avoir à s’identifier auprès des serveurs de Facebook à chaque fois qu’il souhaite accéder à un site associé à ce système d’identification.

Les tokens volés permettent aux attaquants de faire croire aux serveurs de Facebook qu’ils se sont légitimement connectés, et ce sur l’ensemble des comptes compatibles, ce qui met en évidence une autre faille du SSO : vous n’avez pas seulement besoin de vous assurer que votre compte individuel est sécurisé – vous devez aussi avoir confiance dans la sécurisation des serveurs de l’entreprise qui l’utilise.

Au vu des failles successives qu’a connu Facebook dernièrement, il semble difficile d’avoir une confiance aveugle dans la sécurité de leurs serveurs. Ce qui s’est passé chez Facebook pourra se répéter chez tous ceux qui utilisent le même principe.

Pour Google, Facebook ou Apple, même si la volonté de faciliter la vie des internautes en utilisant un système de SSO est louable car elle permet d’utiliser un mot de passe différent à chaque fois, le fait de stocker une clé capable d’ouvrir tous les autres comptes de manière centralisée est fondamentalement mauvaise. Car ce “coffre-fort” sera compromis un jour ou l’autre.

Recent Posts

Environnements hybrides et multi-clouds : un défi et une chance pour la cybersécurité

Pour sécuriser les environnements hybrides et multi-clouds, il faut commencer par clarifier le partage des…

8 heures ago

Dans la « nouvelle-réalité » du travail, le RSSI doit faire rimer cybersécurité, innovation et adaptation au changement !

Cette année, bon nombre des changements survenus durant la pandémie en termes de culture du…

2 jours ago

Comment le modèle SASE définit l’avenir de la sécurité réseau

Inventé par Gartner, l’acronyme SASE (Secure Access Service Edge) est l'une des évolutions les plus…

1 semaine ago

Comment planifier une migration réussie au cloud

Lors du choix, la considération la plus critique et souvent la plus complexe est de…

2 semaines ago

Gestion des identités et des accès : l’importance de l’expérience client en environnements mixtes

La mise en œuvre d’une stratégie d’identité permet de clarifier les actions engagées par l’entreprise,…

2 semaines ago

La cyberfraude est avant tout une fraude, commise par un canal numérique

En matière de cybersécurité, c’est l’information qui compte, et non le support. L’objectif doit être…

2 semaines ago