Biométrie L'avenir de l'authentification?

Aujourd'hui lisant un article publié par Mat Honan dans Câble qualifié "Tuez le mot de passe: pourquoi une chaîne de caractères ne peut plus nous protéger" (qui traduit dans notre langue est: "Tuer le mot de passe: pourquoi une chaîne de caractères ne peut-elle plus nous protéger?"), je me suis souvenu d'une conversation il y a quelques jours avec certains membres de cette communauté qui mentionnait à quel point l'utilisation de lecteurs d'empreintes digitales est un mécanisme d'authentification, en particulier dans les appareils mobiles les plus largement utilisés et les avantages que leur utilisation apporterait.

L'article en question présente des exemples récents de la façon dont les comptes de certains utilisateurs (y compris l'auteur de l'article) ont été piratés, soulignant l'incapacité réelle des mots de passe et des mécanismes actuels d'authentification et de vérification pour protéger nos informations et notre vie privée et il en fait valoir les raisons. cette affirmation, toutes très valables et qui pourraient se résumer en quatre grands groupes:

1.- Augmentation de la capacité de traitement permettant le piratage des mots de passe grâce à l'utilisation de la force brute et des dictionnaires de mots de passe disponibles sur le réseau. Allez, avec la capacité des CPU et GPU actuels, en utilisant des programmes de piratage largement disponibles par force brute, avec des dictionnaires que nous pouvons facilement obtenir sur le réseau, ce n'est qu'une question de temps avant que quelqu'un ne parvienne à trouver le mot de passe d'un fichier crypté , même quand il est censé être "sûr" parce qu'il contient des lettres, des chiffres et d'autres caractères, avec l'aggravation que ces capacités continueront d'augmenter dans le futur.

2.- Réutilisation des mots de passe par le même utilisateur. Qu'avons-nous jamais fait? Nous utilisons le même compte de messagerie pour nous authentifier dans différents services, même, nous utilisons le même nom d'utilisateur et mot de passe lorsque nous nous enregistrons à différents endroits sur le réseau, en plus de «chaîner» nos comptes avec la même adresse e-mail de «sauvegarde», ainsi que si quelqu'un a accès à l'un de nos comptes, il y a pratiquement tous accès.

3.- Utilisation de pishing et de logiciels malveillants pour voler des mots de passe. Ici, ce qui influence le plus le bon sens de l'utilisateur, car si vous cliquez généralement sur les liens indiquant la quantité de courrier que vous recevez ou le nombre de pages que vous visitez, vous êtes exposé à fournir vous-même les informations qui seront ensuite utilisées contre vous.

4.- Utilisation de «l'ingénierie sociale». Il y a deux aspects largement utilisés ici. D'une part, nous mettons de plus en plus nos vies sur le net: Facebook, Linkedin, blogs personnels, etc. mettre à la disposition de tous, des détails détaillés de notre vie (où nous étudions, qui sont nos amis, le nom de notre animal de compagnie, etc., etc.), qui sont dans la plupart des cas les réponses aux questions de vérification de presque tous les services en que nous enregistrons. D'autre part, la capacité des hackers à utiliser des outils d'ingénierie sociale pour interagir avec les services clients, leur permet de réaliser avec une relative facilité, en tirant parti des informations qu'ils détiennent sur nous, pour convaincre ces services qu'ils sont bien l'utilisateur et obtenir tenir nos comptes.

Eh bien, avec le développement de la société de l'information, il est indéniable que notre présence sur Internet continuera de croître, alors que nous dépendrons dans une plus grande mesure de l'utilisation des services en ligne pour notre vie quotidienne, ce qui a ajouté à l'intention transformer les téléphones mobiles en portefeuilles électroniques de paiement, grâce à l'utilisation de la technologie NFC (Near Field Communication), sont les ingrédients d'une tempête parfaite en termes de sécurité, impossible à éviter avec la seule utilisation de mots de passe et de mécanismes de vérification comme les actuels .

Comme pour toutes les questions de sécurité, il est nécessaire d'établir un compromis entre la force du mécanisme d'authentification versus la facilité d'utilisation et la confidentialité du service en question. Malheureusement, jusqu'à présent, la facilité d'utilisation a prévalu au détriment de la force des mécanismes d'authentification.

Il semble y avoir une coïncidence dans l’opinion que la solution à ce problème réside dans une combinaison de mots de passe, d’analyse des modes d’utilisation et d’utilisation de dispositifs biométriques pour garantir un processus d’authentification qui facilite la vie des utilisateurs, avec plus de mécanismes de vérification. les actuels.

Certains fournisseurs de services du réseau ont déjà commencé à utiliser des modèles d'utilisation en complément des mots de passe, c'est pourquoi, par exemple, lorsque nous accédons à notre compte Gmail à partir d'une adresse IP autre que celle que nous utilisons habituellement, cela nous renvoie à un écran de vérification. pour vérifier par une autre méthode (appel téléphonique ou SMS), que nous sommes l'utilisateur légal du compte. Sur cet aspect, il semble y avoir un consensus sur le fait que ce n'est qu'une question de temps que la plupart des fournisseurs de services du réseau adoptent des variantes similaires.

Ce qui manque encore, c'est que l'utilisation de mécanismes ou dispositifs biométriques dans le cadre de l'authentification n'a pas commencé à être mise en œuvre, il existe différentes formes, des plus simples comme la reconnaissance de formes vocales ou la reconnaissance faciale (entièrement exécutable par logiciel) et pour lesquelles les mobiles les appareils disposent déjà du matériel nécessaire (microphones et caméras), même les plus complexes tels que les lecteurs d'empreintes digitales ou les scanners d'iris.

Bien que certaines mesures soient déjà prises à cet égard, comme la reconnaissance faciale pour déverrouiller le mobile dans certains téléphones Android ou le récent achat par Apple de la société AuthenTec, spécialisée dans ces problématiques, son utilisation ne va pas au-delà de l'anecdotique et de ce qui est plus inquiétant est que l'intégration de ces formes d'authentification avec les services du réseau n'a pas encore commencé à être discutée.

À mon avis, la reconnaissance faciale ou vocale, bien qu'elles soient les plus faciles à mettre en œuvre et ne nécessitent pas de matériel supplémentaire, sont les méthodes les moins sécurisées, tandis que les scanners d'iris sont totalement impossibles à intégrer dans les appareils mobiles, ce qui nous laisse la meilleure option pour les empreintes digitales les lecteurs, qui en raison de leurs dimensions réduites et de la multiplicité des «clés» seraient la solution parfaite; Je m'explique: si nous sommes enroués à cause de la grippe ou si nous avons subi un accident ou si nous avons une blessure au visage, la reconnaissance vocale ou faciale serait compliquée, alors qu'avec un lecteur d'empreintes digitales, nous pouvons configurer l'utilisation de plusieurs doigts, donc un Un accident en un ne nous empêcherait pas d'accéder à nos données et services.

Actuellement, il existe déjà quelques notebooks qui intègrent des lecteurs d'empreintes digitales dans leur configuration, sans remarquer une augmentation de prix substantielle de ces modèles, ce qui permet de déduire que leur coût n'est pas significatif, malgré le fait que leur utilisation n'a pas été étendue. D'un autre côté, malheureusement, pour le moment, très peu d'appareils mobiles ont des lecteurs d'empreintes digitales et leur intégration ne semble pas être une tendance.

Certains avis suggèrent que nous sommes confrontés à la situation classique de la poule et de l'œuf: les lecteurs ne sont pas intégrés dans les appareils car les services réseau ne les utilisent pas comme mécanisme d'authentification, mais à leur tour, les services réseau ne les utilisent pas comme mécanisme d'authentification en raison de la petit nombre d'appareils qui les intègrent en standard. Cela semble être le nœud gordien que personne n'ose couper pour le moment.

Au-delà de cette impasse dans laquelle nous nous trouvons, je pense qu'il y a une situation à résoudre pour sa mise en œuvre et que c'est la mise en place des standards nécessaires à l'utilisation des empreintes digitales dans l'authentification, c'est-à-dire que le lecteur d'empreintes scanne une image et depuis elle, une sorte de signature électronique doit être générée, qui est celle qui serait envoyée au service en tant que "mot de passe" pour l'authentification, donc l'algorithme de génération de cette signature doit garantir que différents lecteurs génèrent des signatures égales d'une même empreinte, sans préjudice de la sécurité et cela ne semble pas être quelque chose de simple.

Oui, je sais qu'à ce stade certains évoqueront ce qu'ils ont vu dans un film où en soulevant une empreinte digitale laissée sur un verre ils parviennent à l'utiliser pour accéder à une installation, mais cela, au-delà du spectaculaire qui en résulte à l'écran, c'est non, je pense que cela deviendra une mode dont nous devrions nous occuper à l'avenir; Sauf si l'un de nous est un agent 007 ou possède les codes d'accès à Fort Knox.

Comme le dit l'auteur de l'article qui a donné lieu à cet article, la première étape pour résoudre un problème est la reconnaissance de son existence et ensuite pouvoir commencer à proposer des solutions et c'est précisément de cela qu'il s'agit. Je recommande à tous ceux qui peuvent lire l'article auquel je me réfère, car il est très illustratif, mais aussi agréable à lire (ce que malheureusement ceux qui ne connaissent pas l'anglais ne pourront pas apprécier), avec l'incitation supplémentaire d'en contenir perles de la façon dont les pirates ont trompé des services «réputés» pour y accéder.

Êtes-vous d'accord avec mon opinion ou faites-vous partie de ceux qui croient encore que les mots de passe nous suffisent?