SSO = "Single Sign On" et 2FA = "2 Factors Authentication" ?

Pascal Kotté
Dec 21, 2014
3 min read

L'ère du Cloud nous emmène dans la situation d'utiliser de plus en plus de sites en ligne. Il faut s'y identifier, avec un mot de passe différent et compliqué pour chaque site, comme disent les bonnes pratiques. Et il ne faut pas placer tous ces mots de passe sur un post-it sous le clavier... Cela devient difficile à gérer.

C'est là que "Single Sign On" vient à notre aide: SSO permet d'associer un seul login/password (identifiant+mot de passe) avec plusieurs services Cloud.

Actuellement, Twitter, Facebook, et parfois Google+ et LinkedIn sont souvent proposés comme bouton d'identification alternatif sur un service en ligne. Ils ne sont toutefois pas les seules solutions. Cf notre nouvelle table comparative éditable en (crowdsourcing) mode public : http://socialcompare.com/en/comparison/authentication-providers-2ldz0t0e#

Cela pose toutefois deux autres soucis:

Vous avez intérêt à ne pas avoir peur d'exposer la liste de vos services en ligne, par exemple des jeux qui semblent être d'argent, cela peut faire tâche sur un profil public, envers un employeur potentiel, où simplement son réseau relationnel ! Et si les enfants utilisent vos tablettes/téléphones/ordinateurs, sur votre profil connecté "Face de bouc", cela risque fort de dégénérer !
Vous avez intérêt à faire confiance à votre "mot de passe", qui est devenu l'unique rempart pour de multiples services en lignes, certains pour passer des commandes...

C'est là que "2 Factors Authentication" viennent à notre aide: 2FA permet de prévoir un second facteur d'identification pour sécuriser votre accès, en supplément de votre mot de passe. Cela peut être sous la forme d'un SMS sur un téléphone, ou via une "App" installée sur ce même téléphone, plus économique à l'usage.

Vous aviez peut-être déjà vu ces 'Secure-ID card', avec une série de nombres variants dans le temps, ou votre 'calculette' Ebanking. Ils représentent cette clef matérielle (hardware token), nécessaire pour assurer votre accès en plus de votre identifiant et mot de passe habituel. Cela pourrait être aussi, votre empreinte digitale (reproductible), votre faciès (reproductible), votre rétine (équipements couteux), votre empreinte palmaire, votre empreinte des vaisseaux sanguins dans le doigt... Nous avons de plus en plus de solutions. Les espaces à sécuriser utiliseront une combinaison de multiples facteurs.

Votre banque et vos sites web utilisent déjà un autre facteur complémentaire : Votre localisation ! Si vous changez de pays, la banque demandera souvent confirmation avant d’accepter une transaction sur carte présentée (la prévenir avant de vous retrouver boqué). Pour un service web : Sur le même ordinateur, le même navigateur, au même endroit ; la seconde identification ne sera demandée qu’une seule fois. Votre 'atmosphère IP' identifiée servira de garant pour ne pas vous le réclamer encore. Vous devriez purger l'historique et le cache sur les clients hors de votre contrôle...

Voici le lien pour accéder à la table ronde sur notre espace collaboratif privé au sujet des 2FA et SSO: https://www.yammer.com/tablesrondes/groups/authenticationsso, et faîtes votre demande pour nous rejoindre, et participer à notre « Crowd-finding » en veille technique collaborative.

Pour éviter une exposition par l’usage d’un service ‘gratuit’, donc douteux car ils vont exploiter la connaissance des services tiers utilisés pour mieux vous cibler, il est possible d’utiliser un coffre-fort à mots de passe.

Il est certain que d’utiliser la mémoire de vos navigateurs web (browser) est une très, très mauvaise idée. C’est inévitablement une faille, car une fois compromis, le navigateur livrera tous ses secrets. Certains n’ont pas besoin d’être torturés très fort pour parler…

Voici le lien pour accéder à la table ronde sur notre espace collaboratif privé au sujet des 'Gestionnaires et coffres de mots de passe' : https://www.yammer.com/tablesrondes/groups/passwordmanager, faîtes donc votre demande pour nous rejoindre et venir en discuter avec nous, en privé.

La table publique : http://socialcompare.com/en/comparison/password-safes-online-saas-passwords-managers