L’authentification sans mot de passe désigne toute méthode d’authentification qui n’utilise pas de mots de passe traditionnels, de questions de sécurité ou d’autres facteurs de connaissance pour vérifier l’identité d’un utilisateur. En revanche, les méthodes d’authentification sans mot de passe utilisent des éléments plus difficiles à voler ou à falsifier, tels que les clés d’accès, les clés de sécurité physiques et la biométrie.
Les mots de passe constituent sans doute la méthode d’authentification utilisateur la plus courante. Ils sont également la plus vulnérable. Ceux-ci peuvent être volés par le biais d’attaques de phishing et de logiciels malveillants de type « infostealer » (voleurs d’informations), devinés lors d’attaques par force brute ou achetés sur le dark web, où les pirates informatiques les vendent pour quelques euros pièce.
Forts de ces identifiants volés, les acteurs de la menace peuvent prendre le contrôle de comptes légitimes, abuser de leurs privilèges valides et échapper à la détection, car leur activité ressemble à celle d’un utilisateur autorisé. Selon l’IBM X-Force Threat Intelligence Index 2025, le vol de comptes valides est l’un des vecteurs d’accès initiaux les plus courants, puisqu’il est présent dans 32 % des cyberattaques analysées.
D’autres facteurs de connaissance, c’est-à-dire tout facteur d’authentification reposant sur un secret que l’utilisateur connaît, présentes les mêmes faiblesses. Les réponses aux questions de sécurité courantes, telles que le nom de votre premier animal de compagnie ou de votre meilleur ami d’enfance, peuvent être facilement découvertes par le biais de l’ingénierie sociale ou en fouillant simplement sur les réseaux sociaux.
Bien que le terme « mot de passe » figure dans son nom, l’authentification sans mot de passe supprime tous les facteurs de connaissance, y compris les questions de sécurité. Les méthodes sans mot de passe remplacent ces facteurs de connaissance par des tokens, des clés d’accès cryptographiques, des empreintes digitales, des scans faciaux, des applications et plus.
Ces facteurs d’authentification sans mot de passe sont considérés comme bien plus sûrs que les facteurs de connaissance. Ils ne peuvent être ni volés ni falsifiés facilement, ce qui les rend résistants à certaines des cybermenaces les plus répandues aujourd’hui. Par exemple, il n’est pas possible de voler une clé d’accès via un lien de phishing, ni de créer de fausses empreintes digitales sans recourir à une technologie hautement sophistiquée.
Rejoignez les responsables de la sécurité qui font confiance à la Newsletter Think pour obtenir des informations ciblées autour de l’IA, de la cybersécurité, des données et de l’automatisation. Apprenez rapidement grâce à des tutoriels et des fiches explicatives d’experts, envoyés directement dans votre boîte de réception. Consultez la Déclaration de confidentialité d’IBM.
L’authentification sans mot de passe fonctionne en remplaçant les facteurs de connaissance dans le processus d’authentification par des alternatives non basées sur la connaissance. Ainsi, au lieu que l’utilisateur saisisse un mot de passe lors d’un processus de connexion, celui-ci peut être invité à cliquer sur un lien magique ou à appuyer sur une notification push.
Pour mieux comprendre la logique de l’authentification sans mot de passe, voici un aperçu du fonctionnement général de l’authentification.
Dans un processus d’authentification classique, les utilisateurs attestent de leur identité en fournissant la preuve qu’ils sont bien ceux qu’ils prétendent être. Cette preuve est appelée « facteur d’authentification » et relève généralement de l’une des quatre catégories suivantes :
Facteurs de connaissance : un élément que l’utilisateur connaît, tel qu’un mot de passe ou la réponse à une question de sécurité.
Facteurs de possession : un élément que l’utilisateur possède, tel qu’un mot de passe à usage unique généré par un smartphone personnel ou une clé cryptographique privée.
Facteurs d’inhérence : un élément qui caractérise l’utilisateur, soit généralement des données biométriques telles que les empreintes digitales, la reconnaissance faciale ou l’analyse rétinienne.
Facteurs comportementaux : ce que fait l’utilisateur, comme des modèles de saisie uniques ou des gestes de souris.
Les solutions d’authentification sans mot de passe utilisent uniquement des facteurs de possession, inhérents et comportementaux. Plus précisément, les alternatives courantes au mot de passe comprennent :
Les clés d’accès reposent sur la cryptographie à clé publique, généralement mise en œuvre conformément à un ensemble de normes connues sous le nom de FIDO ou FIDO2.
Les clés d’accès fonctionnent en générant une paire de clés cryptographiques : une clé publique partagée avec le service auquel l’utilisateur s’inscrit, et une clé privée conservée sur l’appareil de l’utilisateur, tel que son smartphone personnel. La clé privée n’est jamais partagée avec le service. De plus, la clé privée est protégée par un code PIN ou une vérification biométrique.
(La norme FIDO prend également en charge les clés de sécurité matérielles. Pour plus d’informations, consultez la section « Tokens matériels ».)
Avec une clé d’accès, le processus d’authentification se déroule comme suit :
Les clés d’accès sont considérées comme bien plus sûres que les mots de passe pour plusieurs raisons. La clé privée ne quitte jamais l’appareil de l’utilisateur ; elle ne peut donc pas être interceptée. Même si un cybercriminel parvient à voler l’appareil contenant la clé privée, il devra tout de même saisir un code PIN ou réussir un défi biométrique pour utiliser la clé.
Comme l’a déclaré Jeff Crume, « maître inventeur » et ingénieur émérite chez IBM, dans un épisode du podcast « IBM Security Intelligence » :
Le principal vecteur de violation de données [selon le rapport IBM 2025 sur le coût d’une violation de données] est le phishing. Et dans le cadre du phishing, que cherchent-ils à obtenir ? Vos identifiants. Eh bien, devinez quoi ? Si vous n’avez pas de mot de passe, personne ne peut vous le voler. Si vous disposez d’une clé d’accès, c’est beaucoup plus difficile.
L’authentification biométrique repose sur les caractéristiques physiques de l’utilisateur. La numérisation de la rétine, la technologie de reconnaissance faciale et la numérisation des empreintes digitales comptent parmi les formes les plus courantes de biométrie.
Les facteurs biométriques sont considérés comme sûrs car ils ne peuvent pas être volés ou falsifiés facilement. Ils sont également considérés comme faciles à utiliser, car les utilisateurs n’ont rien de particulier à faire pour saisir leurs identifiants biométriques : il leur suffit de regarder une caméra ou d’appuyer leur pouce sur un écran.
L’inconvénient est que, bien que cela soit extrêmement rare, les données biométriques peuvent être volées. En 2024, par exemple, des pirates ont dérobé des données de reconnaissance faciale à une entreprise australienne appelée Outabox. Et lorsque des données biométriques sont volées, elles ne peuvent pas être réinitialisées comme un mot de passe. On ne peut pas changer ses empreintes digitales ni les motifs de sa rétine.
Comme son nom l’indique, les mots de passe à usage unique (OTP) sont des mots de passe uniques, généralement valables pour une courte période, qui remplacent les identifiants habituels. Chaque fois qu’un utilisateur doit se connecter à un service, il génère un nouveau mot de passe à usage unique (OTP).
Les codes OTP peuvent être générés de plusieurs manières. Les méthodes les plus courantes sont les suivantes :
Les OTP ne sont pas considérés comme des facteurs de connaissance, car leur durée de vie est limitée. Ce sont des facteurs de possession. Ce n’est pas la connaissance de l’OTP qui permet de vérifier l’identité d’une personne, mais la possession de l’application d’authentification enregistrée, du numéro de téléphone ou de la clé de sécurité ayant généré l’OTP.
Les mots de passe à usage unique (OTP) expirent généralement après une seule utilisation ou au bout d’un délai défini, ce qui limite leur utilité s’ils sont volés ou interceptés. Cependant, ils peuvent être dérobés par le biais de certaines techniques sophistiquées, telles que les logiciels de vol d’informations ou les attaques de type « homme du milieu » (MitM).
Également appelés « clés de sécurité », les tokens matériels sont des dispositifs dédiés, souvent sous la forme de clés USB, qui contiennent ou génèrent des informations d’authentification.
Certains tokens utilisent des mots de passe à usage unique (OTP). Ils créent soit régulièrement de nouveaux OTP, comme une application d’authentification, soit génèrent des OTP à la demande lorsque l’utilisateur appuie sur un bouton. D’autres tokens transmettent automatiquement des informations d’authentification à un service lorsqu’ils sont connectés à un appareil.
Les tokens matériels sont considérés comme très sûrs, car, bien souvent, ils ne sont pas connectés à Internet et l’utilisateur doit être physiquement en possession du token pour pouvoir l’utiliser.
Cela dit, les clés de sécurité peuvent être perdues ou volées. Il peut s’avérer coûteux, voire impossible d’un point de vue logistique, de délivrer une clé à chaque employé ou utilisateur d’un service.
Les liens magiques sont des liens spéciaux contenant des tokens d’authentification.
Tout d’abord, l’utilisateur enregistre son adresse e-mail ou son numéro de téléphone auprès d’un service. Ensuite, lorsqu’il souhaite se connecter, il demande un lien magique. Le service envoie ce lien à l’adresse e-mail ou sur l’appareil mobile enregistré. Lorsque l’utilisateur clique dessus, il est redirigé vers le service auquel il souhaite accéder, entièrement authentifié et connecté.
Les liens magiques constituent une forme de facteur de possession, mais ce n’est pas la possession du lien lui-même qui prouve l’identité de l’utilisateur. Il s’agit plutôt de la possession du compte de messagerie ou du numéro de téléphone préalablement enregistré.
Tout comme les OTP, les liens magiques restent valables pendant une courte période seulement et expirent automatiquement après une seule utilisation.
Toutefois, si un cybercriminel parvient à accéder à la boîte de réception de l’utilisateur ou à son numéro de téléphone, les liens magiques peuvent facilement faire l’objet de détournements. Il lui suffit de se rendre sur le service qu’il souhaite pirater et de demander un lien pour y accéder.
Fonctionnant un peu comme des liens magiques, cette méthode consiste à envoyer des notifications push vers l’appareil mobile préalablement enregistré par l’utilisateur lorsque celui-ci tente de se connecter à un service. L’utilisateur doit appuyer sur « Approuver » (ou une option équivalente) dans la notification push pour obtenir l’accès.
Les notifications push constituent un autre facteur de possession. Le fait d’appuyer sur ce bouton confirme que l’utilisateur est en possession de l’appareil enregistré, ce qui permet de vérifier son identité.
Les notifications push sont pratiques et globalement sécurisées, mais elles sont vulnérables à des attaques appelées « bombardements de notifications » (également connues sous les noms d’« attaque par demande d’authentification répétée », « attaque par notification répétée » ou « prompt spamming »).
Dans cette attaque, un acteur de la menace accède au service qu’il souhaite pirater, saisit l’identifiant utilisateur de sa cible et demande à plusieurs reprises l’authentification par push notifications. L’afflux soudain de notifications sur l’appareil de la victime a pour but de la submerger, de sorte qu’elle en approuve une par inadvertance ou simplement pour que cela cesse. Avec cette approbation, le hacker peut accéder au compte de l’utilisateur.
Cette méthode de connexion utilise un code QR. L’utilisateur scanne le code, généralement à l’aide d’une application d’authentification ou d’une application spécifique au service auquel il accède, ce qui lui permet de se connecter.
Le mécanisme de base consiste ici en un transfert de session. Supposons par exemple qu’un utilisateur souhaite se connecter à un site web sur son ordinateur portable à l’aide d’un code QR :
Même si un cybercriminel obtient le code QR, il ne peut pas faire grand-chose sans l’appareil préauthentifié de l’utilisateur. Cela dit, un cybercriminel peut hypothétiquement pirater la session téléphonique de l’utilisateur et accéder ainsi à son compte.
L’authentification par code QR est également vulnérable au « quishing », aussi appelé « phishing/hameçonnage par code QR ». Les cybercriminels présentent à leurs victimes de faux codes QR qui, une fois scannés, valident des sessions sous leur contrôle plutôt que des sessions légitimes.
Les facteurs comportementaux sont des artefacts numériques qui vérifient l’identité d’un utilisateur en se basant sur des schémas comportementaux, tels que la plage d’adresses IP habituelle de l’utilisateur, sa localisation et sa vitesse moyenne de frappe.
Ces facteurs sont rarement utilisés comme preuve d’identité suffisante à eux seuls. Ils font plus souvent partie d’un schéma d’authentification basé sur le risque qui évalue en continu la posture de sécurité de l’utilisateur afin de déterminer dynamiquement les exigences d’authentification en fonction du niveau de risque.
Par exemple, un utilisateur qui se connecte depuis son appareil habituel à l’heure habituelle pourrait n’avoir à fournir qu’un seul facteur d’authentification. Ce même utilisateur, s’il se connecte depuis un nouvel appareil ou depuis un endroit inhabituel, pourrait devoir fournir un facteur supplémentaire.
Sous l’impulsion, notamment, de l’essor des services cloud, de l’intelligence artificielle et du machine learning, le nombre d’ identités non humaines (INH) actives dans le réseau d’entreprise moyen a considérablement augmenté ces dernières années. Et à mesure que les agents IA permettent des automatisations de plus en plus sophistiquées, la gestion des autorisations des NHI et la sécurisation de leurs identifiants deviennent des préoccupations majeures pour les équipes de cybersécurité.
Les comptes non humains peuvent être piratés tout comme ceux des humains. Ils disposent souvent de privilèges élevés (par exemple un processus de sauvegarde capable de lire les bases de données d’entreprise les plus sensibles) et reposent sur un seul identifiant pour l’authentification, ce qui en fait des cibles attrayantes et potentiellement vulnérables.
Bien que les NHI n’utilisent pas les mots de passe de la même manière que les humains, ils s’appuient souvent sur des certificats et des tokens qui peuvent être volés, falsifiés ou piratés, tout comme les mots de passe.
Pour les utilisateurs humains, l’authentification sans mot de passe consiste à supprimer les identifiants à long terme, qui sont faciles à voler ou à falsifier. Les entreprises peuvent obtenir des avantages similaires pour les identités non humaines (NHI) en combinant l’accès juste-à-temps et la mise en coffre-fort des identifiants, comme dans le processus de gestion du cycle de vie de la sécurité.
La gestion du cycle de vie de la sécurité automatise la création, la rotation et le stockage sécurisé des identifiants NHI, en remplaçant les secrets persistants et codés en dur par des identifiants éphémères ou juste-à-temps stockés dans un coffre-fort central et sécurisé.Ce dernier est, à son tour, protégé par un chiffrement et des mesures d’authentification robustes afin de garantir que seuls les utilisateurs autorisés puissent accéder à ces identifiants en cas de besoin.
Jake Lundberg, directeur technique terrain chez HashiCorp, a présenté un concept d’identifiants NHI hyper-éphémères lors d’un épisode de Security Intelligence :
Le scénario idéal consiste à passer à des identifiants basés sur la session. Lorsque ma session est établie, je dispose d’un identifiant juste-à-temps. Et dès sa fermeture, je me débarrasse effectivement de ces identifiants. Ainsi, lorsque ma session est terminée, même si elle n’a duré que cinq minutes, les identifiants sont supprimés de ces systèmes.
Les spécifications d’identité des workloads, telles que SPIFFE/SPIRE, permettent de lier les identités NHI à des attributs d’exécution vérifiables par cryptographie. Ces cadres permettent de vérifier un workload en fonction de l’endroit et de la manière dont elle s’exécute, ce qui permet aux NHI de s’authentifier sans utiliser de mots de passe ni de clés API.
La connexion sans mot de passe peut être mise en œuvre soit sous forme d’authentification à facteur unique (nécessitant un facteur non lié à la connaissance), soit sous forme d’authentification multifacteur (MFA) (nécessitant au moins deux facteurs non liés à la connaissance). La mise en œuvre de la MFA sans mot de passe est considérée comme plus sécurisée que la MFA standard ou l’authentification à deux facteurs (2FA), qui utilisent généralement un mot de passe comme premier facteur.
(La mise en œuvre d’une MFA demandant à la fois un mot de passe et un autre facteur non lié à la connaissance n’est pas sans mot de passe, car elle implique toujours un mot de passe. Tous les facteurs concernés doivent être des facteurs non liés à la connaissance pour que la connexion soit véritablement sans mot de passe.)
Toutes les applications ne prennent pas en charge nativement les options entièrement sans mot de passe. Pour mettre en œuvre l’authentification sans mot de passe sur l’ensemble de leur réseau, les entreprises ont souvent recours à des plateformes d’orchestration des identités. Ces outils relient et coordonnent des systèmes disparates de gestion des identités et des accès (IAM) provenant de plusieurs fournisseurs d’identité au sein d’une structure d’identité holistique, avec un workflow d’identité unique et fluide. L’orchestration des identités est la technologie sur laquelle reposent de nombreux systèmes d’authentification unique (SSO).
Concrètement, l’orchestration des identités consiste à acheminer les demandes de connexion aux différents services via un processus centralisé ; de nombreuses plateformes d’orchestration des identités prennent d’ailleurs en charge un processus d’authentification centralisé sans mot de passe. Ainsi, l’ensemble de l’entreprise peut fonctionner sans mot de passe, même si certaines applications et certains services de la pile technologique ne prennent pas en charge cette fonctionnalité.
L’authentification par mot de passe a longtemps été la méthode par défaut pour vérifier les identités des utilisateurs. Malheureusement, c’est aussi la moins sécurisée. Les méthodes sans mot de passe permettent de supprimer l’un des maillons faibles des réseaux modernes, comblant ainsi une faille largement exploitée dans la surface d’attaque des entreprises.
Les mots de passe sont facilement volés par le biais d’attaques d’ingénierie sociale telles que le phishing, ou de logiciels malveillants tels que les logiciels espions et les voleurs d’informations. Ils sont particulièrement vulnérables aux attaques visant le service d’assistance, une forme d’escroquerie par ingénierie sociale où des acteurs malveillants appellent ce service en se faisant passer pour un utilisateur ou un employé ayant besoin de réinitialiser son mot de passe. Ces attaques sont de plus en plus courantes car elles s’avèrent d’une efficacité redoutable. Comme l’a déclaré un jour Stephanie Carruthers, ancienne Chief People Hacker chez IBM X-Force :
Nous menons des campagnes d’ingénierie sociale pour nos clients dont l’objectif est d’appeler leur service d’assistance et de voir si nous pouvons nous faire passer pour un employé afin de réinitialiser leur mot de passe. À ce jour, nous avons réussi à chaque fois que nous avons tenté cette manœuvre.
Les utilisateurs choisissent souvent des mots de passe peu sûrs que les pirates peuvent déchiffrer à l’aide d’attaques par force brute et d’attaques par dictionnaire, c’est-à-dire en essayant des mots de passe courants jusqu’à ce que l’un d’entre eux fonctionne. Les utilisateurs réutilisent également les mots de passe sur plusieurs services, ce qui permet le bourrage d’identifiants. Lorsque les cybercriminels disposent d’un mot de passe pour un service, ils peuvent également l’essayer pour plusieurs autres services.
Même lorsque les utilisateurs respectent les bonnes pratiques en matière de mots de passe, c’est-à-dire en utilisant un mot de passe différent et difficile à deviner pour chaque service, ils rencontrent des problèmes. Compte tenu du nombre de comptes dont ils disposent, il est facile d’oublier tous ces mots de passe. Dans le cas des identifiants NHI, tels que les clés API, il leur arrive d’être laissés en dur dans les applications ou non protégés sous forme de texte clair sur des disques partagés.
Les outils de gestion des mots de passe ont vu le jour pour résoudre ces problèmes d’hygiène, mais ils présentent eux-mêmes des vulnérabilités. En effet, la plupart d’entre eux sont protégés par des mots de passe maîtres, qui peuvent à leur tour être volés. Donc, oui, les pirates informatiques peuvent voler les mots de passe enregistrés en utilisant les bonnes techniques.
La prolifération des NHI a également contribué à faire de l’authentification sans mot de passe une priorité.
Les applications, les processus système et autres utilisateurs non humains ne disposent pas de mots de passe classiques, mais ils utilisent des tokens OAuth, des clés API, des certificats et d’autres secrets pour s’authentifier. Les agents d’IA, qui se situent à la frontière entre les capacités traditionnellement humaines et non humaines, peuvent même « emprunter » les identifiants de leurs utilisateurs humains pour exécuter des tâches automatisées. Tous ces secrets sont susceptibles d’être volés et détournés de la même manière que les mots de passe.
Les systèmes IAM traditionnels n’ont pas été conçus dans l’optique d’une gestion des secrets NHI, ce qui crée une faille de sécurité au niveau de l’identité.
Les professionnels de l’identité et de la sécurité sont conscients de ces pressions depuis un certain temps. Mais les solutions sans mot de passe gagnent désormais du terrain, car la technologie a enfin rattrapé son retard. Les smartphones permettent aux utilisateurs ordinaires d’adopter la biométrie et des mots de passe à usage unique. Le développement des normes FIDO et des protocoles sous-jacents WebAuthn et CTAP2 a permis de généraliser l’authentification par clé d’accès sur les sites web et les applications Web. Et de nouveaux outils de Security Lifecycle Management permettent aux entreprises d’automatiser la création, la rotation, le stockage et la gestion des accès des identifiants pour les NHI.
L’authentification sans mot de passe est largement considérée comme plus sûre et plus pratique que les approches basées sur les mots de passe. Ses inconvénients sont principalement liés à la complexité et aux coûts potentiels de la mise en place d’un système sans mot de passe.
Le phishing est l’une des principales causes de violations de données, représentant 16 % des incidents analysés dans le rapport IBM sur le coût d’une violation de données. L’objectif de la plupart des attaques de phishing est de voler les identifiants des utilisateurs, généralement un mot de passe.
L’authentification sans mot de passe remplace les mots de passe par des identifiants résistants au phishing qui ne peuvent être volés ni facilement ni de manière réaliste, contrecarrant ainsi l’une des plus grandes menaces pour la sécurité des données.
Les identifiants sans mot de passe peuvent également renforcer les défenses contre certaines souches de logiciels malveillants courantes, comme les infostealers ou les logiciels espions. Par exemple, les clés d’accès ne sont jamais transmises ni saisies nulle part, et bien que les mots de passe à usage unique puissent être lus, ils deviennent inutiles après une seule utilisation.
L’une des raisons pour lesquelles les mots de passe constituent une faille de cybersécurité aussi importante est que de nombreux utilisateurs ne respectent pas les bonnes pratiques établies. L’un des arguments les plus convaincants en faveur de l’authentification sans mot de passe est qu’elle élimine complètement ce problème.
Les utilisateurs n’ont pas besoin de créer des mots de passe uniques et complexes pour chaque service, puisqu’ils n’ont pas besoin de créer des mots de passe du tout. La suppression des mots de passe peut également améliorer l’expérience utilisateur, faisant de l’authentification sans mot de passe l’un des rares cas où sécurité et convivialité sont synchronisées.
Dans la plupart des entreprises, un mot de passe oublié implique un appel au service d’assistance informatique. Or, ces appels ont un coût, détournent les informaticiens de tâches plus importantes et perturbent les workflows des employés. De plus, comme mentionné précédemment, les appels au service d’assistance offrent aux acteurs de la menace une voie d’attaque particulièrement efficace.
L’authentification sans mot de passe signifie la fin des réinitialisations de mot de passe, permettant ainsi de réduire le nombre d’appels au service d’assistance, de diminuer les dépenses liées au support informatique et d’atténuer un vecteur de menace dangereux.
En plus d’être l’un des principaux vecteurs d’intrusion dans les réseaux, les identifiants volés constituent également une cible de choix pour les pirates informatiques une fois qu’ils ont pénétré dans le système. La collecte d’identifiants était la conséquence la plus courante des attaques analysées dans le dernier Threat Intelligence Index, présente dans 26 % des cas.
Lorsque les cybercriminels disposent de ces identifiants, ils les utilisent pour effectuer des mouvements latéraux et élever leurs privilèges, ou bien ils les revendent sur le dark web à d’autres cybercriminels. Dans tous les cas, les mots de passe volés entraînent des dommages considérables.
Non seulement les identifiants sans mot de passe sont plus difficiles à voler, mais ceux qui sont volés n’ont qu’une utilité limitée, voire aucune valeur marchande. Par exemple, il est impossible de voler des clés d’accès en piratant un service, car celui-ci n’en stocke aucune. Chaque clé d’accès est conservée sur l’appareil de l’utilisateur individuel. Et personne ne va payer pour des codes OTP qui ont déjà expiré.
Malgré tous ces avantages, l’authentification sans mot de passe présente également des inconvénients, notamment la complexité de sa mise en œuvre, la difficulté à réinitialiser des identifiants perdus ou volés, ainsi que les cyberattaques spécifiques auxquelles les connexions sans mot de passe sont exposées.
Un réseau d’entreprise moyen comprend un mélange d’applications et d’actifs sur site et dans le cloud, provenant de différents fournisseurs, avec des systèmes de gestion des accès légèrement différents qui ne prennent pas toujours en charge l’authentification sans mot de passe.
De plus, certains experts prévoient que les logiciels éphémères et développés par vibe coding deviendront bientôt plus courants dans les réseaux d’entreprise, introduisant ainsi un assortiment encore plus hétéroclite de systèmes IAM dans le paysage.
Avant de pouvoir passer à l’authentification sans mot de passe, de nombreuses entreprises constatent qu’elles doivent d’abord mettre en place une infrastructure d’identité intégrée qui rassemble toutes les ressources au sein d’un workflow d’identité commun. Bien qu’une telle infrastructure d’identité holistique soit aujourd’hui considérée comme une bonne pratique en matière de sécurité des identités, sa mise en place nécessite du temps, de l’argent, des outils et une expertise particulière.
L’inscription des utilisateurs au processus d’authentification sans mot de passe peut également poser des difficultés, selon les types d’identifiants que l’entreprise souhaite prendre en charge. Les clés d’accès et les applications d’authentification sont relativement simples, mais les clés de sécurité matérielles et la biométrie peuvent s’avérer plus complexes.
Les facteurs d’authentification sans mot de passe sont moins susceptibles de nécessiter une réinitialisation. Mais lorsque c’est le cas, le processus peut s’avérer difficile.
Par exemple, le remplacement d’une clé matérielle perdue engendre des coûts et nécessite une distribution physique à l’utilisateur. Les données biométriques volées ne peuvent pas être modifiées. La perte ou le vol d’un smartphone contenant une application d’authentification peut permettre à un acteur de la menace d’accéder à l’ensemble de la vie numérique d’un utilisateur.
Bien que les méthodes d’authentification sans mot de passe soient plus difficiles à pirater, elles restent vulnérables à certaines attaques sophistiquées.
Par exemple, des techniques de type « homme du milieu » suffisamment avancées peuvent intercepter les OTP avant qu’ils ne soient saisis sur le véritable site Web et avant leur expiration, permettant ainsi aux pirates informatiques de les utiliser avant les utilisateurs légitimes. Les techniques d’usurpation de carte SIM ( ou « SIM swapping »), dans lesquelles des escrocs se font passer pour une victime et convainquent son opérateur télécom de transférer son numéro vers un téléphone qu’ils contrôlent, permettent également aux cybercriminels d’intercepter des OTP, des notifications push, des liens magiques et d’autres facteurs d’authentification courants.