Microsoft étend les options de connexion sans mot de passe, déjà disponibles pour les entreprises clientes qui utilisent Azure Active Directory (AAD), aux comptes Microsoft grand public sur les PC Windows 10 et Windows 11.
« Nous étendons cette technologie sans mot de passe que nous avions proposée aux entreprises plus tôt cette année aux consommateurs. C’est simple à mettre en place. Si vous avez un compte Microsoft, vous pouvez utiliser l’Authenticator et, en quelques étapes, vous n’aurez plus besoin de mot de passe », explique Vasu Jakkal, vice-président de la division Sécurité, conformité, identité et gestion de Microsoft.
Ouverture au grand public
Les utilisateurs choisissent souvent de mauvais mots de passe parce qu’ils sont faciles à retenir et ces mots de passe sont sujets aux attaques de type Password Spraying, où les pirates utilisent une liste de mots de passe courants contre des comptes en ligne en sachant que certaines personnes les auront utilisés.
Mais cela signifie-t-il la mort du mot de passe ? Les normes OAuth et FIDO2 contribuent à faciliter l’utilisation des smartphones comme options d’authentification à deux ou plusieurs facteurs (2FA, MFA).
Mais même pour un géant du logiciel comme Microsoft, qui a plus d’un milliard de PC en service aujourd’hui, la résolution du problème des mots de passe nécessite le soutien de l’ensemble du secteur, y compris les fabricants de systèmes d’exploitation, de navigateurs et les développeurs d’applications. Les PC Windows et les comptes Microsoft pour les applications Microsoft, comme Office. OneDrive et Outlook, constituent une partie de la réponse, mais pas la totalité.
Néanmoins, M. Jakkal insiste sur le fait que Microsoft fait des progrès.
« Près de 100 % de nos employés sont sans mot de passe. Nous utilisons Windows Hello et la biométrie. Microsoft compte déjà 200 millions de clients n’utilisant plus de mots de passe, tant chez les particuliers que dans les entreprises », déclare M. Jakkal.
Déploiement progressif
Pour le moment, l’option de connexion sans mot de passe ne concerne que les comptes Microsoft, mais elle s’étendra aux applications Microsoft sur iOS, Android et Windows.
S’il n’est pas si courant d’utiliser des comptes Microsoft pour se connecter à des applications tierces, il est plus probable que les personnes possédant un compte Microsoft utilisent des applications Office en ligne comme Teams, PowerPoint, Excel, Word ou SharePoint.
L’application Microsoft Authenticator pour iOS et Android offrira désormais aux clients la possibilité de se connecter sans mot de passe aux applications prises en charge et qui s’appuient sur un compte Microsoft.
Les applications Microsoft qui nécessitent encore un mot de passe sont les suivantes :
- Xbox 360 ou antérieure
- Office 2010 ou version antérieure
- Office for Mac 2011 ou version antérieure
- Produits et services qui utilisent les services de messagerie IMAP et POP
- Windows 7, Windows 8.1, Windows 10 1809 ou antérieur.
-
Certaines fonctionnalités de Windows, notamment Remote Desktop et Credential Manager
Bataille de norme
L’effort en ce sens a été initié depuis plusieurs années chez Microsoft et a nécessité le développement de spécifications pour la FIDO, l’organisation qui dirige l’authentification à deux facteurs et les normes sans mot de passe, explique Alex Simons, vice-président de Microsoft Identity, à ZDNet.
« Il s’agissait d’une modification du protocole Windows Hello que nous avions initialement créé pour l’usage de Microsoft. Google et Microsoft l’ont soumis ensemble par le biais de la FIDO et, au fil du temps, nous avons effectué un certain nombre de travaux et nous avons aujourd’hui ce que nous connaissons sous le nom de WebAuthn et toutes les normes qui rendent FIDO2 possible. »
M. Simons explique que le support de la connexion sans mot de passe avec les comptes Microsoft grand public signifie que les utilisateurs finaux pourront se débarrasser complètement des mots de passe comme option de connexion. Cela permet d’écarter les menaces d’attaques de type password spraying pour les comptes Microsoft et d’encourager les consommateurs à utiliser d’autres méthodes de connexion pour accéder aux comptes Microsoft.
« Pour la première fois, nous donnons aux utilisateurs de comptes Microsoft non seulement la possibilité d’utiliser l’authentification sans mot de passe, dont ils disposent depuis des années, mais aussi la possibilité de supprimer complètement leurs mots de passe. Vous pouvez donc bloquer l’authentification par mot de passe et forcer l’utilisation d’un facteur sans mot de passe, qu’il s’agisse de Windows Hello, d’une clé FIDO2 de partenaires comme YubiKey ou de l’application Authenticator », explique M. Simons.
« Nous faisons également pression sur Apple et Google pour qu’ils prennent en charge la norme de manière native », ajoute-t-il.
Source : « ZDNet.com »
