L’usurpation d’identité, qui touche aussi bien les individus dans un cadre personnel que dans un cadre professionnel, est une menace dont l’impact croit à mesure que le numérique se développe dans nos vies. Si l’usurpation d’identité n’est pas née avec l’informatique, c’est bien celle-ci qui a contribué à son expansion : d’une part, de plus en plus de démarches administratives sont réalisées en ligne, d’autre part, nos échanges personnels et nos données confidentielles ne sont bien souvent que peu protégés. Il existe néanmoins des façons de s’en prémunir, notamment pour les entreprises pour lesquelles l’impact d’une usurpation d’identité d’une personne clé de l’organisation est potentiellement dévastatrice. En plus d’accéder à des informations confidentielles, l’utilisateur illégitime peut en effet, dans certains cas, réaliser des actions nuisibles pour le système d’information et donc pour l’entreprise dans son ensemble.
L’authentification forte comme préalable
Lorsqu’il est question de se prémunir de toute tentative d’usurpation d’identité, l’authentification forte apparait bien souvent comme un préalable indispensable pour les entreprises. Elle consiste en une identification de l’utilisateur sur son poste de travail via au moins deux facteurs d’identifications distincts, tel qu’un mot de passe et une empreinte digitale ou un code PIN et une carte à puce.
Si l’utilisation d’un simple mot de passe n’est en effet pas suffisante, le lier à un deuxième facteur d’authentification (« ce que l’on est » tel qu’une empreinte digitale ou « ce que l’on a » tel qu’une carte à puce) permet de réduire drastiquement les risques d’usurpation d’identité dès lors que l’utilisateur légitime n’est pas déjà connecté à son poste de travail.
L’authentification forte est donc indispensable mais ne protège pas de tout risque d’usurpation d’identité : que faire si l’utilisateur illégitime prend possession du poste de travail après que l’utilisateur légitime se soit connecté et absenté momentanément sans verrouiller sa session ? Ou si l’utilisateur illégitime a réussi, malgré le mécanisme d’authentification forte, à déverrouiller la session ? S’il est effectivement plus difficile de voler à la fois un mot de passe et une carte à puce, cela reste possible, via des techniques d’ingénierie sociale ou s’il s’agit d’un hacker chevronné.
L’authentification continue pour mettre un terme définitif à l’usurpation d’identité
Si l’authentification forte permet de limiter la probabilité d’usurpation d’identité, l’usurpation d’identité reste possible (même si le risque est drastiquement réduit). Pour faire face aux derniers risques existants et stopper toute usurpation d’identité, le déploiement d’un mécanisme d’authentification continue, une authentification permanente de l’utilisateur en fonction de son comportement sur son poste de travail, s’avère être la solution la plus efficace. L’authentification continue permet en effet d’annihiler toute tentative d’usurpation d’identité, même lorsque l’utilisateur illégitime est déjà connecté à la session de l’utilisateur légitime et même s’il a tous les codes et autres moyens d’accès en sa possession.
Neomia Pulse, solution SaaS d’authentification continue qui se base sur la biométrie comportementale (ensemble des techniques permettant d’identifier une personne en fonction de son comportement) et rend donc impossible pour un utilisateur illégitime de reproduire à l’identique le comportement de l’utilisateur légitime (tel que la manière dont celui-ci utilise la souris ou frappe au clavier). Toute usurpation d’identité d’une session disposant de mécanisme d’authentification continue se traduira alors par une fermeture automatique de session.