Le segment de la double authentification dans l’industrie de la sécurité des services en ligne: acteurs clés, réalités et enjeux.

En termes d’implémentations, nous sommes encore à un stade précoce de la pratique de la double authentification (authentification à deux étapes) ; en effet seuls les grands noms de l’industrie du numérique s’y mettent progressivement. Il s’agit en l’occurrence de Google, Paypal, Twitter, Steam, Dropbox, Tumblr, Evernote et bien autres qui ont déjà implémenté le système de la double authentification.

Il s’agit avec ce mécanisme, de vérifier l’identité d'une personne se connectant à son compte d’un service ou application web tiers à partir de son PC ou avec un mobile. C'est-à-dire que lors d’une connexion à partir d’un nouvel ordinateur ou d’une autre adresse IP, un code de sécurité de 6 chiffres est envoyé via SMS à votre téléphone.

 Ce code est exigé par le logiciel d’authentification pour accéder aux services sollicités.

Il n’existe pas de sécurité, ni de mécanisme de sécurité à 100%, mais c’est une approche qui permet de limiter efficacement les actions des robots logiciels et les usurpations de comptes.

Dans un environnement de plus en plus orienté mobile-driven, Data-driven et cloud computing-driven, de tels mécanismes de sécurité sont recommandés par Connectikpeople.co bientôt Retinknow®.

Dans le cadre de notre engagement international, Connectikpeople.co bientôt Retinknow® salue les prouesses de Google Authenticator qui implémente l'algorithme de mot de passe unique définie dans l'IETF RFC 6238, et l’algorithme de génération de mot de passe unique basé sur HMAC défini dans l'IETF RFC 4226.

Cette semaine, la société Duo Security a présenté une faille dans le système de double authentification mis en place par Paypal. 

Duo Security  est parvenu à contourner cette protection, en se connectant à un compte pourtant protégé par la double authentification sans avoir à confirmer son identité via le code de sécurité.

Ayant constaté que la vérification via application mobile Paypal, ne s’effectuait que du côté client (l’application), donc pas confirmée du côté serveur. Duo Security   a modifié les données transférées par l’application lors de l’authentification.

Résultats, l’équipe de Duo Security  est parvenue à se connecter sur un compte utilisant pourtant la double authentification simplement avec le mot de passe et l’identifiant de l’utilisateur.

Connectikpeople.co bientôt Retinknow®, salue la transparence de Duo Security  et la promptitude  de Paypal, en mettant entre autres en place un correctif temporaire pour pallier cette vulnérabilité, en attendant une véritable mise à jour définitive corrigeant le

problème , annoncée pour le 28 juillet 2014.