C’est un sujet récurent mais je me demande si ces braves
gens de Google ne racontent pas des bêtises pour se faire un peu de publicité.
Il n’y a pas trente six solutions pour remplacer les mots de
passe : des dispositifs électroniques chez l’utilisateur, des « SMS »
et la biométrie. Faisons le point avant l’aller au bistro.
Dispositifs électroniques
Ils peuvent prendre différentes formes, une carte à puce, un
dispositif sans contact, des tokens,… On parle même de tatouage sur la peau (c'est-à-dire
de « greffer » une puce sans contact sous la peau).
Vous ne savez pas ce que sont des tokens ? Ce sont des
petits boitiers où s’affiche un numéro (propre à chaque utilisateur) qui change
périodiquement. Seul le serveur distant connaît l’algorithme qui permet de
calculer ce chiffre et donc vérifier que le type qui le saisit sur un clavier a
bien le token à côté de lui.
On ne peut pas avoir un dispositif matériel pour chacun des
services qu’on utilise. J’ai un token pour les serveurs du bureau, je n’en veux
pas plus. On ne peut pas utiliser un service central pour l’authentification :
il prendrait trop de poids dans la vie économique.
En outre, les inconvénients en cas de perte seraient
catastrophiques.
Des « SMS »
Je mets bien des guillemets autour de SMS, on peut imaginer
autre chose… Toujours est-il que ça revient un peu à mon token ci-dessus. Le
serveur distant envoie un code par SMS. Si l’utilisateur le saisit, le serveur
a donc la confirmation que c’est bien le possesseur du téléphone qui le fait.
La solution me plait bien mais elle est probablement trop
lourde pour une utilisation au quotidien. Les pertes de téléphone ou pannes de
batteries,… deviendraient pénalisante et il deviendrait presque impossible de
changer de numéro de téléphone.
La biométrie
On sait ce que c’est ! Les empreintes digitales, l’iris
et tout ça. Il y a même des systèmes très perfectionnés qui peuvent par exemple
vérifier la position des doigts sur les claviers…
Il n’empêche qu’il y a nécessairement un dispositif
électronique qui lit votre « empreinte » et qui la traduit dans un
signal électronique (vous savez, les suites de 0 et de 1). Quel que soit le
système, le signal peut être imité, piraté… à moins de mettre des dispositifs
matériels hors de prix. Et encore…
Qu’est-ce qu’on fait une fois que votre iris est piraté ?
Un code confidentiel piraté, ça se change…
Enfin, on verrait des abrutis qui arracheraient les yeux,
les doigts, les couilles pour essayer de pirater un truc.
La double authentification
C’est un peu ce que propose Google. Je n’ai jamais utilisé
leur truc mais ils permettent de cumuler le mot de passe et le « SMS »,
si ma mémoire est bonne.
D'ailleurs, la saisie du mot de passe est nécessaire en plus des autres machins, en cas de vol...
D'ailleurs, la saisie du mot de passe est nécessaire en plus des autres machins, en cas de vol...
C’est peut-être la voie du futur !
Il n'empêche que l'idée de remplacer un mot de passe par un machin qui nécessite un mot de passe pour le protéger est assez drôle.
Il n'empêche que l'idée de remplacer un mot de passe par un machin qui nécessite un mot de passe pour le protéger est assez drôle.
