Pourquoi un code confidentiel est-il préférable à un mot de passe en ligne ?

WindowsHello dans Windows10 permet aux utilisateurs de se connecter à leur appareil à l’aide d’un code confidentiel. En quoi un code confidentiel est-il différent (et supérieur) d’un mot de passe local ? À première vue, un code confidentiel ressemble beaucoup à un mot de passe. Un code confidentiel peut être un ensemble de chiffres, mais la stratégie d’entreprise peut autoriser des codes confidentiels complexes qui incluent des caractères spéciaux et des lettres, aussi bien majuscules que minuscules. Quelque chose comme t758A! pourrait être un mot de passe de compte ou un code confidentiel Hello complexe. Ce n’est pas la structure d’un code confidentiel (longueur, complexité) qui le rend meilleur qu’un mot de passe en ligne, mais bien son fonctionnement. Tout d’abord, nous devons faire la distinction entre deux types de mots de passe : local les mots de passe sont validés par rapport au magasin de mots de passe de l’ordinateur, tandis que les online mots de passe sont validés sur un serveur. Cet article couvre principalement les avantages d’un code confidentiel par rapport à un mot de passe en ligne, ainsi que la raison pour laquelle il peut être considéré encore mieux qu’un mot de passe local.

Regardez Dana Huang expliquer pourquoi un code pin Windows Hello Entreprise est plus sécurisé qu’un mot de passe en ligne.

Le code confidentiel est lié à l’appareil

Une différence importante entre un mot de passe en ligne et un code confidentiel Hello est que le code confidentiel est lié à l’appareil spécifique sur lequel il a été configuré. Ce code confidentiel est parfaitement inutile sans ce matériel spécifique. Une personne qui vole votre mot de passe en ligne peut se connecter à votre compte à partir de n’importe où, mais si elle vole votre code confidentiel, elle devra également voler votre appareil physique !

Même vous, vous ne pouvez pas utiliser ce code confidentiel ailleurs que sur cet appareil spécifique. Si vous voulez vous connecter sur plusieurs appareils, vous devez configurer Hello sur chaque appareil.

Le code confidentiel est local à l’appareil

Un mot de passe en ligne est transmis au serveur : il peut être intercepté en transmission ou volé à partir d’un serveur. Un code confidentiel est local à l’appareil: il n’est transmis nulle part et n’est pas stocké sur le serveur. Quand le code confidentiel est créé, il établit une relation de confiance avec le fournisseur d’identité et crée une paire de clés asymétriques utilisée pour l’authentification. Lorsque vous entrez votre code confidentiel, celui-ci déverrouille la clé d’authentification et l’utilise pour signer la demande qui est envoyée au serveur d’authentification. Toutefois, notez que même si les mots de passe locaux sont également locaux pour l’appareil, ils sont toujours moins sécurisés qu’un code confidentiel, comme décrit dans la section suivante.

Notes

Pour plus d’informations sur la manière dont Hello utilise des paires de clés asymétriques pour l’authentification, voir WindowsHelloEntreprise.

Le code confidentiel PIN est renforcé par le matériel

Le code confidentiel Hello est renforcé par une puce de module de plateforme sécurisée (TPM), qui est un processeur de chiffrement sécurisé conçu pour effectuer des opérations de chiffrement. La puce comprend plusieurs mécanismes de sécurité physique qui la protègent contre la falsification, et les logiciels malveillants ne peuvent pas falsifier les fonctions de sécurité du TPM. De nombreux appareils modernes ont un module TPM. Windows 10, d’autre part, a un défaut de ne pas lier les mots de passe locaux au module de plateforme sécurisée. C’est la raison pour laquelle les codes confidentiels sont considérés comme plus sécurisés que les mots de passe locaux.

Le matériel clé de l’utilisateur est généré et disponible dans le TPM de l’appareil de l’utilisateur, qui le protège contre les personnes malveillantes qui souhaitent s’emparer de ce matériel et le réutiliser. Étant donné que Hello utilise des paires de clés asymétriques, les informations d’identification des utilisateurs ne peuvent pas être volées dans les cas où le fournisseur d’identité ou les sites web auxquels l’utilisateur accède ont été compromis.

Le TPM offre une protection contre diverses attaques connues et potentielles, notamment les attaques par force brute du code confidentiel. Après un trop grand nombre de tentatives infructueuses, l’appareil est verrouillé.

Le code confidentiel peut être complexe

Le code confidentiel WindowsHelloEntreprise est soumis au même ensemble de stratégies de gestion informatique qu’un mot de passe: complexité, longueur, expiration, historique, etc. Bien que le code confidentiel évoque généralement un simple code à 4chiffres, les administrateurs peuvent définir des stratégies afin que les appareils gérés nécessitent une complexité de code confidentiel similaire à celle d’un mot de passe. Vous pouvez imposer ou interdire les caractères spéciaux, les majuscules, les minuscules et les chiffres.

Que se passe-t-il si quelqu’un vole l’ordinateur portable ou le téléphone?

Pour compromettre une Windows Hello informations d’identification que le module de plateforme sécurisée protège, une personne malveillante doit avoir accès à l’appareil physique, puis trouver un moyen d’usurper la biométrie de l’utilisateur ou de deviner son code confidentiel, et tout cela doit être fait avant que la protection anti-marteau TPM verrouille l’appareil. Vous pouvez fournir une protection supplémentaire pour les ordinateurs portables qui ne sont pas dotés d’un TPM en activant BitLocker et en définissant une stratégie pour limiter les échecs de connexion.

Configurer BitLocker sans TPM

  1. Utilisez l’Éditeur d’objets de stratégie de groupe (gpedit.msc) pour activer la stratégie suivante:

    Configuration ordinateur > Modèles d’administration > Composants Windows > Chiffrement de lecteur BitLocker > Lecteurs du système d’exploitation > Demander une authentification supplémentaire au démarrage

  2. Dans l’option de stratégie, sélectionnez Autoriser BitLocker sans un module de plateforme sécurisée compatible, puis cliquez sur OK.

  3. Accédez à Panneau de configuration> Système et sécurité> Chiffrement de lecteur BitLocker, puis sélectionnez le lecteur de système d’exploitation à protéger.

Définir le seuil de verrouillage du compte

  1. Utilisez l’Éditeur d’objets de stratégie de groupe (gpedit.msc) pour activer la stratégie suivante:

    Configuration ordinateur > Paramètres Windows> Paramètres de sécurité > Stratégies de comptes > Stratégie de verrouillage du compte > Seuil de verrouillage du compte

  2. Définissez le nombre de tentatives d’ouverture de session non valides à autoriser, puis cliquez sur OK.

Pourquoi un code confidentiel est-il nécessaire pour utiliser la biométrie?

WindowsHello active la fonction de connexion biométrique de Windows10: reconnaissance des empreintes digitales, de l’iris ou du visage. Lorsque vous configurez Windows Hello, vous êtes invité à créer d’abord un code confidentiel. Ce code confidentiel vous permet de vous connecter à l’aide du code confidentiel lorsque vous ne pouvez pas utiliser la biométrie de votre choix en raison d’une blessure ou parce que le capteur n’est pas disponible ou ne fonctionne pas correctement.

Si vous n’avez configuré qu’une méthode de connexion biométrique et n’êtes pas en mesure de l’utiliser pour quelque raison que ce soit, vous devez vous connecter à l’aide de votre compte et de votre mot de passe, qui n’offrent pas le même niveau de protection que Hello.