« Il y a une appli pour ça » est devenu une réalité, et non plus seulement un slogan marketing accrocheur. Selon une compilation de statistiques sur les applications mobiles, une personne possède désormais en moyenne plus de 80 applications installées sur son téléphone. Cette même personne utilise en moyenne neuf de ces applications chaque jour et trente au cours d’un mois.
En raison d’un appétit insatiable pour les données et d’un besoin de mieux cerner les habitudes des consommateurs, la plupart de ces applications nécessitent probablement un compte. Qu’il soit lié à un compte de réseau social ou indépendant, la plupart des applications incitent à s’inscrire afin d’accéder aux fonctionnalités les plus utiles ou intéressantes, comme partager le niveau de Candy Crush auquel vous êtes bloqué aujourd’hui.
Ces applications incluent sans aucun doute les réseaux sociaux. Selon d’autres données encore (probablement extraites des applications elles-mêmes), nous possédions en moyenne 8,5 comptes sur les réseaux sociaux en 2018. C’est presque deux fois plus que la moyenne de 4,8 observée en 2014.
C’est là que les choses deviennent intéressantes. En 2018, le nombre moyen de comptes de messagerie par internaute était de 1,8 ou de 2,5, selon que l’on se réfère aux données de Radicati ou de la DMA, respectivement. Dans les deux cas, le nombre d’adresses e-mail par utilisateur est nettement inférieur au nombre de comptes sur les réseaux sociaux et d’applications utilisés quotidiennement ou mensuellement.
Ce qui est logique. En général, nous n’associons pas chaque compte sur les réseaux sociaux à une adresse e-mail distincte. Nous sommes devenus aussi attachés à nos adresses e-mail qu’à nos téléphones : l’étude de la DMA a révélé que 51 % des personnes utilisent la même adresse e-mail depuis plus de 10 ans. Cela ne me surprend guère. J’utilise la même adresse e-mail personnelle depuis plus de 20 ans, et mon adresse professionnelle depuis bientôt 13 ans.
Vous imaginez bien que ces deux adresses e-mail sont associées à un nombre d’applications et de comptes sur les réseaux sociaux bien supérieur à la moyenne.
Autre fait peu surprenant : le nombre de fois où mon adresse e-mail personnelle s’est retrouvée sur une liste d’adresses compromises à la suite d’une fuite de données. Cela s’est produit très souvent. Au vu des statistiques, je pense que la plupart des gens peuvent en dire autant. Et si l’on extrapole sur quatre années supplémentaires la croissance presque linéaire du nombre de comptes sur les réseaux sociaux, il est probable que ce chiffre augmentera en même temps que le nombre de cibles potentielles.
Maintenant, réfléchissez-y, puis prenez en compte les conclusions suivantes de LastPass, fournisseur de solutions de gestion des mots de passe:
- 43 % des 30 principaux domaines utilisés par les employés correspondent également à des applications grand public populaires (comme Dropbox, par exemple)
- 50 % des personnes n’utilisent pas de mots de passe différents pour leurs comptes personnels et professionnels
Si cela vous inquiète, attendez, ce n’est pas tout. La même étude a révélé qu’un employé partageait en moyenne 6 mots de passe. Soit six mots de passe partagés avec ses collègues.
Respirez profondément, expert en sécurité.
Malgré les formations et les rappels incessants selon lesquels la sécurité est l’affaire de tous, non seulement la frontière entre usages professionnels et personnels est régulièrement franchie, mais les pratiques de sécurité les plus élémentaires sont totalement négligées en matière d’applications et de mots de passe. Le rapport d’enquête de Verizon sur les violations de données a révélé que plus de 70 % des employés réutilisent leurs mots de passe au travail.
C’est pourquoi il est important que les organisations prennent conscience de la nécessité de mieux protéger leurs propres actifs et mettent en place les mesures nécessaires. Des actifs d’entreprise auxquels on accède généralement au moyen de l’une des 2,5 adresses e-mail. L’authentification multifacteur (MFA) et la mise en place d’exigences relatives à la complexité des mots de passe comptent parmi les meilleures protections contre les attaquants qui tentent d’accéder facilement, par force brute, à de précieuses sources de données. C’est également l’une des meilleures protections contre le partage des mots de passe, car la MFA va encore plus loin et exige une étape supplémentaire que la plupart des collègues ne peuvent pas effectuer.
Chaque compte exposé et chaque application intégrée à l’environnement de l’entreprise augmentent les risques. Risques liés aux employés qui partagent leurs mots de passe, aux adresses e-mail statiques associées à plusieurs mots de passe, ainsi qu’aux attaquants qui connaissent toutes ces statistiques et savent comment les exploiter au mieux.
L’authentification multifacteur n’est pas une solution miracle, mais elle constitue un bon point de départ pour faire face à un risque qui ne fera que croître avec le nombre d’applications présentes sur nos téléphones et utilisées dans les sphères personnelle et professionnelle.
| Si vous utilisez déjà BIG-IP APM, découvrez les options suivantes pour ajouter l’authentification multifacteur (MFA) à votre processus d’authentification : |
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.