Passkeys d'entreprise pour une authentification sans mot de passe sécurisée

Les mots de passe restent un risque majeur pour les systèmes d'entreprise. Les passkeys d'entreprise remplacent les secrets réutilisables par des identifiants protégés par un appareil approuvé ou une clé de sécurité. Elles réduisent les risques de phishing et de réutilisation des mots de passe tout en offrant aux collaborateurs une connexion plus rapide. L'IT peut les déployer sans remplacer l'ensemble de l'infrastructure d'authentification.

Qu'est-ce qu'une passkey d'entreprise ?

Une passkey est un identifiant FIDO2/WebAuthn basé sur la cryptographie à clé publique. Le service stocke une clé publique, tandis que la clé privée reste protégée par un appareil, un gestionnaire d'identifiants ou une clé de sécurité, et signe les challenges de connexion sans être transmise.

Les passkeys peuvent être liées à un appareil ou synchronisées entre appareils de confiance. Les passkeys pour l'entreprise placent cette technologie sous contrôle organisationnel, y compris les règles d'inscription, de récupération et de révocation.

Comment les passkeys d'entreprise sécurisent l'accès professionnel

Les attaques par mot de passe reposent sur l'obtention d'un secret réutilisable. Les passkeys suppriment ce secret. L'authentificateur ne signe les requêtes que pour le service légitime, de sorte qu'un domaine frauduleux ne peut pas obtenir de signature valide pour celui-ci.

Pour une entreprise, cela réduit plusieurs risques courants :

• Les collaborateurs ne peuvent ni réutiliser ni divulguer des mots de passe qu'ils n'ont plus

• Un service compromis stocke une clé publique plutôt qu'un secret réutilisable

• Les codes PIN locaux et la biométrie vérifient l'utilisateur sans être envoyés au service

• Les identifiants perdus peuvent être révoqués et remplacés via un processus contrôlé

• Les réinitialisations de mot de passe et la charge de support associée peuvent être réduites

Passkeys d'entreprise face aux mots de passe et à la MFA traditionnelle

La MFA traditionnelle regroupe de nombreuses méthodes. Les SMS, TOTP et certains flux push restent vulnérables au phishing, tandis que les clés de sécurité FIDO2 offrent une protection résistante au phishing comparable aux passkeys.

Comment fonctionnent les passkeys d'entreprise

Lors de l'inscription, un authentificateur approuvé crée une paire de clés pour l'application ou le fournisseur d'identité. La clé publique est enregistrée auprès du service, tandis que la clé privée reste protégée par l'authentificateur.

Lors de la connexion, le service envoie un challenge. Après vérification locale de l'utilisateur, l'authentificateur le signe. Le service vérifie la signature à l'aide de la clé publique et accorde l'accès lorsque les exigences de la politique sont respectées. Les données biométriques restent sur l'appareil.

Les applications doivent prendre en charge WebAuthn directement ou s'appuyer sur un fournisseur d'identité compatible via le SSO. Les passkeys ne fonctionnent pas automatiquement avec toutes les applications sans intégration appropriée.

Comment déployer les passkeys dans toute votre entreprise

Un déploiement de passkeys pour des environnements d'entreprise doit suivre un processus contrôlé :

1. Identifiez les applications qui prennent en charge FIDO2/WebAuthn directement ou via le SSO.

2. Sélectionnez des authentificateurs approuvés, tels que des appareils gérés ou des clés FIDO2 externes.

3. Définissez les politiques d'inscription, de récupération, de révocation et de secours.

4. Menez un pilote avec un groupe représentatif et testez la récupération en cas de perte d'appareil.

5. Connectez les passkeys aux utilisateurs et applications éligibles via le fournisseur d'identité.

6. Étendez le déploiement par service ou niveau de risque.

7. Examinez les solutions de repli par mot de passe et OTP susceptibles d'affaiblir la résistance au phishing.

8. Surveillez les événements d'inscription, d'authentification, de récupération et d'accès.

Passkeys d'entreprise pour l'authentification des collaborateurs

Les passkeys pour l'entreprise peuvent prendre en charge plusieurs scénarios liés aux collaborateurs :

• Collaborateurs à distance. Les utilisateurs peuvent s'authentifier depuis des appareils approuvés sans envoyer de mots de passe.

• Postes de travail partagés. Les collaborateurs peuvent utiliser des clés de sécurité portables ou des passkeys multi-appareils au lieu d'un mot de passe partagé.

• Utilisateurs privilégiés. Des passkeys liées à un appareil ou des clés de sécurité protègent les comptes sensibles.

• Prestataires. Les identifiants associés à des identités gérées peuvent être révoqués lorsque l'accès n'est plus nécessaire.

• Lieux de travail restreints. Les clés matérielles conviennent aux sites où les téléphones personnels sont interdits.

• Applications cloud. Une seule connexion par passkey à un fournisseur d'identité peut ouvrir les services approuvés via le SSO.

Ces scénarios font des passkeys un élément de la gestion des accès des collaborateurs, incluant les contrôles de cycle de vie, l'accès aux applications et la visibilité d'audit.

Comment les passkeys d'entreprise s'intègrent à votre pile d'identité existante

Les passkeys n'obligent pas nécessairement une organisation à reconstruire son environnement IAM. La compatibilité dépend du fournisseur d'identité, des applications, des appareils et des protocoles déjà en place.

De nombreux fournisseurs d'identité prennent en charge FIDO2/WebAuthn. Un utilisateur peut s'authentifier avec une passkey et ouvrir des applications autorisées via l'authentification unique sans mot de passe. SAML 2.0 ou OpenID Connect permet aux applications de faire confiance à ce résultat.

Les passkeys peuvent coexister avec la MFA existante et peuvent satisfaire les exigences de MFA lorsque la possession est combinée à une vérification locale de l'utilisateur. Elles fonctionnent également dans les scénarios Microsoft Entra ID pris en charge.

Les applications peuvent prendre en charge WebAuthn directement ou recevoir des identités via le SSO. Les systèmes existants peuvent nécessiter une passerelle. Les annuaires et les affectations de groupes existants peuvent souvent être conservés, sous réserve de compatibilité et de planification de la récupération.

Pourquoi choisir Hideez pour les passkeys d'entreprise ?

Hideez intègre les passkeys dans une plateforme d'identité des collaborateurs. Hideez Server centralise les utilisateurs, les intégrations, les politiques d'authentification et la visibilité d'audit, avec un déploiement cloud, cloud privé ou on-premise.

Les collaborateurs peuvent utiliser des méthodes d'appareil approuvées ou des clés de sécurité certifiées FIDO. Hideez prend également en charge le SSO, l'authentification mobile, l'accès Windows et les applications web existantes compatibles. Les organisations qui déploient des passkeys pour des environnements d'entreprise peuvent ainsi conserver les méthodes encore requises par leurs systèmes existants.

FAQ

Qu'est-ce qu'une passkey d'entreprise ?

Les passkeys d'entreprise sont des identifiants FIDO2/WebAuthn utilisés pour l'authentification des collaborateurs selon les politiques de l'entreprise. Elles remplacent les mots de passe par la cryptographie à clé publique et peuvent être gérées via une plateforme d'identité compatible.

Les passkeys sont-elles sûres pour les entreprises ?

Oui, avec des politiques appropriées d'inscription, de récupération et de révocation. Les passkeys suppriment les mots de passe réutilisables et maintiennent les opérations de clé privée au sein d'un authentificateur approuvé.

Les passkeys d'entreprise résistent-elles au phishing ?

Oui. L'authentification FIDO2/WebAuthn est liée au site web ou au service légitime, de sorte qu'un domaine frauduleux ne peut pas obtenir de signature valide pour le service authentique.

Les passkeys d'entreprise peuvent-elles fonctionner avec le SSO et les fournisseurs d'identité existants ?

Oui, si le fournisseur prend en charge FIDO2/WebAuthn ou une intégration compatible. L'utilisateur s'authentifie avec une passkey, et le SSO donne accès aux applications autorisées.

Les collaborateurs à distance peuvent-ils utiliser des passkeys ?

Oui. Les collaborateurs à distance peuvent utiliser des passkeys de plateforme, une authentification multi-appareils ou des clés de sécurité approuvées. Leur localisation ne modifie pas le processus cryptographique.

Les passkeys conviennent-elles aux petites et grandes entreprises ?

Oui. Les passkeys pour l'entreprise peuvent protéger quelques comptes critiques ou l'ensemble des collaborateurs. Les politiques doivent correspondre à la taille et au profil de risque de l'organisation.