L’茅poque o霉 les employ茅s s’installaient sur leur poste de travail et interagissaient exclusivement avec des applications natives est r茅volue mais pas oubli茅e : l’h茅ritage des mots de passe uniques pour les services/applications persiste, aggravant les frustrations des administrateurs informatiques et des utilisateurs.
C’est particuli猫rement vrai avec les infrastructures en nuage, o霉 l’exposition des informations d’identification sur le r茅seau et la possibilit茅 d’une multitude de mots de passe faibles entravent la productivit茅 des utilisateurs et augmentent les risques. Il existe une meilleure solution : l’authentification unique (SSO).
Qu’est-ce que l’authentification unique (SSO) ?
Le SSO est une solution que de nombreuses grandes entreprises ont adopt茅e pour moderniser l’authentification et la gestion des identit茅s, ainsi que pour faciliter l’entr茅e et la sortie des employ茅s. Un mot de passe unique et s茅curis茅 est utilis茅 au d茅part, mais les choses commencent ensuite 脿 fonctionner tr猫s diff茅remment.
Le SSO utilise SAML, un m茅canisme qui partage les identit茅s entre les organisations et les applications. SAML n’envoie pas de mots de passe sur le web 脿 chaque connexion ; il utilise plut么t un syst猫me de jetons s茅curis茅s, ce qui r茅duit les risques de s茅curit茅 lorsqu’il est correctement mis en 艙uvre. En d’autres termes, un avenir 芦 sans mot de passe 禄 avec des normes d’authentification modernes comme SAML et OAuth devrait figurer sur votre feuille de route.
Vous vous demandez peut-锚tre pourquoi l’adoption du SSO n’est pas universelle. La r茅ponse est compliqu茅e : de nombreuses petites et moyennes entreprises (PME) sont embourb茅es dans des environnements d’annuaire anciens qui utilisent le protocole r茅seau Kerberos pour s茅curiser l’authentification sur les r茅seaux locaux.
Cela fonctionnait bien dans ce sc茅nario 芦 sur site 禄, mais les infrastructures informatiques d’aujourd’hui ne sont pas toutes locales et utiliser des mots de passe pour s’authentifier dans chaque service revient 脿 r茅soudre un probl猫me par un autre. La mentalit茅 de Kerberos, centr茅e sur les mots de passe, est devenue pr茅judiciable 脿 la s茅curit茅, et son utilisation est complexe et risqu茅e dans le cadre de d茅ploiements inter-royaux (c’est-脿-dire que si A fait confiance 脿 B et B 脿 C, A pourrait faire confiance 脿 C).
Vous constaterez 茅galement que cet ancien protocole compliqu茅 est difficile 脿 d茅panner, qu’il est difficile de v茅rifier les garanties de s茅curit茅 et qu’il peut donner lieu 脿 des autorisations d茅l茅gu茅es sans contraintes en aval. Les r茅sultats les plus pernicieux de cette dette technique sont : une gestion difficile des mots de passe, le risque de r茅utilisation des mots de passe et les violations de donn茅es qui exposent ces informations d’identification.
Tous ces 茅l茅ments augmentent vos risques (inacceptables), ce qui rend les violations de donn茅es plus probables. Le SSO est un moyen moderne et simple de r茅soudre tous ces probl猫mes, mais sa mise en place prend du temps.
Franchement, 芦 le SSO est difficile 脿 tester 禄 est un autre refrain courant. Vous ne coderiez pas un site Web sans avoir visionn茅 le produit et effectu茅 des tests avant d’entrer en production. Votre marque, votre r茅putation et la satisfaction des utilisateurs en p芒tiraient, et cela n’a aucun sens. Il en va de m锚me pour le SSO, o霉 :
- Au niveau de l’infrastructure, des informations relatives aux terminaux, 脿 la s茅curit茅 et 脿 la confidentialit茅 sont 茅chang茅es, et
- Au niveau de la 辫谤茅蝉别苍迟补迟颈辞苍, un seul justificatif d’identit茅 est cr茅茅 pour l’exp茅rience d’ouverture de session.
Les ressources d’essai ne sont g茅n茅ralement pas disponibles publiquement ou consistent en des essais limit茅s dans le temps qui peuvent ne pas 锚tre synchronis茅s avec votre calendrier.
N’attendez pas : le SSO doit 锚tre une priorit茅 absolue
Avant de commencer, l’importance du SSO en tant qu’exigence de s茅curit茅 fondamentale n’est pas toujours 茅vidente au premier abord. L’茅crasante majorit茅 des cyberattaques sont des 芦 drive-by 禄 o霉 les attaquants tirent parti d’une mauvaise hygi猫ne informatique, comme des mots de passe faibles.
Ce ne sont g茅n茅ralement pas les menaces persistantes avanc茅es (APT) compliqu茅es qui exposent les donn茅es et les utilisateurs d’une entreprise, mais le fait de ne pas 锚tre proactif et d’adopter des solutions modernes. Ajoutez 脿 cela la difficult茅 de g茅rer un grand nombre d’informations d’identification et d’autorisations d’utilisateurs disparates, ce qui donne des maux de t锚te aux administrateurs informatiques rien que d’y penser. La violation de la s茅curit茅 de Colonial Pipeline en est un exemple et a 茅t茅 la et d’un seul compte dont le service informatique avait perdu la trace.
Des IdP et des ressources de test facilement accessibles vous permettent de 芦 le faire maintenant 禄, plut么t que de reporter 脿 plus tard un projet hautement prioritaire. Une matrice de priorit茅 normalis茅e vous aidera 脿 faire valoir vos arguments en interne, sur la base d’un syst猫me de triage de tous vos projets, avec une compr茅hension mutuelle entre l’informatique et les responsables de niveau C, en tenant compte du budget et de l’urgence.
Une utilisation judicieuse de toutes les capacit茅s de votre IdP, comme le SSO, contribuera grandement 脿 la protection de votre organisation. L’adoption du SSO devrait 锚tre une priorit茅 dans votre 茅valuation de toute plateforme d’annuaire et d’authentification, ce qui est rendu possible par l’utilisation du test gratuit SAML Service Provider (SP).
Il permet d’茅valuer pleinement la solution SSO avant de l’acheter, ce qui renforce votre expertise ainsi que la confidentialit茅, l’int茅grit茅 et la disponibilit茅 des ressources informatiques qui sont vitales pour votre entreprise. Une violation co没te bien plus cher que le SSO. L’utilisation du test SP est simple, et est d茅crite en d茅tail ci-dessous.
Maintenant, passons 脿 l鈥櫭﹖ape du testing.
Le fournisseur de services de test SAML et la s茅lection des fournisseurs
Il y a trois entit茅s 脿 garder 脿 l’esprit lorsque vous d茅marrez votre projet SSO :
- Le fournisseur d’identit茅 (IdP), (c’est-脿-dire un annuaire des utilisateurs et des capacit茅s d’authentification)
- Le fournisseur de services (SP), ou application Web
- Un utilisateur qui a un compte et une identit茅 茅tablis au sein de l’IdP.
Les outils de test sont 茅galement utiles, et un service gratuit appel茅 est disponible gratuitement pour acc茅l茅rer vos efforts en mati猫re de SSO. De nombreux fournisseurs d’identit茅 ne sont pas pr锚ts 脿 fournir un bac 脿 sable 脿 des fins de testing, alors faites preuve de diligence lorsque vous choisissez le v么tre. Il est 茅galement important de tenir compte de la prise en charge du SSO lorsque vous choisissez un fournisseur de services Internet. Les fournisseurs de services peuvent devenir un obstacle 脿 l’adoption du SSO lorsque la tarification exploite votre d茅sir d’adopter les meilleures pratiques de s茅curit茅.
Le SSO n’est pas un luxe, mais une n茅cessit茅 absolue pour les organisations comptant plus de 5 membres. Cependant, des fonctionnalit茅s telles que la prise en charge de SAML sont souvent li茅es 脿 des niveaux de service plus 茅lev茅s au sein des applications Web (茅galement appel茅es plus haut : fournisseurs de services).
C’est ce qu’on appelle officieusement la 芦 禄, qui rend les projets plus difficiles 脿 justifier lorsque les co没ts sont multipli茅s. Utilisez un fournisseur de services qui offre le SSO comme une fonctionnalit茅 de base du produit ; sinon, cette capacit茅 vitale peut 锚tre hors de port茅e du budget de votre organisation.
Un autre point douloureux commun que le fournisseur de services de test abordera est la pr茅paration : SAML fait de la migration une proposition 芦 tout ou rien&苍产蝉辫;禄. Tous les utilisateurs doivent 锚tre authentifi茅s via le SSO d猫s le d茅part. Par cons茅quent, tester votre mise en 艙uvre bien 脿 l’avance portera ses fruits avec une ressource de formation facilement disponible, permettant aux utilisateurs d’obtenir un niveau de confort et de comp茅tence de base avec le processus de connexion au portail avant le basculement.
Mise en route du fournisseur de services de test SAML
Il existe deux fa莽ons d’effectuer vos tests : Le SSO initi茅 par l’IdP et le SSO initi茅 par le SP. Dans cet exemple, 黑料海角91入口 est l’IdP en combinaison avec le fournisseur de tests gratuits.
SSO initi茅 par l’IdP
Les m茅tadonn茅es SAML et IdP :
L’茅tape initiale pour utiliser le fournisseur de services de test est la m茅thode initi茅e par l’IdP. Vous pouvez obtenir les m茅tadonn茅es SAML du SP de test, qui sont . Les m茅tadonn茅es sont des informations qui d茅crivent le service afin que votre IdP puisse le consommer.
Votre IdP disposera d’une interface permettant de cr茅er un g茅n茅rique (remarque : les IdP disposent g茅n茅ralement d’une 产颈产濒颈辞迟丑猫辩耻别 de connecteurs pr茅fabriqu茅s pr锚ts 脿 l’emploi pour les services couramment utilis茅s). Cette 茅tape permettra d’int茅grer votre IdP 脿 l’outil de test SAML avec une configuration par d茅faut.
La possibilit茅 de personnaliser son aspect et sa convivialit茅 est d茅crite . Cependant, il n’est pas n茅cessaire de personnaliser quoi que ce soit pour effectuer des tests fonctionnels de base 脿 l’aide de l’outil gratuit. Voici quelques ressources qui d茅mystifieront le d茅but de ce processus :
SSO initi茅 par le SP
Utilisez les m茅tadonn茅es de votre IdP
L’茅tape des m茅tadonn茅es est un pr茅requis pour le SSO initi茅 par le SP. Vous suivrez une proc茅dure similaire pour le SSO initi茅 par le SP en 迟茅濒茅肠丑补谤驳别补苍迟 (ou en coupant et collant) les m茅tadonn茅es IdP dans l’outil de test. Il en r茅sultera la cr茅ation d’une URL unique que vous utiliserez pour vous connecter tout au long de vos tests.
URL de test
L’URL renvoie 脿 l’IdP, qui s’occupe de la gestion de l’identit茅 et de l’authentification. Les instructions insistent sur la n茅cessit茅 de mettre cette URL en signet et sur le fait que l’acc猫s 脿 celle-ci enverra une demande SAML AuthNRequest 脿 votre IdP, qui est simplement un message envoy茅 par le SP demandant l’authentification de la session d’un utilisateur donn茅.
Le processus d’importation des m茅tadonn茅es IdP doit 锚tre r茅p茅t茅 dans l’outil si vous le perdez, il est donc conseill茅 de le garder 脿 port茅e de main pendant toute la dur茅e du test (ne vous inqui茅tez pas, il y a des instructions d茅taill茅es sur la page Web du service de test). La consid茅ration la plus importante est d’avoir un IdP qui vous permettra d’exp茅rimenter 脿 votre propre rythme.
Fa莽ons d’authentifier le SSO
Le site de test comprend des informations suppl茅mentaires, mais aussi un 芦 AuthNRequest Wizard 禄 qui s’affiche en haut de la page une fois que l’utilisateur s’est authentifi茅. Vous pouvez l’utiliser pour d茅terminer une m茅thode d’authentification sp茅cifique de l’IdP (AuthenticationContextClassRef) ou signaler que l’authentification initiale a eu lieu afin que l’IdP puisse ensuite s茅lectionner un facteur plus fort pour renforcer votre s茅curit茅.
Il est fortement conseill茅 d’utiliser l’authentification multifactorielle (MFA, ou multi-factor authentication), mais il faut toujours tenir compte de l’aspect humain de la mise en 艙uvre et de l’utilisation quotidienne. Diff茅rentes formes d’authentification sont plus faciles et certaines sont plus difficiles 脿 ma卯triser pour l’utilisateur. Les notifications push sont souvent d茅crites comme 茅tant les plus conviviales.
Attributs et personnalisations du SSO
Choisissez une couleur, n’importe laquelle.
Vous voulez un portail que les utilisateurs reconna卯tront imm茅diatement et auquel ils feront confiance gr芒ce 脿 une image de marque et un sch茅ma de couleurs appropri茅s. L’outil de test dispose d’une fonction appel茅e 芦 RelayState 禄 qui permet de personnaliser l’apparence de la page prot茅g茅e ; de d茅finir l’attribut 脿 une couleur prise en charge du c么t茅 IdP (NameID) ou de d茅clencher un changement de couleur sans modifier la configuration en ajoutant l’URL unique du site de test — par exemple 芦 &苍产蝉辫;禄.
Messages de bienvenue SSO et autres personnalisations
NameID, une d茅claration d’attribut SAML, est l’endroit o霉 d’autres personnalisations, comme un message de bienvenue, sont d茅finies. Des informations suppl茅mentaires sur les attributs peuvent 锚tre trouv茅es (t茅l茅chargement PDF). Le site de test fournit l’exemple suivant sp茅cifique 脿 l’outil :
芦 Bonjour <pr茅nom> <nom> 禄
Pour remplir les champs <pr茅nom> et/ou <nom>, il essaiera de trouver un attribut appel茅 芦 pr茅nom 禄 pour <pr茅nom> et 芦 nom 禄 ou 芦 nomdefamille 禄 pour <nom>. Tout ceci ignore totalement la casse du nom de l’attribut, donc pr茅Nom, Pr茅nom, pr茅nom, Pr脡nOm sont tous les m锚mes (si vous pensez que Pr脡nOm est une bonne id茅e… nous saluons votre audace !)
Int茅grit茅 de l’utilisateur
Veuillez noter que l’outil de test est uniquement destin茅 脿 des fins de d茅monstration et que certaines fonctions de s茅curit茅 avanc茅es ne sont pas prises en charge pour le moment, notamment les et les crypt茅es, qui sont des donn茅es communiqu茅es entre le SP et l’IdP concernant le statut d’autorisation de l’utilisateur (ce qui signifie que vous 锚tes un utilisateur l茅gitime). Les d茅tails concernant les attributs et les d茅clarations d’attributs se trouvent par ailleurs dans l’outil de test.
颁辞苍蹿辞谤尘颈迟茅 et conservation des donn茅es pour le SSO
Vous pouvez 茅galement souhaiter consigner toutes les authentifications SAML 脿 des fins de conformit茅 si vous 锚tes dans un secteur 谤茅驳濒别尘别苍迟茅 ou si vos analystes de s茅curit茅 et vos administrateurs informatiques suivent l’acc猫s aux ressources. Des r茅gimes de conformit茅 sp茅cifiques imposent la journalisation de l’acc猫s 脿 des points d’extr茅mit茅 d茅sign茅s, tels que : La conformit茅 PCI DSS pour les environnements de donn茅es des titulaires de cartes (CDE) ; HIPAA et les informations de sant茅 personnelles (PHI) ; et la vue large du GDPR sur les donn茅es stock茅es pour les r茅sidents bas茅s dans l’UE.
Conclusion
Le fournisseur de services de test SAML supprime les obstacles 脿 l’adoption du SSO et facilite la relation avec un IdP offrant un environnement bac 脿 sable adapt茅 au calendrier de votre projet. Il est conseill茅 d’examiner si un SP (application Web) fournit un support SAML SSO natif et gratuit avant de choisir ce fournisseur. Le risque et les d茅penses li茅s 脿 l’absence de SSO sont moins acceptables si :
- Votre organisation s’agrandit
- Elle consomme plus de services
- L’authentification Kerberos et les mots de passe traditionnels s’av猫rent inad茅quats pour les services en cloud ; ET,
- L’environnement des menaces de cybers茅curit茅 devient de plus en plus difficile 脿 contr么ler et 脿 analyser.
Les tests sont importants afin d’锚tre pr锚t pour le passage 脿 SAML, qui est mondial et pourrait perturber les op茅rations sans une acceptation et une formation ad茅quates des utilisateurs.
Les avantages du SSO sont essentiels pour l’infrastructure en cloud et ne devraient pas 锚tre rel茅gu茅s au domaine des grandes entreprises disposant de budgets plus importants. Vous pouvez utiliser un mod猫le de matrice des priorit茅s pour d茅terminer la place du SSO dans votre agenda informatique : les r茅sultats pourraient vous surprendre.
.
