{"id":1560,"date":"2026-08-07T19:28:45","date_gmt":"2026-08-07T17:28:45","guid":{"rendered":"https:\/\/all-solutions.de\/?p=1560"},"modified":"2026-08-07T19:51:29","modified_gmt":"2026-08-07T17:51:29","slug":"hier-les-mots-de-passe-etaient-essentiels-pour-se-connecter-pour-lauthentification-a-deux-facteurs-et-pour-acceder-aux-batiments","status":"publish","type":"post","link":"https:\/\/all-solutions.de\/fr\/passwoerter-waren-gestern-ein-schluessel-fuer-login-2fa-und-gebaeudezutritt\/","title":{"rendered":"Les mots de passe appartiennent au pass\u00e9\u00a0: une seule cl\u00e9 pour la connexion, l\u2019authentification \u00e0 deux facteurs et l\u2019acc\u00e8s au b\u00e2timent."},"content":{"rendered":"
\"<\/figure>\n\n\n\n

Un employ\u00e9 arrive \u00e0 l'entreprise le matin. \u00c0 l'entr\u00e9e, il pr\u00e9sente une petite cl\u00e9 de s\u00e9curit\u00e9 au lecteur. La porte s'ouvre. Quelques minutes plus tard, il utilise cette m\u00eame cl\u00e9 \u00e0 son poste de travail\u00a0: pour se connecter \u00e0 son ordinateur, \u00e0 un service cloud s\u00e9curis\u00e9, ou comme deuxi\u00e8me facteur d'authentification pour acc\u00e9der aux donn\u00e9es sensibles de l'entreprise.<\/p>\n\n\n\n

Aucune puce d'acc\u00e8s suppl\u00e9mentaire. Aucun code \u00e0 usage unique sur un smartphone personnel. Aucun mot de passe \u00e0 glisser sous le clavier. Un seul appareil combine l'identit\u00e9 physique et num\u00e9rique de l'employ\u00e9.<\/p>\n\n\n\n

\u00c0 premi\u00e8re vue, cela pourrait sembler une simple am\u00e9lioration pratique. En r\u00e9alit\u00e9, il s'agit d'un concept de s\u00e9curit\u00e9 capable de r\u00e9soudre plusieurs probl\u00e8mes courants en entreprise. Nous avons voulu v\u00e9rifier si cette promesse se tient et avons test\u00e9 la Swissbit iShield Key 2 Pro MIFARE \u00e0 la fois comme cl\u00e9 de s\u00e9curit\u00e9 num\u00e9rique et pour notre propre application de contr\u00f4le d'acc\u00e8s sans contact.<\/p>\n\n\n\n

Trois mondes cl\u00e9s qui sont aujourd'hui majoritairement s\u00e9par\u00e9s.<\/h2>\n\n\n\n

Dans de nombreuses entreprises, un employ\u00e9 dispose de plusieurs m\u00e9thodes d'acc\u00e8s ind\u00e9pendantes\u00a0: un mot de passe pour son ordinateur, une application ou un code pour l'authentification \u00e0 deux facteurs, et une carte ou une puce pour acc\u00e9der au b\u00e2timent. Des mots de passe suppl\u00e9mentaires sont ajout\u00e9s pour d'autres applications.<\/p>\n\n\n\n

Cette solution fonctionne, mais elle est co\u00fbteuse. Il faut cr\u00e9er des comptes pour les nouveaux employ\u00e9s dans plusieurs syst\u00e8mes. En cas de perte de compte, diff\u00e9rents services doivent r\u00e9agir. Si un employ\u00e9 quitte l'entreprise, ses comptes num\u00e9riques et ses droits d'acc\u00e8s physiques doivent \u00eatre bloqu\u00e9s de mani\u00e8re fiable et, si possible, simultan\u00e9e.<\/p>\n\n\n\n

Une cl\u00e9 de s\u00e9curit\u00e9 combin\u00e9e ne cr\u00e9e pas automatiquement un syst\u00e8me de gestion unique. Cependant, elle peut servir de support commun pour la convergence des autorisations d'un employ\u00e9\u00a0: num\u00e9riquement via FIDO2 et physiquement via MIFARE DESFire EV3.<\/p>\n\n\n\n

Pourquoi un mot de passe peut rester vuln\u00e9rable malgr\u00e9 des r\u00e8gles complexes<\/h2>\n\n\n\n

Un mot de passe est une information confidentielle qu'un utilisateur partage avec une page de connexion. C'est pr\u00e9cis\u00e9ment l\u00e0 que r\u00e9side le probl\u00e8me\u00a0: un site web falsifi\u00e9 de mani\u00e8re professionnelle peut d\u00e9sormais \u00eatre quasiment identique \u00e0 l'original. Si l'employ\u00e9 saisit son mot de passe, voire un code \u00e0 usage unique, un pirate peut s'emparer des deux.<\/p>\n\n\n\n

Des r\u00e8gles comme la limite de douze caract\u00e8res, l'utilisation de caract\u00e8res sp\u00e9ciaux et des changements r\u00e9guliers rendent le mot de passe plus difficile \u00e0 deviner. Cependant, elles n'emp\u00eachent pas une personne de saisir son mot de passe correct sur un site web erron\u00e9.<\/p>\n\n\n\n

L\u2019hame\u00e7onnage n\u2019est plus un probl\u00e8me marginal.<\/h2>\n\n\n\n

L\u2019analyse de la situation en Europe montre clairement la fr\u00e9quence \u00e0 laquelle de telles attaques servent de point d\u2019entr\u00e9e. Dans son rapport sur le paysage des menaces 2025, l\u2019Agence europ\u00e9enne pour la cybers\u00e9curit\u00e9 (ENISA) a examin\u00e9 4\u00a0875 incidents survenus entre juillet 2024 et juin 2025. Ce rapport a permis d\u2019identifier les points d\u2019entr\u00e9e initiaux. L'hame\u00e7onnage repr\u00e9sente environ 60 %<\/a> L'exploitation des vuln\u00e9rabilit\u00e9s techniques \u00e9tait la m\u00e9thode la plus courante, suivie par l'exploitation de failles techniques (21,3 %).<\/p>\n\n\n\n

L'hame\u00e7onnage ne se limite plus aux courriels mal r\u00e9dig\u00e9s contenant des liens suspects. L'ENISA englobe \u00e9galement les pi\u00e8ces jointes malveillantes, la publicit\u00e9 manipul\u00e9e et les arnaques t\u00e9l\u00e9phoniques. Gr\u00e2ce aux offres dites de \u201e\u00a0phishing \u00e0 la demande\u00a0\u201c, m\u00eame les auteurs d'attaques peu exp\u00e9riment\u00e9s peuvent d\u00e9sormais d\u00e9ployer des kits d'attaque pr\u00eats \u00e0 l'emploi.<\/p>\n\n\n\n

Le CERT-EU observe \u00e9galement cette tendance parmi les institutions et partenaires de l'Union europ\u00e9enne\u00a0: la proportion de tentatives d'hame\u00e7onnage cibl\u00e9es par courriel classiques parmi les premi\u00e8res tentatives d'acc\u00e8s observ\u00e9es a diminu\u00e9 en 2025. de 41 \u00e0 31 pour cent<\/a>. Dans le m\u00eame temps, d'autres m\u00e9thodes se sont d\u00e9velopp\u00e9es, notamment le phishing t\u00e9l\u00e9phonique, la manipulation des processus de connexion et l'exploitation abusive des proc\u00e9dures d'authentification l\u00e9gitimes. L'attaque ne dispara\u00eet donc pas\u00a0; elle devient plus diversifi\u00e9e et plus professionnelle.<\/p>\n\n\n\n

Pour les entreprises, cela signifie qu'il ne suffit plus de simplement avertir les employ\u00e9s des courriels suspects. Si le processus de connexion est con\u00e7u pour minimiser l'utilisation de mots de passe vol\u00e9s et de codes \u00e0 usage unique, la vigilance devient une protection technique.<\/p>\n\n\n\n

FIDO2 adopte une approche diff\u00e9rente. En r\u00e9sum\u00e9, la cl\u00e9 de s\u00e9curit\u00e9 g\u00e9n\u00e8re une cl\u00e9 num\u00e9rique unique pour chaque service. Cette cl\u00e9 ne fonctionne que pour le service l\u00e9gitime, \u00e0 l'instar d'une cl\u00e9 d'immeuble qui ne s'ouvre que dans la serrure correspondante. Une copie trompeusement r\u00e9aliste de la page de connexion ne poss\u00e8de pas la cl\u00e9 num\u00e9rique ad\u00e9quate et ne peut donc pas intercepter la connexion.<\/p>\n\n\n\n

Authentification \u00e0 deux facteurs ou pas de mot de passe du tout<\/h2>\n\n\n\n

L'iShield Key 2 Pro MIFARE peut \u00eatre utilis\u00e9 de deux mani\u00e8res. Avec l'authentification \u00e0 deux facteurs classique, le mot de passe reste inchang\u00e9. De plus, l'employ\u00e9 doit poss\u00e9der la cl\u00e9 mat\u00e9rielle enregistr\u00e9e et confirmer sa connexion sur l'appareil. Un mot de passe vol\u00e9 ne suffit alors plus.<\/p>\n\n\n\n

Si l'application prend en charge la connexion sans mot de passe, la cl\u00e9 mat\u00e9rielle peut remplacer int\u00e9gralement ce dernier. L'utilisateur se connecte alors avec l'appareil et, selon la configuration, un code PIN local. Cette solution est non seulement plus pratique, mais elle \u00e9limine \u00e9galement le mot de passe comme cible potentielle pour les tentatives d'hame\u00e7onnage.<\/p>\n\n\n\n

Le choix de l'option d\u00e9pend des applications utilis\u00e9es, des services cloud et de la gestion des utilisateurs existante. Par cons\u00e9quent, une mise en \u0153uvre devrait id\u00e9alement commencer par un inventaire, et non par l'achat massif de jetons.<\/p>\n\n\n\n

Ce que nous avons pratiquement essay\u00e9<\/h2>\n\n\n\n

Nous ne nous int\u00e9ressions pas seulement \u00e0 la fiche technique. Nous voulions savoir comment la cl\u00e9 se comportait au quotidien et avec notre propre int\u00e9gration technique.<\/p>\n\n\n\n

Nous avons d'abord enregistr\u00e9 l'iShield Key 2 Pro MIFARE comme cl\u00e9 de s\u00e9curit\u00e9 FIDO2 et l'avons utilis\u00e9e pour l'authentification \u00e0 deux facteurs. La proc\u00e9dure est simple pour l'utilisateur\u00a0: connecter la cl\u00e9 ou l'utiliser sans contact, se connecter et confirmer avec le jeton. Les op\u00e9rations cryptographiques s'effectuent en arri\u00e8re-plan.<\/p>\n\n\n\n

Nous avons ensuite examin\u00e9 le second aspect du dispositif\u00a0: la fonction sans contact MIFARE DESFire. Celle-ci est particuli\u00e8rement int\u00e9ressante pour les syst\u00e8mes de contr\u00f4le d\u2019acc\u00e8s, car elle ne n\u00e9cessite pas simplement un num\u00e9ro de carte facilement lisible. Le syst\u00e8me de contr\u00f4le d\u2019acc\u00e8s peut ainsi v\u00e9rifier si le jeton poss\u00e8de bien la cl\u00e9 secr\u00e8te correspondante.<\/p>\n\n\n\n

Pourquoi est-ce plus s\u00fbr qu'une simple puce RFID ?<\/h2>\n\n\n\n

De nombreuses solutions de contr\u00f4le d'acc\u00e8s simples ne reconnaissent que le num\u00e9ro de s\u00e9rie d'une puce. Cela revient \u00e0 peu pr\u00e8s \u00e0 ce qu'un portier laisse entrer quelqu'un simplement parce qu'il pr\u00e9sente le bon num\u00e9ro d'employ\u00e9. Si ce num\u00e9ro a \u00e9t\u00e9 copi\u00e9, le syst\u00e8me risque de ne pas pouvoir faire la diff\u00e9rence entre l'original et la copie.<\/p>\n\n\n\n

DESFire permet une v\u00e9ritable v\u00e9rification cryptographique. En clair, le jeton conna\u00eet non seulement le num\u00e9ro d'identification de l'employ\u00e9, mais peut \u00e9galement r\u00e9pondre \u00e0 une question qui ne peut \u00eatre r\u00e9solue qu'avec la cl\u00e9 secr\u00e8te stock\u00e9e. Cette cl\u00e9 secr\u00e8te n'a pas besoin d'\u00eatre extraite du jeton ni transmise publiquement lors de chaque v\u00e9rification.<\/p>\n\n\n\n

De plus, des zones de donn\u00e9es distinctes et prot\u00e9g\u00e9es peuvent \u00eatre cr\u00e9\u00e9es. Celles-ci peuvent contenir, par exemple, un identifiant d'autorisation interne, des donn\u00e9es de localisation ou d'autres informations n\u00e9cessaires \u00e0 l'application. Le choix des donn\u00e9es appropri\u00e9es d\u00e9pend toujours du concept de s\u00e9curit\u00e9 sp\u00e9cifique.<\/p>\n\n\n\n

Notre regard sous le capot<\/h2>\n\n\n\n

Pour le test technique, nous avons utilis\u00e9 un lecteur USB sans contact Identiv uTrust 3700 F CL. Ce test a \u00e9t\u00e9 r\u00e9alis\u00e9 via PC\/SC, Python et pyscard<\/code> Nous avons communiqu\u00e9 directement avec le jeton de test.<\/p>\n\n\n\n

Nous avons ensuite cr\u00e9\u00e9 une application distincte dot\u00e9e d'une zone de donn\u00e9es prot\u00e9g\u00e9e et remplac\u00e9 la cl\u00e9 initiale par une cl\u00e9 AES personnalis\u00e9e. D\u00e8s lors, les donn\u00e9es de test n'\u00e9taient accessibles en lecture et en modification qu'apr\u00e8s une authentification r\u00e9ussie. Enfin, nous avons r\u00e9initialis\u00e9 le jeton de test d\u00e9sign\u00e9 de mani\u00e8re contr\u00f4l\u00e9e.<\/p>\n\n\n\n

Pour les personnes ayant un int\u00e9r\u00eat technique, cela a permis de mettre en \u00e9vidence la cha\u00eene de fonctions essentielle. Pour l'utilisateur final, cela signifie simplement que le syst\u00e8me ne se contente pas de v\u00e9rifier un num\u00e9ro, mais bien l'authenticit\u00e9 de l'autorisation.<\/p>\n\n\n\n

Quels avantages une entreprise peut-elle en tirer ?<\/h2>\n\n\n\n

Le plus grand avantage ne r\u00e9side pas dans une seule caract\u00e9ristique technique, mais dans l'interaction entre elles\u00a0:<\/p>\n\n\n\n

    \n
  • Surface d'attaque r\u00e9duite :<\/strong> FIDO2 offre une protection nettement sup\u00e9rieure pour l'acc\u00e8s num\u00e9rique contre les attaques de phishing classiques.<\/li>\n\n\n\n
  • Une routine de travail quotidienne plus simple :<\/strong> Un seul appareil peut \u00eatre utilis\u00e9 pour les b\u00e2timents, les lieux de travail et les services en ligne compatibles.<\/li>\n\n\n\n
  • Moins de probl\u00e8mes de mots de passe\u00a0:<\/strong> Selon le syst\u00e8me, la cl\u00e9 peut s\u00e9curiser ou remplacer compl\u00e8tement les mots de passe.<\/li>\n\n\n\n
  • Des processus plus clairs\u00a0:<\/strong> L\u2019\u00e9mission, le retour, la perte et le blocage peuvent \u00eatre planifi\u00e9s comme un processus d\u2019identit\u00e9 coh\u00e9rent.<\/li>\n\n\n\n
  • Int\u00e9gration flexible\u00a0:<\/strong> Les technologies USB et NFC permettent une utilisation avec diff\u00e9rents appareils et syst\u00e8mes d'acc\u00e8s.<\/li>\n<\/ul>\n\n\n\n

    Cela peut r\u00e9duire la charge de travail des utilisateurs et du service informatique. Cependant, une impl\u00e9mentation soign\u00e9e est essentielle. Se contenter d'empiler plusieurs solutions autonomes existantes sur le m\u00eame mat\u00e9riel sans interconnecter les processus sous-jacents repr\u00e9sente un gaspillage important des avantages potentiels.<\/p>\n\n\n\n

    Bien plus qu'une simple connexion et une porte<\/h2>\n\n\n\n

    La version Pro-MIFARE combine non seulement FIDO2 et le contr\u00f4le d'acc\u00e8s aux b\u00e2timents, mais aussi, gr\u00e2ce \u00e0 sa fonction de carte \u00e0 puce PIV, des certificats pour la connexion Windows, les signatures num\u00e9riques et le chiffrement. Dans un environnement Active Directory et de certificats correctement configur\u00e9, le jeton devient ainsi un support d'identit\u00e9 s\u00e9curis\u00e9 pour des applications ult\u00e9rieures.<\/p>\n\n\n\n

    La fonction sans contact DESFire peut \u00e9galement \u00eatre utilis\u00e9e au-del\u00e0 de la porte d'entr\u00e9e. La m\u00eame cl\u00e9 employ\u00e9 peut servir, par exemple, aux imprimantes pour FollowMe ou Secure Print, au suivi du temps de travail ou encore \u00e0 l'acc\u00e8s \u00e0 des zones particuli\u00e8rement sensibles comme les salles serveurs. Pour l'employ\u00e9, il s'agit d'un seul et m\u00eame appareil\u00a0; en interne, les droits d'acc\u00e8s respectifs restent clairement distincts.<\/p>\n\n\n\n

    Un pont pour les syst\u00e8mes plus anciens<\/h2>\n\n\n\n

    Toutes les applications existantes ne prennent pas en charge FIDO2. La version Pro propose donc en plus des codes \u00e0 usage unique bas\u00e9s sur le temps et un compteur (TOTP et HOTP), ainsi que la possibilit\u00e9 d'afficher des donn\u00e9es d'acc\u00e8s statiques s\u00e9lectionn\u00e9es via un clavier virtuel. Ceci permet d'int\u00e9grer des interfaces d'administration, des p\u00e9riph\u00e9riques r\u00e9seau ou d'autres syst\u00e8mes plus anciens qui ne prennent pas encore en charge les m\u00e9thodes d'authentification modernes.<\/p>\n\n\n\n

    Ces fonctionnalit\u00e9s constituent une solution provisoire pratique, mais ne repr\u00e9sentent pas l'objectif ultime en mati\u00e8re de s\u00e9curit\u00e9. Les codes \u00e0 usage unique et les mots de passe statiques peuvent toujours \u00eatre intercept\u00e9s ou saisis sur un site web frauduleux. Lorsque FIDO2 est possible, l'authentification cryptographique li\u00e9e au service concern\u00e9 demeure de loin la meilleure option.<\/p>\n\n\n\n

    La deuxi\u00e8me cl\u00e9 fait partie du concept<\/h2>\n\n\n\n

    Un appareil permettant de g\u00e9rer plusieurs points d'acc\u00e8s soul\u00e8ve une question l\u00e9gitime\u00a0: que se passe-t-il en cas de perte\u00a0? Avec l'iShield Key 2 Pro MIFARE, l'absence d'option d'exportation des donn\u00e9es d'acc\u00e8s prot\u00e9g\u00e9es est une mesure de s\u00e9curit\u00e9 d\u00e9lib\u00e9r\u00e9e. Les cl\u00e9s priv\u00e9es, les mots de passe, les certificats et les codes OTP ne doivent pas pouvoir \u00eatre simplement transf\u00e9r\u00e9s hors du jeton et copi\u00e9s sur un autre appareil.<\/p>\n\n\n\n

    Cela emp\u00eache la copie non d\u00e9tect\u00e9e, mais cela signifie \u00e9galement qu'une cl\u00e9 de remplacement ne peut \u00eatre g\u00e9n\u00e9r\u00e9e par duplication apr\u00e8s la perte de l'originale. Elle doit d'abord \u00eatre \u00e9mise s\u00e9par\u00e9ment et enregistr\u00e9e ou configur\u00e9e pour les comptes et fonctions n\u00e9cessaires.<\/p>\n\n\n\n

    En cas de perte d'un jeton, ses cl\u00e9s de connexion num\u00e9riques et ses droits d'acc\u00e8s physiques doivent \u00eatre imm\u00e9diatement bloqu\u00e9s. Une deuxi\u00e8me cl\u00e9 mat\u00e9rielle doit \u00eatre disponible pour les comptes importants. \u00c0 d\u00e9faut, une proc\u00e9dure de r\u00e9cup\u00e9ration administrative contr\u00f4l\u00e9e, ind\u00e9pendante du jeton perdu, est n\u00e9cessaire.<\/p>\n\n\n\n

    Par cons\u00e9quent, le d\u00e9ploiement comprend non seulement les appareils eux-m\u00eames, mais aussi des r\u00e8gles claires concernant leur \u00e9mission, leur personnalisation, leur remplacement, leur retour et leur blocage. La seconde cl\u00e9 n'est pas un doublon inutile, mais bien une partie int\u00e9grante du concept de s\u00e9curit\u00e9 et d'exploitation.<\/p>\n\n\n\n

    Notre conclusion\u00a0: pourquoi continuons-nous \u00e0 faire cela s\u00e9par\u00e9ment\u00a0?<\/h2>\n\n\n\n

    Notre test a d\u00e9but\u00e9 par simple curiosit\u00e9 technique quant aux possibilit\u00e9s offertes par l'iShield Key 2 Pro MIFARE. Toutefois, le r\u00e9sultat s'av\u00e8re particuli\u00e8rement int\u00e9ressant d'un point de vue organisationnel\u00a0: l'authentification num\u00e9rique et l'acc\u00e8s aux b\u00e2timents ne doivent plus n\u00e9cessairement rester deux univers distincts pour l'employ\u00e9.<\/p>\n\n\n\n

    Un seul dispositif permet de d\u00e9verrouiller la porte le matin, de s\u00e9curiser le lieu de travail et de prot\u00e9ger l'acc\u00e8s aux applications critiques. FIDO2 r\u00e9duit la d\u00e9pendance aux mots de passe et complique le phishing. DESFire EV3 offre un contr\u00f4le d'acc\u00e8s cryptographiquement s\u00e9curis\u00e9 qui va bien au-del\u00e0 de la simple lecture d'un num\u00e9ro de puce.<\/p>\n\n\n\n

    La technologie existe et fonctionne. Par cons\u00e9quent, la question la plus int\u00e9ressante pour de nombreuses entreprises n'est plus\u00a0: \u201e\u00a0Est-ce possible\u00a0?\u00a0\u201c mais plut\u00f4t\u00a0: \u201e\u00a0Pourquoi g\u00e9rons-nous encore s\u00e9par\u00e9ment l'identit\u00e9 num\u00e9rique et l'acc\u00e8s aux b\u00e2timents\u00a0?\u00a0\u201c<\/p>\n\n\n\n

    <\/p>","protected":false},"excerpt":{"rendered":"

    Un dispositif ouvre la porte de l'entreprise le matin et s\u00e9curise ensuite les espaces de travail et les services en ligne. Nous avons test\u00e9 comment l'iShield Key 2 Pro combine les technologies MIFARE FIDO2 et le contr\u00f4le d'acc\u00e8s s\u00e9curis\u00e9 DESFire.<\/p>","protected":false},"author":1,"featured_media":1577,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1560","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"blocksy_meta":[],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t