Le vrai coût des mots de passe

Comment simplifier la gestion des utilisateurs dans vos applications

Une enquête du NTA Monitor de 2002 révélait qu’une personne utilisant intensivement un ordinateur devait retenir en moyenne 21 mots de passe, allant du code de carte bancaire au mot de passe Windows en passant par celui de leur compte email. La fatigue des mots de passe est le phénomène engendré par cette multiplication d’information. L’utilisateur est dépassé par la nécessité de ce souvenir de chacun d’eux.  Pour s’en défendre, la majorité des utilisateurs a mis en place une stratégie de contournement. Par exemple, ils créent une liste de mot de passe dans un fichier, ou vont même jusqu’à le copier sur un post-it qu’ils collent à leur terminal. Bien entendu, tout ceci sape les efforts des entreprises en matière de politique de sécurité.

1 Million de Dollar par an !

Une autre étude réalisée par Gartner évalue le coût de la gestion d’un mot de passe entre 70 $ et 200 $ par an et par utilisateur ? Le coût induit par la perte d’un mot de passe ou une faille de sécurité est quant à lui bien plus important. Pour une société de 5000 employés, la facture atteindrait le million de dollar par an uniquement pour les mots de passe.

Ces chiffres prouvent que la gestion des utilisateurs est une tâche extrêmement complexe et coûteuse. Le provisionnement des comptes utilisateurs, la maintenance et le support s’additionnent rapidement et coûtent cher aux société en terme de temps et de productivité.

Cet article propose des solutions pour simplifier la gestion des utilisateurs dans deux situations :

• Application basée sur une seule technologie (.NET ou PowerBuilder)
• Systèmes complexes distribués géographiquement ou basés sur plusieurs technologies

1. Application basée sur une seule technologie

Et si la solution la plus simple pour gérer les comptes utilisateurs était de NE PAS gérer les comptes utilisateurs ? En effet, pourquoi se lancer dans cette voie, si les comptes existent déjà sous forme de comptes Windows dans Active Directory ?
Réutiliser les comptes Windows pour identifier l’utilisateur d’une application est une fonctionnalité qui peut être développée pour n’importe quelle application existante, bien que cela demande au développeur de plonger dans les API Windows et se mesurer au code de bas niveau…

L’alternative consiste à intégrer une solution prête à l’emploi telle que Visual Guard, un produit qui gère l’authentification et la sécurité d’une application. La réutilisation des comptes Windows devient simple, requérant seulement l’ajout de quelques lignes de code dans l’application.

Evitez la multiplication des login / mot de passe !

De ce fait, les développeurs n’ont plus à définir, déverrouiller ou maintenir des comptes utilisateurs : l’administrateur Windows le fait pour eux.
Quant aux utilisateurs, il leur suffit de se souvenir de leur mot de passe Windows pour accéder à toutes les applications. Vous pouvez également implémenter un système de Single Sign-On : au lieu de demander aux utilisateurs leurs mots de passe Windows, l’application prend en compte l’authentification de la session Windows et autorise automatiquement l’accès à l’application !
Si vous ne pouvez pas utiliser Active Directory, une base de données centralisant toutes les informations des comptes utilisateurs – indépendamment de toute application – peut être la meilleure solution.
Ce type de fonctionnalité peut être développé ou fournit par une solution packagée. Une solution prête à l’emploi telle que Visual Guard permet également de combiner les comptes de types login/password et les comptes Windows pour gérer l’accès au sein d’une  même application, au cas où tous les utilisateurs ne disposent pas d’un compte Windows valide.

Grâce à la centralisation du Contrôle d’accès dans un seul référentiel commun à toutes les applications, vous n’avez plus à maintenir qu’une seule liste d’utilisateurs.

Pour plus d’information sur comment intégrer Visual Guard dans vos application, visitez les pages suivantes :
Integrate Visual Guard in PowerBuilder application
Integrate Visual Guard in Webform (ASP.Net) applications
Integrate Visual Guard in Winform Applications

2. Systèmes Complexes

Les systèmes informatiques qui sont distribués géographiquement et / ou basées sur plusieurs technologies doivent surmonter des obstacles de taille. Passons-les en revue pour trouver la meilleure solution :

Défis liés au développement

La gestion des utilisateurs devient  plus difficile dans un environnement hétérogène, composé d’applications développées avec différentes technologies telles que .NET, Java, PowerBuilder et autres…

Les développeurs doivent concilier plusieurs exigences :

• Intégration de toutes les technologies utilisées dans l’entreprise
• Elimination de toutes les failles de sécurité pour se protéger des intrusions
• Construction d’un système d’authentification stable pour garantir un accès permanent aux applications.
• Centralisation des données utilisateurs, même si tous les sites de production ne se trouvent pas sur le même réseau et/ou ne peuvent pas accéder directement  à la même base de données.

Défis liés à l’organisation

Les grandes sociétés sont souvent organisées en silos – c’est-à-dire en systèmes ou en groupes qui interagissent rarement les uns avec les autres. Par exemple, le service financier est complètement séparé du service logistique.
De plus, des sites distants tels que des succursales ou des filiales utilisent souvent les mêmes systèmes ou applications. Ces systèmes peuvent également être partagés avec des sociétés tierces (fournisseurs/acheteurs/partenaires). La consolidation d’une liste d’utilisateur est donc avantageuse et permet des réductions de coûts significatives.
Cependant, pour permettre à ces silos, sites ou sociétés de travailler ensemble, les développeurs devront peut-être développer des connecteurs ou des systèmes d’intégration.  Les développements sont alors très coûteux (plusieurs millions de dollars, des projets de plusieurs années) et fragiles. Les mises à jour du système doivent être prises en compte par tous les acteurs, ce qui signifie que la maintenance peut être très délicate.

L’intégration de ces systèmes de sécurité intervenant souvent après coup, les contrôles de sécurité sont alors ajoutés a posteriori. Les administrateurs et les développeurs sont alors dans une position ou ils ne peuvent pas anticiper et sont obligés de répondre dans l’urgence aux besoins des utilisateurs. La mise en place d’une politique de sécurité devient complexe puisqu’elle doit prendre en compte l’existant et être adaptée à ses contraintes. De ce fait, l’application des politiques de sécurité ou des systèmes d’audit sont souvent à la traîne voir complètement mis de côté.

Une solution idéale

Pour résumé, maintenir différents systèmes d’authentification n’est pas seulement un casse-tête pour les développeurs. Cela consomme beaucoup de temps et revient cher. Ces problèmes peuvent être résolus par une solution d’entreprise qui centralise la gestion du contrôle d’accès, l’exécution des politiques de sécurité et l’audit pour toutes les applications.

La solution de contrôle d’accès idéale devrait permettre :

• D’avoir une seule combinaison de login/password par utilisateurs pour accéder à toutes les applications
• Aux administrateurs de ne gérer qu’une seule liste d’utilisateur pour tout le système.

Pour répondre à ces besoins, un système plug-and-play tel que Visual Guard offre souvent un serveur de contrôle qui permet de gérer une seule liste d’utilisateur et de privilèges d’accès pour toutes les applications, quelle que soit la technologie, l’architecture ou la situation géographique.

Une console d’administration sera également utile pour séparer la gestion quotidienne des utilisateurs de la partie technique. Le temps des développeurs sera utilisé plus efficacement puisqu’ils ne seront plus obligés de gérer les comptes utilisateurs et les mots de passe.

L’utilisation d’une console, ne nécessitant pas un accès direct au serveur, permettra également de déléguer la gestion des comptes à un administrateur local qui aura l’avantage de mieux connaître les utilisateurs.

Conclusion

Au regard de ces deux cas, les avantages liés à l’utilisation d’une solution modulaire telle que Visual Guard apparaissent clairement. Elle peut être dimensionnée pour supporter les architectures simples ou complexes ainsi que la plupart des besoins de sécurité. Ce type de solution prête à l’emploi est également étudié pour limiter l’effort d’intégration. Enfin, sa conception modulaire permet de monter en charge progressivement, en commençant par sécuriser une seule application, puis d’évoluer au fil du temps pour finir par sécuriser un système entier.

Avant tout investissement, le ratio coût/bénéfice doit être étudié attentivement. Dans le cas d’une application stable et mature, la direction peut donc hésiter à investir. Cependant, si l’on considère que le coût annuel de la gestion des utilisateurs peut atteindre des milliers de dollar par an, une solution packagée sera amorti en quelques mois.