Afin de mieux protéger l’accès à son service Mail, Yahoo va proposer des mots de passe « à la demande ». L’utilisateur n’aura alors plus à utiliser son mot de passe classique pour se connecter à l’interface web, mais s’en fera à la place expédier un qui ne servira qu’une seule fois. Une solution déjà utilisée par Microsoft pour Outlook.com lorsqu’on souhaite se connecter depuis une machine publique.

Des mots de passe « jetables »

La problématique des mots de passe est bien connue. Le sujet revient régulièrement dans nos colonnes : trop faibles la plupart du temps, ils n’offrent qu’une protection très relative. Dans la plupart des cas, les utilisateurs sont confrontés à un choix douloureux. En effet, plus on souhaite sécuriser un accès, plus le mot de passe doit être complexe, moins il est simple à retenir. On peut évidemment le noter sur un bout de papier ou utiliser un gestionnaire de mots de passe, mais chaque solution a ses avantages et inconvénients. Dans le premier cas, on peut perdre le papier ou se le faire voler, tandis que dans le second, il faut par exemple envisager une solution synchronisée pour avoir ses mots de passe sur les plateformes mobiles.

Les mots, même longs et complexes, sont également vulnérables sur des machines publiques ou empruntés. Elles peuvent très bien être contaminées par des malwares et autres keyloggers qui enregistrent les frappes au clavier. Pour contourner le problème, Yahoo met désormais à disposition des mots de passe « à la demande » aux États-Unis. Plutôt que de risquer la sécurité de ses identifiants, Yahoo peut ainsi envoyer un mot par SMS, qui ne servira alors qu’une seule fois.

Une solution complémentaire, mais pas universelle

La fonctionnalité n’est pas activée par défaut. L’utilisateur doit se rendre dans les options et l’actionner manuellement. Il s’agit d’une solution différente de celle retenue par Microsoft, qui propose des mots de passe à usage unique depuis plus de deux ans maintenant. En effet, une fois l’option active, le champ du mot de passe est remplacé par un bouton provoquant l’envoi d’un SMS. D’ailleurs, le numéro de téléphone est obligatoire pour valider la nouvelle procédure.

Cette solution représente un évident pas en avant pour la sécurité, si les utilisateurs se donnent la peine de l’utiliser. Elle ne peut pas être aussi efficace que l’identification à deux facteurs (que Yahoo propose également) puisque le seul vol du smartphone permettrait de compromettre le compte. Il faut également que cette possibilité soit connue et que les utilisateurs ne soient pas rebutés par la perspective d’attendre un mot de passe différent à chaque connexion. Dans tous les cas, la fonctionnalité ne concerne que la connexion à l’interface web : les accès configurés dans les clients email ne changent pas.

Pour Yahoo, cette option permettra de ne plus avoir à retenir un long mot de passe et de ne pas succomber à la tentation d’en mettre volontairement un très simple à retenir… et donc à deviner. Pour l’instant, elle n’est disponible qu’aux États-Unis, mais elle sera disponible au cours des prochains mois dans les autres marchés. Yahoo fonde en tout cas de grands espoirs sur cette option. Interrogé par Cnet, un porte-parole de la firme, Dylan Casey, a en effet indiqué qu'il s'agissait là de la « première étape vers la disparition des mots de passe ».

Faciliter le chiffrement des emails

Le chiffrement des emails n’a rien de neuf, mais se heurte à une barrière que nous avons abordée bien souvent : la complexité de la mise en œuvre et/ou la facilité d’utilisation au quotidien. Yahoo travaille donc sur cet aspect en misant sur l’extension Chrome End-to-End, proposée par Google.

Yahoo a réalisé une démonstration durant la conférence SXSW pour prouver que sa solution sera beaucoup plus simple à paramétrer et utiliser. Cependant, la version maison de l’extension End-to-End est encore en alpha et ne peut pas être utilisée. De plus, elle n’aura pas vocation à chiffrer tous les emails, mais seulement ceux pour lesquels le niveau de sensibilité sera plus élevé.