Afin de mieux protéger l’accès à son service Mail, Yahoo va proposer des mots de passe « à la demande ». L’utilisateur n’aura alors plus à utiliser son mot de passe classique pour se connecter à l’interface web, mais s’en fera à la place expédier un qui ne servira qu’une seule fois. Une solution déjà utilisée par Microsoft pour Outlook.com lorsqu’on souhaite se connecter depuis une machine publique.
Des mots de passe « jetables »
La problématique des mots de passe est bien connue. Le sujet revient régulièrement dans nos colonnes : trop faibles la plupart du temps, ils n’offrent qu’une protection très relative. Dans la plupart des cas, les utilisateurs sont confrontés à un choix douloureux. En effet, plus on souhaite sécuriser un accès, plus le mot de passe doit être complexe, moins il est simple à retenir. On peut évidemment le noter sur un bout de papier ou utiliser un gestionnaire de mots de passe, mais chaque solution a ses avantages et inconvénients. Dans le premier cas, on peut perdre le papier ou se le faire voler, tandis que dans le second, il faut par exemple envisager une solution synchronisée pour avoir ses mots de passe sur les plateformes mobiles.
Les mots, même longs et complexes, sont également vulnérables sur des machines publiques ou empruntés. Elles peuvent très bien être contaminées par des malwares et autres keyloggers qui enregistrent les frappes au clavier. Pour contourner le problème, Yahoo met désormais à disposition des mots de passe « à la demande » aux États-Unis. Plutôt que de risquer la sécurité de ses identifiants, Yahoo peut ainsi envoyer un mot par SMS, qui ne servira alors qu’une seule fois.
Une solution complémentaire, mais pas universelle
La fonctionnalité n’est pas activée par défaut. L’utilisateur doit se rendre dans les options et l’actionner manuellement. Il s’agit d’une solution différente de celle retenue par Microsoft, qui propose des mots de passe à usage unique depuis plus de deux ans maintenant. En effet, une fois l’option active, le champ du mot de passe est remplacé par un bouton provoquant l’envoi d’un SMS. D’ailleurs, le numéro de téléphone est obligatoire pour valider la nouvelle procédure.
Cette solution représente un évident pas en avant pour la sécurité, si les utilisateurs se donnent la peine de l’utiliser. Elle ne peut pas être aussi efficace que l’identification à deux facteurs (que Yahoo propose également) puisque le seul vol du smartphone permettrait de compromettre le compte. Il faut également que cette possibilité soit connue et que les utilisateurs ne soient pas rebutés par la perspective d’attendre un mot de passe différent à chaque connexion. Dans tous les cas, la fonctionnalité ne concerne que la connexion à l’interface web : les accès configurés dans les clients email ne changent pas.
Pour Yahoo, cette option permettra de ne plus avoir à retenir un long mot de passe et de ne pas succomber à la tentation d’en mettre volontairement un très simple à retenir… et donc à deviner. Pour l’instant, elle n’est disponible qu’aux États-Unis, mais elle sera disponible au cours des prochains mois dans les autres marchés. Yahoo fonde en tout cas de grands espoirs sur cette option. Interrogé par Cnet, un porte-parole de la firme, Dylan Casey, a en effet indiqué qu'il s'agissait là de la « première étape vers la disparition des mots de passe ».
Faciliter le chiffrement des emails
Le chiffrement des emails n’a rien de neuf, mais se heurte à une barrière que nous avons abordée bien souvent : la complexité de la mise en œuvre et/ou la facilité d’utilisation au quotidien. Yahoo travaille donc sur cet aspect en misant sur l’extension Chrome End-to-End, proposée par Google.
Yahoo a réalisé une démonstration durant la conférence SXSW pour prouver que sa solution sera beaucoup plus simple à paramétrer et utiliser. Cependant, la version maison de l’extension End-to-End est encore en alpha et ne peut pas être utilisée. De plus, elle n’aura pas vocation à chiffrer tous les emails, mais seulement ceux pour lesquels le niveau de sensibilité sera plus élevé.
Commentaires (29)
Pas mal l’idée du MDP à usage unique envoyé par SMS.
J’ai vu chez Outlook qu’il y avait l’équivalent mais je n’ai pas compris comment ça fonctionnait. Je vais voir quand même, à suivre.
Alors eux depuis 10j ils me les brisent, à chaque ouverture d’un navigateur, un onglet Yahoo Mail m’invitant à saisir mon mdp. Alors qu’il y’a bien un cookie et si je vais moi même vers la boite je suis bien identifié. Mais en pratique c’est lourd, parce que la page de saisie du mdp est souvent avec une énorme pub vidéo qui prend 90% de la surface
" />
" />
sinon je suis content du webmail
le seul vol du smartphone permettrait de compromettre le compte
L’avantage c’est qu’on peut configurer le niveau de sécurité de son smartphone en fonction du risque/paranoia (accès libre, code pin, pass-phrase, biométrie, …). Alors qu’on ne peut pas faire cela pour les sites webs.
Moi le problème dans ces trucs là c’est que non seulement ils peuvent lire tes mails pour te profiler mais en plus ils vont pouvoir t’inonder de SMS de promotions diverses et variées. Car, bon, donner son n° de téléphone portable, c’est l’assurance de recevoir un nombre de SMS*10.
C’est toujours la même histoire : c’est pour votre sécurité, pour votre bien… et puis les effets de bords ou bien pensés cyniquement depuis le début… (au choix du niveau de paranoïa de chacun). C’est la même chose pour les lois. Plus d’intrusion pour plus de sécurité.
Moi aussi, tout pareil
" />
" />.
Du coup je fais transférer tous mes mails sur ma boite Gmail et lorsque je réponds à un mail venant de Yahoo, Gmail me laisse le choix de l’adresse électronique avec laquelle répondre
Retenir un long mot de passe (> 10 caractères) robuste n’est pas compliqué si on ne retient que la “recette”, et qu’on y inclue un ingrédient qui dépend du site où l’on se connecte…
Quelle que soit la longueur/robustesse du mot de passe, une fois qu’un pirate le connait (vol, interception, …) il peut le réutiliser sans le consentement du propriétaire.
" />
D’où cette news sur le mdp à usage unique.
Ah je suis pas le seul, ça me rassure
" />
Il ne faut pas non plus oublier la généralisation des applications de smartphone qui ont accès aux SMS…
Le seul avantage de cette technique,c ‘est “mot de passe à usage unique”. Pour le reste, les autres arguments - genre, c’est dur de retenir des tones de mot de passe- ce sont juste des arguments gratuits mais pas valides. Un long de passe sûr est différent pour chaque site/outils qu’on utilise, ce n’est vraiment pas bien dur en fait.
C’est sûr qu’entre un mot de passe librement choisi par l’utilisateur et transmis en https de bout en bout, et un mot de passe transmis en clair via SMS qui transite par les machines de la NSA, on voit tout de suite quelle est la solution la plus sécurisée pour l’utilisateur.
Et pendant ce temps, le site collissimo.fr demande un mot de passe avec juste des chiffres et des lettres. Pas de caractère spécial, pas d’accent, pas d’espace, de soulignement. Chiffres et lettres!
Chiffres et lettres! Mais c’est terrible !!!!
Tu veux dire qu’ils ont seulement le même niveau de sécurité qu’un hash SHA2 1024bits.
Damned !
oui mais les chiffres changent de place aléatoirement, c’est sécure
" />
Je comprend pas bien en quoi ajouter un moyen d’accès supplémentaire au compte, avec toute une chaine d’interceptions possibles, augmente la sécurité
" />
YM est devenu mauvais avec un wagon de régressions depuis un mois.
Un hacker, oui. Mais la NSA qui a accès à 100% des SMS, et pas 100% des mots de passe de tata jeanine (mais pas 0%, je l’accorde), préfère la méthode SMS.
Comme ça, s’il leur venait l’idée saugrenue de crypter les mails chez Yahoo – ces choses sont dans l’air ces temps-ci – ils auraient quand même accès à tout.
Et vendre ça comme une amélioration de la sécurité, c’est malin.
Pas du tout. Ce mot de passe est à usage unique.
La NSA ne peut pas l’intercepter et l’utiliser en temps réel avant le destinataire. Il ne sert plus à rien ensuite.
La NSA a accès aux données de n’importe quel serveur de n’importe quelle entreprise US.
Ca sert à quoi que Philip Zimmermann (un génie), il se décarcasse ??? (PGP - Open GPG)
OpenPGP et GPG4win et Kleopatra associés à Enigmail (chiffrement et vérification OpenPGP de messages, pour Thunderbird et Seamonkey), c’est quand même pas fait pour les chiens…
GPG | OpenPGP Fingerprint : 0x8C564896E2ECADC5066CFFA0EBA92F4DEDB0480D
0xEDB0480D
http://subkeys.pgp.net:11371/
http://a.keyserver.pki.scientia.net/
http://pgp.mit.edu/