Pionnier de la cybersécurité décentralisée et de l’identité souveraine

La cyber­sé­cu­ri­té est deve­nue un enjeu mon­dial majeur, accen­tuant le besoin de solu­tions nova­trices face aux menaces crois­santes. Avec ses offres basées sur la cryp­to­gra­phie asy­mé­trique et une approche sans mot de passe, Vaul­tys s’affirme comme un pro­ta­go­niste incon­tour­nable. L’objectif est clair, mar­tèle son cofon­da­teur et direc­teur géné­ral, Jean William­son : pour une sécu­ri­té totale, il faut des solu­tions simples, sûres et souveraines.

Quelles sont les principales menaces de cyberattaque en France et comment évoluent-elles ?

En France, chaque année, une entre­prise sur deux est vic­time d’une cybe­rat­taque d’envergure. Bien que cer­taines de ces attaques soient conte­nues, per­met­tant d’identifier et de blo­quer l’intrus, il arrive par­fois que les mesures de sécu­ri­té échouent, entraî­nant des consé­quences graves, pou­vant aller jusqu’à la faillite de l’entreprise. Les risques les plus signi­fi­ca­tifs pro­viennent des attaques à dis­tance, notam­ment celles orches­trées par des acteurs russes, ukrai­niens, coréens ou chi­nois, par­ti­cu­liè­re­ment habiles. Bien qu’il existe des pirates iso­lés, la majo­ri­té des cybe­rat­taques sont aujourd’hui sou­te­nues par des États, consti­tuant de vastes orga­ni­sa­tions spé­cia­li­sées qui s’échangent et exploitent les bases de don­nées. Actuel­le­ment, 8 Fran­çais sur 10 ont leurs don­nées per­son­nelles expo­sées sur le dark web.

“En France, 85 % des cyberattaques sont dues à des erreurs humaines. La centralisation de l’IAM accroît les risques, mais la cryptographie asymétrique promet une meilleure protection contre le phishing et l’usurpation d’identité.”

Ces infor­ma­tions sont reven­dues pour être com­bi­nées à d’autres don­nées, ren­for­çant ain­si les capa­ci­tés des pirates à infil­trer nos accès à un moment don­né. Ce pro­ces­sus, bien que com­plexe, est éton­nam­ment acces­sible, et c’est là le véri­table pro­blème. Par exemple, des outils comme FraudGPT, déve­lop­pés grâce à l’essor de l’IA géné­ra­tive, per­mettent aux pirates de mener des attaques sans com­pé­tences en déve­lop­pe­ment, leur four­nis­sant des solu­tions prêtes à l’emploi. Cette faci­li­té d’accès contri­bue à la pro­li­fé­ra­tion rapide des cybe­rat­taques. Actuel­le­ment, le coût de ces attaques a consi­dé­ra­ble­ment aug­men­té, et 85 % d’entre elles sont dues à des failles humaines. De plus, le phi­shing a lit­té­ra­le­ment explo­sé, attei­gnant une aug­men­ta­tion de qua­si­ment 2000 %.

Quels sont les risques de la centralisation de l’IAM ?

Dans le monde que nous connais­sons tous, l’accès cen­tra­li­sé de l’IAM (Iden­ti­té, Accès Mana­ge­ment) est une réa­li­té. Nous avons tous adop­té ce sys­tème contrô­lé à 98 % par Micro­soft et Google. Cette cen­tra­li­sa­tion pro­fite à ces géants tech­no­lo­giques qui contrôlent nos accès et peuvent ajou­ter d’autres ser­vices par-des­sus. Mal­heu­reu­se­ment, cette cen­tra­li­sa­tion attise la convoi­tise. En effet, tout est regrou­pé au même endroit, ce qui signi­fie que si un pirate par­vient à sub­ti­li­ser les accès d’une per­sonne, il peut pro­gres­si­ve­ment s’emparer de l’ensemble. Une fois à l’intérieur de la for­te­resse, il ne sor­ti­ra pas sans avoir obte­nu un maxi­mum d’informations et cau­sé des blo­cages pour l’entreprise concer­née. C’est pour­quoi nous obser­vons une pro­li­fé­ra­tion d’attaques aujourd’hui : la convoi­tise est trop forte.

Pour sim­pli­fier, c’est un peu comme l’histoire des auto­ra­dios. Dans les années 1980, il était cou­rant de voir sa vitre de voi­ture bri­sée pour un vol d’autoradio. Cer­tains ont alors ima­gi­né des solu­tions coû­teuses et com­plexes : vitres blin­dées, façades amo­vibles… Jusqu’à ce que l’intégration des auto­ra­dios dans le tableau de bord du véhi­cule mette fin à cette convoitise.

Comment peut-on y remédier ?

Il est envi­sa­geable d’ajouter des clés sup­plé­men­taires afin de garan­tir que l’accès est réel­le­ment sécu­ri­sé et que l’utilisateur est bien celui qu’il pré­tend être. C’est ce qu’on appelle le MFA, ou Mul­ti-fac­teur d’authentification. Il est sou­vent uti­li­sé pour véri­fier votre iden­ti­té lors de tran­sac­tions ban­caires. Mal­heu­reu­se­ment, le MFA est déjà friable et les pirates ont déve­lop­pé des moyens pour faire l’interface (MiTM : Man in The Middle) à chaque étape du MFA. De sur­croît, cette solu­tion engendre plus de com­plexi­té et de frus­tra­tion pour l’utilisateur final.

Pour garan­tir une pro­tec­tion totale, il est essen­tiel d’inclure sim­pli­ci­té, sécu­ri­té et sou­ve­rai­ne­té. À ce jour, aucune solu­tion ne répond plei­ne­ment à ces cri­tères. Nous avons donc pla­cé ces élé­ments au cœur de notre démarche dès le début, déter­mi­nés à les atteindre. C’est ce qui nous a conduit à lan­cer Vaultys.

« Pour garantir une protection totale, il est essentiel d’inclure simplicité, sécurité et souveraineté. »

Nous avons revi­si­té le concept du IAM pour réduire la convoi­tise. Nous avons sépa­ré le « I », l’Identité, de l’IAM pour le dis­tri­buer indi­vi­duel­le­ment à chaque acteur, qu’il s’agisse de sala­riés ou de tiers liés à l’entreprise. Chaque indi­vi­du se voit attri­buer, ou crée lui-même, une iden­ti­té numé­rique qui lui appar­tient per­son­nel­le­ment, indé­pen­dam­ment de l’entreprise. Cette approche remet en ques­tion la notion de pro­prié­té : de la même manière qu’une per­sonne pos­sède sa carte d’identité ou sa carte vitale, elle devrait pos­sé­der sa carte d’identité numé­rique. Contrai­re­ment à la situa­tion actuelle où nous sommes sim­ple­ment loca­taires d’identifiants comme un Gmail ou un numé­ro de télé­phone, avec Vaul­ty­sID, nous deve­nons pro­prié­taires de notre iden­ti­té numé­rique. Contrai­re­ment à Win­dows ou Google, Vaul­tys n’a pas de réper­toire avec toutes les iden­ti­tés numé­riques des uti­li­sa­teurs. Cette iden­ti­té numé­rique peut être attri­buée non seule­ment à une per­sonne, mais aus­si à un ser­veur ou à une machine.

L’idée d’une iden­ti­té sou­ve­raine est nova­trice, et beau­coup peinent encore à en sai­sir plei­ne­ment le poten­tiel. Ce chan­ge­ment de para­digme éli­mine la convoi­tise liée aux « for­te­resses » cen­tra­li­sées. Il est pré­fé­rable de dis­tri­buer indi­vi­duel­le­ment à chaque col­la­bo­ra­teur des bou­cliers agiles, plus dif­fi­ciles à iden­ti­fier et à pira­ter un par un, qu’un gros châ­teau fort qui concentre les attaques.

Comment la cryptographie asymétrique renforce-t-elle la sécurité des identités numériques en entreprise ?

La tech­no­lo­gie remet l’humain au centre, car chaque indi­vi­du échange per­son­nel­le­ment sa clé cryp­to­gra­phique avec celle de l’entreprise. Après avoir signé son contrat de tra­vail, il accepte de par­ta­ger son iden­ti­té numé­rique. Tout comme il apporte sa carte d’identité et sa carte vitale au tra­vail, il four­ni­rait sa carte d’identité numé­rique, autre­ment dit sa clé d’accès. La puis­sance de la cryp­to­gra­phie entre alors en jeu. À chaque connexion, les deux clés se recon­naissent mutuel­le­ment. Même si un vol de clés se pro­duit lors de la connexion, même sur Inter­net, le pirate ne peut rien en faire grâce à la tech­no­lo­gie des clés asy­mé­triques. L’utilisateur s’authentifie de manière tota­le­ment sécu­ri­sée et pro­té­gée contre les attaques de phi­shing et les usur­pa­tions d’identité. Cette tech­no­lo­gie a déjà prou­vé son effi­ca­ci­té, notam­ment dans le domaine des crypto-monnaies.

Comment fonctionne votre plateforme SmartLink et quels sont ses avantages pour les collaborateurs et administrateurs ?

Nous avons déve­lop­pé une solu­tion simi­laire à un ser­veur d’entreprise, qui per­met de dis­tri­buer les accès. Au sein de ce sys­tème, nous avons inté­gré ce que l’on appelle la ges­tion des accès, sans inclure l’identité, qui reste propre à chaque indi­vi­du. Dans ce SSO, nous avons ajou­té de nou­velles fonc­tion­na­li­tés visant à inci­ter les col­la­bo­ra­teurs à l’utiliser, car cela sim­pli­fie leur quo­ti­dien. La connexion est faci­li­tée par l’échange de clés cryp­to­gra­phiques : il suf­fit de fla­sher son PC avec son télé­phone por­table pour être connec­té. En appor­tant son iden­ti­té numé­rique, l’utilisateur prouve auto­ma­ti­que­ment son authenticité.

Ensuite, le col­la­bo­ra­teur accède à son envi­ron­ne­ment per­son­nel, préa­la­ble­ment confi­gu­ré pour lui. Il dis­pose des accès aux appli­ca­tions néces­saires, sans super­flu. Un coffre-fort de mots de passe est inté­gré pour les appli­ca­tions qui le néces­sitent. De plus, un tableau de bord est dis­po­nible pour l’administrateur, lui per­met­tant de véri­fier la robus­tesse des mots de passe et de s’assurer que les licences sont uti­li­sées à bon escient. Une console liée à la per­for­mance est éga­le­ment pré­sente, car la solu­tion peut éga­le­ment amé­lio­rer la per­for­mance et géné­rer des gains financiers.

Comment Vaultys Connect améliore-t-il la sécurité des éditeurs et de leurs clients ?

Vaul­tys Connect est un module d’authentification des­ti­né aux édi­teurs, leur per­met­tant ain­si d’offrir à leurs clients une solu­tion sans mot de passe. Cela ren­force consi­dé­ra­ble­ment la sécu­ri­té de l’éditeur en éli­mi­nant le pro­blème de la cen­tra­li­sa­tion des iden­ti­tés des uti­li­sa­teurs. Actuel­le­ment, les édi­teurs doivent cen­tra­li­ser les iden­ti­tés de tous leurs clients pour les authen­ti­fier via des mots de passe. Cette cen­tra­li­sa­tion attire les pirates, qui cherchent à s’emparer de ces don­nées. C’est pour­quoi des entre­prises comme Free, Bou­lan­ger, Le Point et Kia­bi ont été vic­times de vols mas­sifs de don­nées. En décen­tra­li­sant les iden­ti­tés, même si un pirate par­vient à obte­nir des clés cryp­to­gra­phiques, il ne pour­ra pas les asso­cier à d’autres infor­ma­tions sen­sibles. Cette approche pour­rait se déployer lar­ge­ment, bien que nous venions tout juste de la lancer.

https://www.vaultys.com/

---

Articles similaires :

Cam­pus Cyber : la vitrine de l’excellence fran­çaise en cybersécurité Connaître et anti­ci­per la menace : un enjeu déci­sif pour se pro­té­ger efficacement Des accès sécu­ri­sés pour un sys­tème d’information mieux protégé ! Le Cam­pus Cyber : la force du col­lec­tif pour lut­ter contre la menace cyber Pour l’avenir de la France