Très souvent, la sécurité d’un périmètre ou d’un environnement focalise une attention particulière aux processus d’authentification ainsi qu’aux moyens mis à disposition aux utilisateurs pour y parvenir. Quelles méthodes, quelles conditions, quels protocoles mettre en place ? La MFA est un principe de base maintenant acquis pour tous et set présent dans une majorité de systèmes, mais le mot de passe reste alors encore de la partie.
Qu’est-ce que le Passwordless ?
Le concept de Passwordless (sans mot de passe) désigne une méthode d’authentification qui permet aux utilisateurs de se connecter à des systèmes ou des services sans avoir à utiliser un mot de passe traditionnel.
Autrement dit, le concept de Passwordless regroupe plusieurs méthodes d’authentification différentes, comme :
- Passkey via Microsoft Authenticator
- Push via Microsoft Authenticator
- FIDO2
- Windows Hello
- SmartCard
Pourquoi vouloir se débarrasser du mot de passe ?
L’objectif principal du Passwordless est de réduire les risques de compromission liés aux mots de passe traditionnels, comme les attaques par hameçonnage (phishing), les vols de mot de passe, ou encore les mauvaises pratiques liées à la gestion des mots de passe (mots de passe faibles ou réutilisés).
Passwordless vs MFA ?
Passwordless et MFA (Multi-Factor Authentication) sont 2 méthodes d’authentification sécurisée, mais elles diffèrent dans leur approche et leur mise en œuvre.
Des fonctionnalités telles que l’authentification multifacteur (MFA) sont un excellent moyen de sécuriser votre organisation, mais les utilisateurs sont souvent frustrés par la couche de sécurité supplémentaire en plus de devoir mémoriser leurs mots de passe.
Les méthodes d’authentification sans mot de passe sont plus pratiques, car le mot de passe est supprimé et remplacé par quelque chose que vous avez ou quelque chose que vous êtes ou connaissez.
Voici une comparaison entre ces 2 concepts :
| Caractéristique | Passwordless | MFA (Multi-Factor Authentication) |
| Utilisation des mots de passe | Aucune utilisation de mot de passe | Utilise souvent un mot de passe + autre facteur |
| Sécurité | Très sécurisé (aucun mot de passe à compromettre) | Très sécurisé (nécessite plusieurs facteurs) |
| Expérience utilisateur | Fluide et simplifiée | Peut être plus complexe (plusieurs étapes) |
| Technologie utilisée | Biométrie, clés de sécurité, lien magique, etc. | Combinaison de mot de passe + SMS, email, biométrie |
| Exemples d’utilisation | Connexion par empreinte digitale, lien magique | Connexion par mot de passe + code SMS ou app Authenticator |
Dans cet article, je vous propose de mettre en place et de tester l’authentification Passwordless via l’application Microsoft Authenticator sur smartphone pour une identité 365 :
- Etape 0 – Rappel des prérequis
- Etape I – Configuration du tenant
- Etape II – Configuration du l’utilisateur
- Etape III – Configuration MFA
- Etape IV – Configuration Passwordless
- Etape V – Test du Passwordless
Etape 0 – Rappel des prérequis :
Pour réaliser cet exercice sur la méthode Passwordless de Microsoft, il vous faudra disposer de :
- Un tenant Microsoft
- Un smartphone sous iOS ou Android ayant la dernière version de Microsoft Authenticator
Important : à l’issue de cette démonstration, gardez en tête que votre smartphone sera enregistré (mais non managé) dans chaque tenant Microsoft où il sera utilisé pour se connecter en Passwordless.
Commençons par activer le service Passwordless sur le tenant 365.
Etape I – Configuration du tenant :
Pour cela, rendez-vous dans la section suivante de votre portail Entra, puis cliquez sur Microsoft Authenticator :
Si ce n’est pas encore le cas, activez la méthode d’authentification Microsoft Authenticator :
Définissez le périmètre des utilisateurs concernés en laissant le mode d’authentification à Any ou Passwordless :
Basculez sur le second onglet afin d’activer ou non Microsoft Authenticator OTP :
L’option suivante exigeant de retaper le numéro affiché n’est pas modifiable :
Choisissez au besoin ou non d’afficher l’application demandant l’authentification Passwordless :
Choisissez au besoin ou non d’afficher la localisation du demandeur de l’authentification Passwordless :
Choisissez au besoin ou non d’afficher Microsoft Authenticator sur les applications de type Compagnon :
Enfin, cliquez sur Sauvegarder :
Afin de comprendre le fonctionnement du processus depuis l’enrôlement de départ de Microsoft Authenticator, il est préférable de créer un utilisateur de test.
Etape II – Configuration du l’utilisateur :
Toujours sur votre portail Entra, cliquez ici pour créer un nouvel utilisateur sur votre tenant Microsoft :
Renseignez-lui un UPN, un nom d’affichage, ainsi qu’un mot de passe temporaire, puis lancez la validation Entra :
Une fois la validation Entra réussie, lancez la création de votre utilisateur des test :
Une fois l’utilisateur créé, ouvrez le navigateur internet de votre choix en mode privé :
Rendez-vous sur la page office.com, puis cliquez ici pour vous authentifier :
Saisissez le nom de compte de votre utilisateur de test ainsi que son mot de passe provisoire :
Définissez un nouveau mot de passe :
Cliquez sur Oui :
Notre environnement 365 et notre utilisateur sont maintenant créé.
Passons maintenant à l’étape suivante qui consiste à associer Microsoft Authenticator à notre compte de test.
Etape III – Configuration MFA :
En haut à droite, cliquez ici pour afficher les propriétés de votre compte 365 :
Dans l’onglet dédié aux informations de sécurité, ajoutez une nouvelle méthode d’authentification :
Choisissez la méthode suivante pour configurer Microsoft Authenticator :
Installez au besoin l’application Microsoft Authenticator depuis un store d’applications, puis cliquez sur Suivant :
Cliquez sur Suivant :
Choisissez le type Compte professionnel ou scolaire :
Cliquez ici pour utiliser l’appareil photo afin de scanner le QR code :
Scanner le QR code présenté par Microsoft :
Une fois scanné, cliquez sur Suivant :
Une notification est alors envoyée à votre smartphone :
Saisissez le nombre précédemment affiché, puis cliquez sur Oui :
Confirmez votre identité sur le smartphone via un code PIN ou une empreinte digitale :
La méthode Microsoft Authenticator est maintenant correctement configurée sur votre compte de test, cliquez alors sur Suivant :
La méthode Microsoft Authenticator apparaît alors sur votre compte en tant que méthode dite MFA :
L’utilisateur de test est maintenant correctement configuré avec un mot de passe traditionnel et une méthode de sécurité de type MFA.
Etape IV – Configuration Passwordless :
Afin d’activer la méthode Passwordless, nous allons transformer le compte de test enregistré sur l’application Microsoft Authenticator.
Pour cela, ouvrez l’application Microsoft Authenticator, sélectionnez votre compte de test, puis cliquez ici pour activer la fonctionnalité Passwordless :
Microsoft vous informe que l’appareil sera inscrit dans le tenant ID correspondant, cliquez sur Continuer
Sur l’application Microsoft Authenticator, renseignez le mot de passe de votre compte de test :
Un nombre apparaît alors sur la fenêtre, ainsi qu’une notification Microsoft Authenticator, vous demandant de ressaisir ce dernier :
Confirmez votre identité sur le smartphone via un code PIN ou une empreinte digitale :
Cliquez ici pour confirmer l’enregistrement de votre smartphone sur le tenant ID concerné :
Microsoft Authenticator vous confirme le succès des opérations et de l’activation de la fonctionnalité Passwordless, cliquez alors sur Terminer :
Retournez sur le portail Entra afin de constater l’apparition de votre smartphone en tant que périphérique enregistré :
De retour sur les éléments de sécurité de votre utilisateur de test, la méthode Microsoft Authenticator s’est transformée de MFA à Passwordless :
Tout notre environnement de test est maintenant configuré. Il ne nous reste qu’à tester que la méthode Passwordless fonctionne correctement à la place du mot de passe.
Etape V – Test du Passwordless :
Rouvrez à nouveau un navigateur internet en mode privée :
Rendez-vous à nouveau sur la page office.com, puis cliquez ici pour vous authentifier :
Saisissez le nom de compte de votre utilisateur de test, puis, au lieu de renseigner son mot de passe, cliquez sur le choix suivant :
Microsoft envoie alors une notification sur le smartphone configuré comme Passwordless :
Ouvrez la notification Microsoft Authenticator, puis ressaisissez le nombre précédemment indiqué par Microsoft :
De retour sur votre navigateur, confirmez votre souhait de rester authentifié en cliquant sur Oui :
La page d’accueil d’Office 365 s’ouvre bien, l’utilisateur s’est correctement authentifié sans mot de passe :
Côté traçabilité, il est possible de retrouver des logs des authentifications Passwordless dans plusieurs écrans de Microsoft :
Côté utilisateur, via sa gestion de compte :
Côté Administrateur, via la vue des logs d’un utilisateur sur Entra ID :
Ou via une requête KQL après l’activation Log Analytics sur Entra ID :
SigninLogs
| where AuthenticationDetails has "passwordless"
| project TimeGenerated, UserPrincipalName, AuthenticationDetails , ResultDescription
| order by TimeGenerated desc
Conclusion
En conclusion, l’adoption du Passwordless avec Microsoft Authenticator constitue une avancée significative dans la sécurisation des environnements numériques tout en améliorant l’expérience utilisateur.
En éliminant la nécessité de mémoriser et de gérer des mots de passe, cette méthode réduit les risques liés aux compromissions, telles que les attaques de phishing ou le vol de mots de passe.
De plus, elle simplifie les processus d’authentification, rendant l’accès aux services plus fluide. Pour les entreprises, c’est une opportunité d’offrir un meilleur équilibre entre sécurité et facilité d’utilisation, tout en renforçant la confiance des utilisateurs dans la protection de leurs données.
Bref, aucune méthode n’est jamais parfaite 😎 :
