Authentification mobile Instauration d un commerce sécurisé sans contrainte
Le commerce mobile est en plein essor 58 % Plus de 1,7 milliards de clients disposeront d un smartphone d ici 2018 1 des opérations en ligne ont été effectuées à partir de smartphones au cours du 4 e trimestre 2014 2 1 Statista, www.statista.com 2 Joshua Stanphill, Teamwork Retail, 2015 2
Pourtant, l adoption du commerce mobile à grande échelle se heurte encore à de nombreux obstacles Et chacun a ses priorités Les clients exigent fiabilité et sécurité Personne n a envie de voir sa ligne bloquée en raison d un problème technique ou pire, de se voir dérober son identité. De plus, n est-il pas risqué de stocker toutes ses informations confidentielles sur un appareil qui peut être perdu ou volé? Les commerçants et fournisseurs de services recherchent simplicité et économies Les clients sont-ils demandeurs de technologie mobile? Cette technologie rendra-t-elle les opérations plus simples ou plus compliquées? Ils s interrogent également sur les problèmes de responsabilité en cas de failles de sécurité, ainsi que sur le coût initial et les difficultés de mise en œuvre. Les fabricants de téléphone cherchent à se démarquer de la concurrence et à identifier une nouvelle source de revenus Quelles normes et technologies offriront aux utilisateurs le meilleur confort d utilisation sans compromettre la sécurité de leurs informations? Ils doivent, par ailleurs, comprendre comment ils pourront augmenter leurs revenus par ce biais. 3
La sécurité : la préoccupation majeure des clients À une époque où les récits de cyberattaques et de brèches de sécurité se multiplient sur Internet et dans les médias grand public, il n est pas étonnant que chacun s inquiète de la sécurité de ses informations. La perspective de charger des données personnelles et financières confidentielles sur un appareil, puis de les partager d un clic ou d une pression du doigt conduit à des conclusions d enquête semblables à celles qui suivent. Les clients considèrent que les bitcoins sont plus sûrs que les portefeuilles mobiles Raisons d inquiétude concernant les opérations sur mobile Cartes de crédit Cartes de paiement Crypto-monnaie 3 % 16 % 22 % 56 % Espèces Sécurité Facilité globale d utilisation Disponibilité chez les COMMERÇANTS 66 % 65 % 84 % Chèques 2 % Portefeuilles mobiles 1 % 4
Une authentification transparente et fiable est cruciale La mobilité peut révolutionner notre approche traditionnelle de l authentification. Alors que la plupart des consommateurs ont pris l habitude d effectuer des opérations en ligne depuis leur ordinateur, l utilisation d un smartphone pour de telles tâches reste un sujet d inquiétude. Pourtant, cette réaction n a pas beaucoup de sens. En effet, une authentification fiable peut être confirmée par trois éléments simples : Un élément connu, comme un mot de passe Un élément en votre possession, comme un jeton ou une carte chiffrée Un élément d identification, comme une empreinte Les smartphones peuvent prendre en charge ces trois éléments, de façon distincte ou combinée. Les données peuvent être protégées par mot de passe. Les téléphones peuvent transmettre des données chiffrées qui confirment l identité de leur utilisateur. De plus, la puissance de calcul toujours croissante des smartphones, combinée à leur capacité optique, rendent ces appareils parfaitement adaptés à la lecture des empreintes et à l exécution d algorithmes de reconnaissance faciale ou d analyse rétinienne. «les paiements sur mobile ne sont pas intrinsèquement vulnérables. Tout est une question de communication. Il est important d insister sur la sécurité qui peut être garantie à l occasion de paiements sur mobile.» Jordan McKee, Analyste, 451 Research LLC, Extrait de Digital Transaction News 5
En réalité, les appareils mobiles constituent des moyens d authentification parfaits Parallèlement à leur capacité technologique à prendre en charge les trois principaux modes d authentification, les smartphones présentent plusieurs caractéristiques utilisateurs qui les rendent plus intéressants que les dispositifs d authentification. Quasiment tout le monde a un smartphone. La plupart des gens se servent d un seul appareil, et les téléphones mobiles ne sont pratiquement jamais utilisés par plus d une personne. Ces caractéristiques font donc des smartphones un support idéal pour conserver sur soi ses données d authentification personnelles, au gré de ses déplacements. Les smartphones prennent également en charge tous les schémas d authentification À l heure actuelle, trois grands schémas d authentification sont employés. Une fois encore, tous sont pris en charge par les smartphones : avec : les données d authentification peuvent être transmises avec le téléphone (mot de passe à usage unique, applications d authentification). À : l utilisation de l appareil peut être limitée exclusivement à l utilisateur autorisé (empreinte, clé d accès). Via : les données d identification peuvent être transmises via le téléphone en vue d une confirmation tierce (reconnaissance faciale). L authentification mobile peut également combiner les données de plusieurs schémas, par exemple pour la géolocalisation, l achat de billets d avion et le profil de l utilisateur, dans le but de créer un niveau de confiance supplémentaire. 6
Des schémas différents pour des besoins différents Toutes les applications ne nécessitent pas le même niveau de sécurité en matière d authentification ni la même durée de validité. Imaginez si tout le monde pouvait avoir dans sa poche un petit appareil programmé pour fournir l authentification nécessaire dans pratiquement toutes les situations. Exemples : Authentification à court terme : pour les informations d identification, notamment celles utilisées pour les cartes d embarquement et les clés d hôtel, l émetteur doit être en mesure d assigner une durée de validité limitée afin de garantir leur sécurité. Authentification à moyen terme : les émetteurs d informations d identification, notamment celles utilisées pour les badges professionnels et les cartes de crédit ou de paiement, souhaitent que ces informations expirent après plusieurs mois ou années, à intervalles réguliers, afin de supprimer les informations d identification inactives de leurs données. Authentification à long terme : comme il est pratiquement impossible de les contrefaire, les marqueurs biométriques comme les empreintes et les modèles rétiniens peuvent servir d informations d authentification tout au long de la vie. Rappelons une fois encore que l authentification mobile est une méthode technologique souple qui prend en charge ces trois scénarios. 7
Création d informations d authentification exploitables Pour créer une expérience utilisateur simple, sécurisée et fiable qui permette de renforcer la sécurité des opérations mobiles, les appareils mobiles doivent gérer correctement les trois tâches suivantes : Provisioning et gestion du cycle de vie Sur un téléphone, le téléchargement et l enregistrement de données personnelles et financières confidentielles doivent être simples et sécurisés, et les données doivent être accessibles à tout moment. Les informations d identification utilisées sur les smartphones doivent être valides tout au long de leur cycle de vie, et être faciles et rapides à renouveler en cas de besoin. Utilisation à la demande Les utilisateurs doivent être certains qu ils ne risquent rien lorsqu ils souhaitent utiliser leur téléphone pour effectuer une opération. Des signaux cellulaires faibles ou une mauvaise connexion Wi-Fi ne peuvent pas entraver la réalisation de l opération. Validation, réconciliation et retour d informations Les utilisateurs doivent pouvoir s authentifier facilement et obtenir la confirmation que leur opération a bien été exécutée. En cas d échec, une solution alternative doit prendre le relais automatiquement pour assurer une gestion adéquate de la situation. Une fois encore, les smartphones permettent de réaliser toutes ces opérations : téléchargement, exécution de l opération et validation. 8
Création d informations d authentification exploitables Comme indiqué précédemment, les smartphones peuvent non seulement être utilisés à des fins d authentification, mais ils sont aussi particulièrement adaptés à une telle tâche. Provisioning Sur un smartphone, il suffit de télécharger les informations d identification une fois pour pouvoir les utiliser tout au long de leur cycle de vie. Les informations d identification à court terme, comme pour les cartes d embarquement, peuvent être supprimées ou stockées. Les informations à long terme comme pour les cartes de crédit, résident sur l appareil jusqu à leur expiration. Utilisation multimode Les utilisateurs peuvent voir comment se déroule une opération et interagir directement par le biais d une interface afin de valider l opération, d ajouter un conseil, de fournir des commentaires, etc. Dans le même temps, les processus backend sont automatisés et ne requièrent aucune intervention de l utilisateur. Enregistrement de l historique d utilisation Les utilisateurs peuvent faire leur propre audit en vérifiant simplement les enregistrements sur leur téléphone. Ils peuvent ainsi confirmer les frais facturés et détecter immédiatement les erreurs. 9
Et ensuite? Le système d authentification évolue fondamentalement. L objectif n est plus simplement de bloquer l accès des personnes malintentionnées. Désormais, les consommateurs échangent volontairement davantage d informations à leur sujet pour bénéficier d un niveau de sécurité accru, gagner du temps et profiter d avantages. Le programme TSA Clear, dans le cadre duquel les voyageurs se soumettent à une vérification approfondie de leurs antécédents en contrepartie d un contrôle de sécurité aéroportuaire rationalisé, illustre parfaitement cette évolution. 1. provisioning Vous devez être en mesure d obtenir vos informations d identification Personnalisation et définition des détails personnels des cartes Vérification de l utilisateur et de l appareil avant le provisioning Prise en charge du cycle de vie en tenant compte des imprévus liés à la perte ou à l acquisition d un téléphone, d une carte, des modifications du profil, etc. 2. application d informations d identification Vous devez être en mesure d utiliser vos informations d identification Expérience «Tap and Pay» rapide et aisée Activation ou désactivation de la carte virtuelle de l utilisateur, le cas échéant exceptions : messages d erreur pour la résolution des problèmes Autres options Accès possible aux ressources : salles, bâtiments, ordinateurs, argent 3. Infrastructure back-end Validation et vérification des informations d identification Autorisation de la nouvelle méthode de paiement Affichage de messages de confirmation ou de notifications 10
L objectif final : une authentification sans contrainte Plus de 95 % des consommateurs déclarent être moins fidèles aux sociétés proposant une expérience mobile contraignante. 9 Cette conclusion vient à l appui de la prévision du cabinet Forrester pour lequel l authentification et la sécurité mobiles tendront à devenir de plus en plus conviviales. 10 Pour commencer à réduire les contraintes, vous pouvez d ores et déjà adopter une solution souple et évolutive qui intègre à la fois une authentification basée sur les risques reposant sur des analyses complexes, un modèle de réseau comportemental et neural, et un ensemble flexible de règles dynamiques, ainsi qu un large éventail d informations d authentification multifacteurs fortes. L objectif est de confirmer l identité de l utilisateur jusqu à un degré qui n oblige pas les entreprises à faire des sacrifices susceptibles d entraver leur capacité à proposer une formidable expérience utilisateur à leurs clients. Au cours des 12 derniers mois, les paiements sur mobile ont connu une croissance fulgurante et de rapides évolutions, ce qui a incité les consommateurs à effectuer davantage d achats de plus grande valeur sur les appareils mobiles. Une approche sans contrainte ni intervention en matière d authentification n a jamais été aussi importante qu aujourd hui. Grâce à la culture d innovation sans cesse grandissante des leaders, ce qui paraissait autrefois de la science-fiction devient rapidement réalité. Gagner en quiétude Expérience utilisateur enrichissante, garantie par un niveau de sécurité capable d assurer une véritable tranquillité d esprit 9 Make Service Easy, Salesforce, 6 juin 2014 10 Forrester Research, Inc., Top 15 Trends S&R Pros Should Watch: 2014 (18 avril 2014) 11
Les solutions d authentification de CA Technologies CA Technologies propose un portefeuille de solutions d authentification et de paiement avancées, adaptées à chaque situation, incluant notamment des fonctionnalités d authentification mobiles. Nos offres incluent : Authentification forte Déploiement et application de nombreuses méthodes d authentification forte de manière efficace et centralisée. Interaction en ligne sécurisée avec vos employés, clients et utilisateurs grâce à une authentification forte multifacteur compatible avec les applications internes et Cloud. Applications d authentification mobile et kits de développement logiciel (SDK), ainsi que plusieurs formes d authentification hors bande. Mot de passe à usage unique pour mobile La technologie dynamique de mot de passe à usage unique de CA Technologies envoie un mot de passe unique, à durée limitée et valide une seule fois, sur le téléphone de l utilisateur. Ce mot de passe : simplifie l authentification ; réduit considérablement les risques de pertes dues aux fraudes ; est compatible avec la technologie SaaS et avec pratiquement tous les portails ou canaux ; confère une solution d authentification universelle peu risquée et à forte valeur ajoutée. Authentification renforcée pour mobile Peut être combinée au mot de passe à usage unique pour créer un niveau de sécurité supplémentaire. les utilisateurs peuvent demander à recevoir une question par SMS, message vocal ou courriel quand une opération est initiée. l utilisateur doit répondre à cette question et confirmer sa légitimité pour finaliser l opération. 12
Les solutions d authentification de CA Technologies CA Risk Authentication Des règles basées sur les risques et des analyses statistiques détectent et bloquent les fraudes en temps réel, sans aucune interaction avec l utilisateur. Vous pouvez créer un processus d analyse des risques adaptatif qui calcule le risque de fraude induit par chaque connexion et opération en ligne en vous appuyant sur des facteurs contextuels comme l ID de l appareil, la géolocalisation, l adresse IP et les informations relatives à l activité de l utilisateur, afin de calculer un indice de risque et de proposer des mesures appropriées. CA Risk Analytics Garantit le juste équilibre entre sécurité et convivialité grâce à un système de détection des fraudes qui évalue de façon transparente et en temps réel le risque de fraude d une opération de commerce électronique pendant la phase d authentification. Identifie la majeure partie des opérations légitimes pour permettre aux consommateurs de continuer tranquillement leurs achats, en s appuyant sur des analyses complexes, un modèle de réseau comportemental et neuronal, et un ensemble souple de règles dynamiques. La gestion en temps réel des incidents permet aux analystes des fraudes et aux représentants du service client d accéder immédiatement aux données relatives aux fraudes. CA Advanced Authentication SaaS S appuie sur un service d authentification polyvalent qui inclut des informations d identification multifacteurs et des fonctions d évaluation des risques afin d empêcher les accès non autorisés et frauduleux. Ce service vous permet de déployer et de gérer facilement diverses méthodes d authentification pour vos utilisateurs, sans subir les traditionnels coûts d implémentation, d infrastructure et de maintenance. 13
Découvrez comment CA Technologies met en œuvre l authentification mobile dernière génération : ca.com/fr/payment-security CA Technologies (NASDAQ : CA) crée des logiciels qui alimentent la transformation des entreprises et leur permettent de saisir toutes les opportunités de l économie des applications. Dans tous les secteurs, les modèles économiques des entreprises sont redéfinis par les applications. Partout, une application sert d interface entre une entreprise et un utilisateur. CA Technologies aide ces entreprises à saisir les opportunités créées par cette révolution numérique et à naviguer dans «l Économie des applications». Grâce à ses logiciels pour planifier, développer, gérer la performance et la sécurité des applications, CA Technologies aide ainsi ces entreprises à devenir plus productives, à offrir une meilleure qualité d expérience à leurs utilisateurs, et leur ouvre de nouveaux relais de croissance et de compétitivité sur tous les environnements : mobile, Cloud, distribué ou mainframe. Pour en savoir plus, rendez vous sur ca.com/fr. Copyright 2015 CA. Tous droits réservés. Tous les noms et marques déposées, dénominations commerciales, ainsi que tous les logos référencés dans le présent document demeurent la propriété de leurs détenteurs respectifs. Ce document est uniquement fourni à titre d information. CA décline toute responsabilité quant à l exactitude ou l exhaustivité des informations qu il contient. Dans les limites permises par la loi applicable, CA fournit le présent document «tel quel», sans garantie d aucune sorte, expresse ou tacite, notamment concernant la qualité marchande, l adéquation à un besoin particulier ou l absence de contrefaçon. En aucun cas, CA ne pourra être tenu pour responsable en cas de perte ou de dommage, direct ou indirect, résultant de l utilisation de ce document, notamment la perte de profits, l interruption de l activité professionnelle, la perte de clientèle ou la perte de données, et ce même dans l hypothèse où CA aurait été expressément informé de la survenance possible de tels dommages. Les informations et résultats illustrés ici reposent sur l expérience de l intervenant dans l utilisation des logiciels cités, dans une multitude d environnements (qu il s agisse ou non d environnements de production). Les performances passées de ces logiciels dans ces environnements ne constituent pas nécessairement une indication de leurs performances futures dans des environnements identiques, similaires ou différents). CS200-130570