Les administrateurs d’annuaire doivent toujours vérifier l’identité d’un utilisateur qui demande la réinitialisation de l’authentification multifacteur, afin de s’assurer que la demande de réinitialisation est valide avant de procéder à la réinitialisation.
Les attaquants ciblent généralement les flux de réinitialisation de mot de passe et d’authentification multifacteur pour compromettre l’identité d’un utilisateur et accéder aux systèmes avec les informations d’identification de cet utilisateur. Pour cette raison, il est important de s’assurer que vous, en tant qu’administrateur de l’annuaire, êtes totalement sûr que tout utilisateur qui vous demande une réinitialisation de l’authentification multifacteur est bien celui qu’il prétend être.
En tant qu’administrateur de l’annuaire, vous êtes responsable du choix du mode de vérification de l’identité d’un utilisateur. Procore ne vérifie pas l’identité des utilisateurs qui doivent réinitialiser l’authentification multifacteur, à moins qu’ils n’aient les autorisations de débourseur pour Procore Pay.
Les options courantes de vérification d’identité sont les suivantes :
Vérification par vidéo ou en personne (la plus sécurisée). Lors de la vérification de l’identité d’un utilisateur par appel vidéo ou en personne, vous pouvez lui demander de présenter une pièce d’identité avec photo pour confirmer son identité. Si vous connaissez personnellement l’utilisateur, vous pouvez confirmer son identité simplement en voyant son visage.
Vérification du téléphone (quelque peu sécurisé). Lorsque vous vérifiez l’identité d’un utilisateur par téléphone, vous pouvez lui poser des questions personnelles ou professionnelles auxquelles il est le seul à connaître la réponse. Si vous connaissez personnellement l’utilisateur, vous pourrez peut-être reconnaître sa voix, ce qui est un autre bon indicateur que la personne est bien celle qu’elle prétend être.
Vérification par e-mail ou par SMS (le moins sécurisé). Lorsque vous vérifiez l’identité par SMS ou par e-mail, gardez à l’esprit qu’un attaquant demandant une réinitialisation peut avoir eu accès au compte de messagerie ou au téléphone de l’utilisateur. Étant donné que cette méthode de vérification n’implique pas la voix ou la présence visible de l’utilisateur qui fait la demande de réinitialisation, c’est une bonne idée de demander une vérification supplémentaire en posant des questions personnelles ou professionnelles, en fonction de votre relation avec l’utilisateur, pour aider à confirmer qu’il est bien celui qu’il prétend être. Les options de vérification plus sécurisées sont généralement un meilleur choix.
OU...
Vérification basée sur les connaissances. Posez à l’utilisateur des questions auxquelles il est le seul à connaître la réponse, que ce soit par téléphone, SMS ou e-mail. C’est une bonne idée de combiner cette méthode de vérification avec la vérification d’identité avec photo.
Vérification d’une pièce d’identité avec photo. Demandez à l’utilisateur de fournir l’image d’une pièce d’identité avec photo émise par le gouvernement. C’est une bonne idée de combiner cette méthode de vérification avec une vérification basée sur les connaissances ou en personne.
Vérification en personne. Demandez à l’utilisateur de vérifier son identité en personne ou lors d’un appel vidéo. C’est une bonne idée de combiner cette méthode de vérification avec la vérification d’identité avec photo si vous ne connaissez pas personnellement l’utilisateur qui fait la demande.