Article

NEOWAVE, spécialiste français de l’authentification forte et des transactions sécurisées, annonce la conformité de ses produits FIDO2 aux exigences de sécurité de la certification FIDO2 L2, marquant une nouvelle étape dans le renforcement de la protection des identités numériques. Conçus et fabriqués  en France, les tokens Winkeo2J FIDO2 et les cartes à puce Badgeo FIDO2 de NEOWAVE offrent aux organisations des solutions d’authentification robustes, souveraines et alignées avec les standards de  sécurité internationaux et européens les plus exigeants.  Des solutions FIDO2 souveraines conformes aux plus hauts standards de sécurité Dans un contexte de menace cyber en forte intensification, comme le souligne le rapport d’activité et l’état de la menace 2025 de Cybermalveillance.gouv.fr, avec une  hausse de 20 % des victimes assistées et une explosion des violations de  données, le renforcement des dispositifs d’authentification devient un enjeu stratégique. L’essor des attaques d’hameçonnage (+70 %) confirme la nécessité de solutions robustes pour sécuriser l’accès aux services numériques.  Portée par la Alliance FIDO, la certification FIDO2 L2 garantit un haut niveau de sécurité en vérification d’identité,  en s’assurant que l’utilisateur est bien une personne réelle et en protégeant les données sensibles dans un  environnement sécurisé et isolé. Une certification L2 apporte un renforcement significatif de la confiance pour  les processus de vérification d’identité, réduisant le risque de piratage de compte et d’enregistrements  frauduleux.  À l’issue de la phase d’évaluation, le lab SGS Brightsight a confirmé la conformité des produits NEOWAVE à  l’ensemble des exigences de la certification FIDO2 L2. Ces solutions répondent ainsi aux besoins croissants des  entreprises, administrations et acteurs réglementés recherchant des dispositifs de cybersécurité fiables,  souverains et conformes aux standards internationaux et européens.  Les principales caractéristiques des produits NEOWAVE : Authentification sans mot de passe (passwordless) : compatibilité FIDO2 (CTAP 2.1) et FIDO U2F – Signature électronique qualifiée : intégration d’une applet PKI certifiée QSCD eIDAS pour sa gamme FIDO2+QSCD – Applications HOTP/TOTP : intégration d’une applet HOTP/TORP pour sa gamme FIDO2 + OTP – Composant certifié Critères Communs EAL6+ répondant aux exigences de sécurité les plus strictes. – Compatibilité des cartes Badgeo avec les systèmes de contrôle d’accès physique notamment DESFire – Une offre à 360% : des clés de sécurité & des cartes à puce FIDO2, QSCD et OTP, et des lecteurs de cartes à puce – Compatibilité multi-OS et navigateurs : Windows, Mac OS, Linux, Android, iOS, Chrome, Edge, Firefox, etc. – Produits fabriqués en France et labelisés Cybersecurity Made In Europe  « Cette nouvelle étape confirme l’engagement de NEOWAVE à renforcer en continu le niveau de sécurité de ses  produits. Elle illustre également notre capacité à innover et à concevoir en France des technologies de pointe, au  service de la transformation numérique des acteurs clés de notre économie.» déclare Bruno BERNARD, Président  de NEOWAVE. Pour plus d’informations : NEOWAVE : https://neowave.fr/  Présentation du produit lors du Forum INCYBER (FIC) : Du 31 mars au 2 avril, stand G32. A propos de NEOWAVE : Basée à Gardanne (Bouches-du-Rhône), la société NEOWAVE est spécialisée dans l’authentification forte et les  transactions sécurisées. Créée en 2007 au cœur du Pôle de compétitivité AKTANTIS, elle commercialise des  produits qui reposent sur des technologies d’authentification forte. Ils combinent le haut niveau de sécurité offert  par la carte à puce avec les avantages des technologies de stockage et de connectivités: USB, RFID / NFC et  Bluetooth Low Energy (BLE). Ils adressent les marchés de la cybersécurité, de la confiance numérique et de la  gestion des identités.   Les produits de NEOWAVE sont 100% Made in France, de la phase de conception jusqu’aux phases de production  et de déploiement. Ils sont par ailleurs labellisés « Cybersecurity Made in Europe » et sont conformes aux  exigences de sécurité des agences européennes.   NEOWAVE est partenaire Microsoft pour ses solutions d’authentification « Passwordless » FIDO2. Ses produits  sont également référencés par l’UGAP (Union des groupements d’achats publics).   Contacts presse : NEOWAVE  Corinne JOACHIN  Responsable Marketing et Communication  https://www.neowave.fr/ Tel: +33 4 42 50 70 05 – contact@neowave.fr

Le Principe du Moindre Privilège : La véritable fondation d’une stratégie Zero Trust Pendant longtemps, la cybersécurité s’est appuyée sur une image familière : celle du château-fort.Nous avons bâti des murailles numériques (pare-feux, VPN) et creusé des douves virtuelles en partant d’une idée simple : les menaces viennent de l’extérieur, et tout ce qui se trouve à l’intérieur est digne de confiance. Ce modèle, rassurant mais simpliste, ne tient plus face aux réalités actuelles.Cloud hybride, télétravail généralisé, interconnexions avec des partenaires : le périmètre traditionnel a volé en éclats. Dans ce contexte, une approche s’impose : le Zero Trust.Son principe — « Ne jamais faire confiance, toujours vérifier » — marque un changement radical de paradigme. Mais cette révolution s’inscrit dans la continuité d’un concept clé, déjà promu depuis longtemps par des autorités comme l’ANSSI : le Principe du Moindre Privilège (PoLP), qui consiste à limiter chaque accès au strict nécessaire. Aujourd’hui, adopter le Zero Trust, ce n’est pas suivre une mode : c’est revenir aux fondamentaux, mais avec les outils et la vision adaptés à notre monde hyperconnecté. 1. La fondation : Le moindre privilège, une philosophie dictée par l’ANSSI Avant d’être un pilier du Zero Trust, le PoLP est une règle d’or de l’hygiène informatique. L’ANSSI, dans ses guides de référence, lui accorde une place centrale. Un « privilège » est défini comme ce qui permet à une tâche de mener légitimement une action sur une ressource. Le PoLP stipule alors qu’une tâche « ne doit bénéficier que des privilèges strictement nécessaires à l’exécution du code menant à bien ses fonctionnalités ».   Pour traduire cette philosophie en action, l’ANSSI préconise une posture radicale mais efficace : « Interdire par défaut toute action et procéder à l’autorisation exclusive de ce qui est nécessaire ». Cette approche de « déni par défaut » est cruciale car elle inverse la charge de la preuve. Au lieu d’accorder des droits larges et de risquer des oublis en tentant de les révoquer, on part d’une base saine où rien n’est permis.   Pour rendre ce concept opérationnel, l’ANSSI insiste sur plusieurs actions concrètes : Gestion drastique des comptes à privilèges : Leur usage doit être limité, nominatif et justifié. Surtout, l’accès ne doit jamais être permanent, mais accordé via une élévation temporaire des droits, qui sont révoqués dès la fin de la tâche pour combattre la « dérive des privilèges ».   Gouvernance et revue continue des droits : Des audits périodiques sont essentiels pour traquer et supprimer les « droits fantômes » ou les accès excessifs, qui sont des portes d’entrée béantes pour les attaquants et une exigence pour des réglementations comme le RGPD ou NIS 2.   Authentification systématiquement renforcée (MFA) : Protéger les accès critiques par un simple mot de passe est impensable. La MFA, combinant plusieurs facteurs (ce que l’on sait, ce que l’on possède, ce que l’on est), est une nécessité absolue, en particulier pour les accès distants et les plateformes cloud.   Sécurisation des Accès Tiers : L’ANSSI porte une attention particulière aux prestataires, exigeant des comptes dédiés, des annuaires séparés, des canaux sécurisés (VPN IPsec) et des accès « à la demande » via un « rebond éphémère » pour isoler le SI et appliquer le Just-in-Time.   2. L’arsenal technologique : du bastion au PAM, l’outillage du contrôle L’application rigoureuse du PoLP ne peut reposer sur la seule bonne volonté. Elle exige un outillage spécifique. Le bastion d’administration : C’est le point de passage obligé, le sas de sécurité historique. Ce serveur durci, dont le nom est une analogie militaire directe , centralise les accès à privilèges, isole les ressources critiques du poste de l’administrateur (le fameux « rebond ») et assure une traçabilité complète en enregistrant toutes les sessions pour l’audit et le forensic.   La gestion des accès à privilèges (PAM) : Le PAM est bien plus qu’un bastion ; c’est une discipline de sécurité complète qui orchestre intelligemment le PoLP. Une solution PAM moderne intègre les fonctions du bastion et les sublime avec :   Un coffre-fort de secrets qui stocke et renouvelle automatiquement les mots de passe, les rendant inconnus des humains et des applications.   L’élévation de privilèges « Just-in-Time » (JIT) et « Just-Enough-Access » (JEA), qui permet à un utilisateur standard d’obtenir des droits élevés temporaires et granulaires pour une tâche précise, sans jamais posséder un compte administrateur permanent.   Une surveillance active des sessions avec la capacité de détecter des comportements anormaux (connexions à des heures inhabituelles, commandes suspectes) et de mettre fin à une session en temps réel.   Le PAM transforme ainsi le PoLP d’un principe statique à une politique dynamique, automatisée et vérifiable, devenant un catalyseur d’efficacité opérationnelle et non plus une simple contrainte.   3. L’apogée stratégique : Le Zero Trust, une stratégie fondée sur la méfiance Le Zero Trust est la stratégie qui généralise cette méfiance à l’ensemble du SI. Il ne s’agit pas d’un produit, mais d’un cadre de pensée qui repose sur trois piliers fondamentaux :   Vérifier explicitement : Chaque demande d’accès est rigoureusement authentifiée et autorisée en analysant de multiples signaux : l’identité, la santé de l’appareil, la localisation, la classification des données, etc..   Appliquer le moindre privilège : Une fois l’identité vérifiée, l’accès accordé est strictement limité via les modèles JIT/JEA. C’est l’intégration explicite du PoLP.   Assumer la compromission : On part du principe qu’une attaque réussira. L’objectif est donc de minimiser son rayon d’action (« blast radius ») via la micro-segmentation et le chiffrement pour empêcher tout mouvement latéral.   Le lien est ici fondamental. Le PoLP n’est pas juste un des piliers du Zero Trust, il est ce qui rend les deux autres efficaces. Que vaut le principe « assumer la compromission » si un attaquant met la main sur un compte administrateur aux droits permanents et illimités ? La brèche serait totale et incontrôlable. Le PoLP, mis en œuvre par le PAM, est le seul mécanisme qui permet de contenir réellement le « blast radius » en limitant les mouvements latéraux.   Que vaut une « vérification explicite » parfaite si l’utilisateur authentifié, une fois connecté, dispose de droits excessifs ? Le PoLP répond à la question cruciale : « Maintenant que je sais qui vous êtes, qu’avez-vous le droit