L'un des piliers fondamentaux de la sécurité du CERN et de ses actifs numériques est la protection contre les accès non autorisés. Pour toute application web, cette protection est depuis longtemps contrôlée centralement au moyen de la page web d'authentification unique (SSO) du CERN, sur laquelle vous devez entrer votre seul et unique mot de passe CERN. Avec l'année 2020, cette page d'authentification unique changera d'aspect (et elle sera dotée de nouvelles fonctionnalités). Nous vous invitons à lire ce qui suit afin de ne pas confondre la nouvelle page avec une tentative de « phishing ».
Le CERN a fait un effort considérable pour centraliser non seulement toutes les applications web hébergées par l'Organisation elle-même, mais aussi celles fournies depuis l'extérieur (par exemple ServiceNOW) afin que toutes utilisent le portail d'authentification unique SSO CERN*. Cela vous évite de devoir vous souvenir de plus d'un mot de passe pour le CERN (nous sommes conscients que mémoriser des mots de passe n'est pas une mince affaire ; voir à ce propos notre article « Sécurité info : faux concours de mots de passe sécurisés ») et vous permet d’avoir un seul portail pour toutes vos authentifications au CERN. Un seul portail pour tout gérer.
Malheureusement, il existe en ligne de nombreuses fausses pages web qui imitent la page CERN SSO dans le but de voler votre mot de passe CERN et d'obtenir ainsi un accès non autorisé au CERN, au moyen de vos identifiants volés. Donc, si vous êtes un internaute conscient de la sécurité – et nous sommes convaincus que vous l'êtes – vous risquez de vous méfier lorsque vous verrez la nouvelle page SSO. Souvenez-vous : S'ARRÊTER – RÉFLÉCHIR – NE PAS CLIQUER. Pour éviter que vous ne confondiez la nouvelle page CERN SSO avec un site de phishing, nous vous la dévoilons ici.
Étant donné que l'aspect d’une page web peut facilement être copié, l'élément de sécurité le plus important est l'URL. Pensez donc à vérifier la barre située en haut de votre navigateur. Comme on le voit dans cette capture d'écran (partie entourée en rouge), l'URL doit commencer par « auth.cern.ch » ou idéalement « https://auth.cern.ch » et être accompagné d'une petite icône montrant que votre communication est cryptée et que le certificat correspondant est valide. À l'exception de cette nouvelle page et de l'actuelle « ancienne » page, toute autre page web vous demandant votre mot de passe CERN devrait susciter votre méfiance et nous être signalée à l'adresse Computer.Security@cern.ch. De même, si vous voyez des messages d'erreur apparaître sur la page SSO, faites-le-nous savoir.
Le nouveau portail SSO aura également davantage d'options de connexion : les chercheurs externes pourront utiliser leur identifiant Edugain ou une autre identifiant semblable, et des identifiants sociaux de Google, Facebook et autres reconnus pour certaines applications du CERN. En outre, point plus important pour la sécurité informatique du CERN, nous commencerons bientôt à utiliser des systèmes d'authentification à facteurs multiples pour certaines applications critiques du CERN. Lisez le Bulletin du CERN pour vous tenir au courant des nouveautés sur ce sujet.
* Le département IT cherche encore à intégrer toute application qui serait restée en marge. Si votre application n'utilise pas encore le portail central SSO du CERN, il est temps d'y remédier. Contactez-nous à l'adresse Computer.Security@cern.ch pour savoir comment procéder.
________
Pour en savoir plus sur les incidents et les problèmes en matière de sécurité informatique au CERN, lisez notre rapport mensuel (en anglais uniquement). Si vous désirez avoir plus d’informations, poser des questions ou obtenir de l’aide, visitez notre site ou contactez-nous à l’adresse Computer.Security@cern.ch.