De academische identificatie van de academie van Lyon (formaat pnom, dat wil zeggen de eerste letter van de voornaam gevolgd door de achternaam) is structureel verschillend van het e-mailadres [email protected]. Deze dissociatie tussen inlogidentificatie en e-mailadres creëert een eerste bron van verwarring die systematisch wordt geëxploiteerd door phishingpogingen. Het beveiligen van de authenticatie voor de webmail Convergence Lyon vereist dat deze discrepantie bij de bron wordt aangepakt, en vervolgens elke laag van het inlogproces wordt vergrendeld.
TLS-encryptie en kanaalverificatie vóór het invoeren van identificaties
Elke invoer van een identificatie op de webmail Convergence moet voorafgaan aan een handmatige verificatie van het TLS-certificaat. De legitieme URL is https://webmail.ac-lyon.fr, en het certificaat moet zijn uitgegeven voor het domein ac-lyon.fr. Een geldig slotje in de adresbalk is niet voldoende: gratis certificaten kunnen worden verkregen voor visueel vergelijkbare domeinen (ac-ly0n.fr, webmail-aclyon.fr).
Aanrader : Hoe het ideale gewicht voor een persoon van 1,70 m te bepalen?
Wij raden aan om nooit toegang te krijgen tot de webmail via een link die per e-mail is ontvangen. De toegang moet plaatsvinden via een handmatig opgeslagen favoriet in de browser of door directe invoer van de URL. Deze discipline elimineert de meeste omleidingen naar phishingpagina’s die de interface van Convergence nabootsen.
De e-mails die tussen de terminal en de server worden uitgewisseld, zijn tijdens het transport versleuteld, wat voorkomt dat gegevens door een derde partij op het netwerk worden onderschept. Deze encryptie beschermt de transitfase, maar niet de client zelf: een keylogger of een gecompromitteerde browser maakt de TLS-encryptie ineffectief. Het beveiligen van de client blijft dus een technische voorwaarde voordat er vragen zijn over authenticatie voor de webmail Convergence Lyon.
Verder lezen : Praktische gids voor een veilige online vastgoedinvestering
Beleid voor academische wachtwoorden en veilige rotatie
Het initiële wachtwoord dat aan het personeel van het ministerie van Onderwijs is toegewezen, komt overeen met het NUMEN bij de eerste aanmelding. Dit wachtwoord is een administratieve identificatie die bekend is bij verschillende systemen. Het behouden als e-mailwachtwoord vormt een grote kwetsbaarheid.
De wijziging vindt plaats via de Convergence-interface, in Opties en vervolgens Wachtwoord wijzigen. Het oude wachtwoord is vereist, gevolgd door het nieuwe en de bevestiging ervan. Verschillende criteria versterken de robuustheid van het nieuwe wachtwoord:
- Minimale lengte van twaalf tekens, met een combinatie van hoofdletters, kleine letters, cijfers en speciale tekens. Een kort wachtwoord, hoe complex ook, blijft kwetsbaar voor brute force-aanvallen.
- Geen hergebruik van een wachtwoord dat al op een andere dienst is gebruikt (persoonlijke e-mail, sociale netwerken, commerciële platforms). Credential stuffing is precies gebaseerd op het recyclen van identificaties tussen diensten.
- Opslag in een speciale wachtwoordbeheerder in plaats van in de browser. Wachtwoorden die in Chrome of Firefox zijn opgeslagen, zijn leesbaar in platte tekst door iedereen die toegang heeft tot de sessie van de client.
Logboek van verbindingen en naleving van de AVG
De inloglogs (IP-adres, tijdstempel, succes of falen) vormen de eerste lijn van detectie van ongeautoriseerde toegang. De academische documentatie die beschikbaar is op de webmail Convergence, vaak gedateerd van meerdere jaren geleden, behandelt niet de regelgevende dimensie van deze logging. De AVG-eisen vereisen echter een duidelijke juridische basis voor het bewaren van deze gegevens, doorgaans gebaseerd op de wettelijke verplichting en het legitieme belang van veiligheid.
In de praktijk zou academisch personeel periodiek de geschiedenis van zijn verbindingen moeten controleren als de interface dit toelaat. Een verbinding vanaf een onbekend IP-adres of op een ongebruikelijk tijdstip duidt op een mogelijk gecompromitteerd account. In dat geval zijn het onmiddellijke wijziging van het wachtwoord en het melden aan de digitale referent van de instelling de twee prioritaire acties.
De kwalificatie van de rollen (verantwoordelijke voor de verwerking, onderaannemer) in het academische authenticatiesysteem is recentelijk onder de aandacht gebracht door de gegevensbeschermingsautoriteiten. Voor de eindgebruiker betekent dit een recht op toegang tot de inloggegevens die op hem betrekking hebben, een hefboom die zelden wordt gebruikt maar juridisch onderbouwd is.
Academische SSO en vergrote aanvalsvector
De recente trend in de academies is de uitbreiding van de SSO (Single Sign-On) naar alle digitale diensten: Convergence-e-mail, intranet IDéAL, educatieve applicaties, opslagruimtes. Een unieke identificatie die toegang biedt tot alle diensten vergroot de impact van een compromittering.
Toegang tot de webmail vanuit het intranet IDéAL, gedocumenteerd in de officiële handleidingen van de academie van Lyon, is gebaseerd op dit mechanisme. Eenmaal geauthenticeerd op het portaal, heeft de gebruiker toegang tot de e-mail zonder zijn identificaties opnieuw in te voeren. Dit gemak heeft een prijs: als de SSO-sessie wordt omgeleid (diefstal van sessiecookie, niet-vergrendelde client), erft de aanvaller toegang tot alle gerelateerde diensten.
Wij zien dat de meest effectieve maatregel blijft om de sessie systematisch te sluiten na gebruik, vooral op gedeelde werkstations in de lerarenkamer of in de CDI. De afmeldknop van het IDéAL-portaal sluit niet altijd de Convergence-sessie, en vice versa. Het afzonderlijk controleren van beide afmeldingen voorkomt dat er een bruikbare wees-sessie achterblijft.
- Sluit de Convergence-sessie via de afmeldlink van de webmail, niet alleen door het tabblad te sluiten.
- Sluit vervolgens de IDéAL-sessie als de toegang is gestart vanaf het intranetportaal.
- Verwijder de cookies van de browser op een gedeeld werkstation, of gebruik systematisch de incognitomodus.
Multifactorauthenticatie: stand van zaken op Convergence
Multifactorauthenticatie (MFA) blijft het meest betrouwbare mechanisme om frauduleuze toegang te blokkeren, zelfs wanneer het wachtwoord is gecompromitteerd. Op de webmail Convergence van de academie van Lyon is de implementatie van MFA niet algemeen toegepast op alle gebruikers. De officiële documentatie raadt het gebruik aan zonder de activering ervan in detail te beschrijven, waardoor de meeste accounts worden beschermd door een eenvoudige combinatie van identificatie/wachtwoord.
In afwachting van een systematische implementatie blijft waakzaamheid over de robuustheid van het wachtwoord en de detectie van verdachte verbindingen de enige effectieve bescherming. Het toevoegen van een authenticatie-app zoals TOTP (tijdelijke eenmalige code) op de accounts die dit toestaan, vermindert het risico aanzienlijk, maar vereist een beslissing op het niveau van de academische IT-dienst.
Het beveiligen van de authenticatie voor de webmail Convergence Lyon berust niet op een unieke handeling, maar op de samenhang tussen verificatie van het TLS-kanaal, rigoureus wachtwoordbeheer, toezicht op de inloglogs en isolatie van SSO-sessies. Elke laag compenseert de potentiële kwetsbaarheden van de vorige.