Discussion :

[Jade Emy]

Les applications tierces n'utilisant qu'un mot de passe pour accéder aux comptes Google ne seront plus prises en charge, sauf OAuth pour IMAP, SMTP et POP, à partir du 30 septembre 2024.

À partir du 30 septembre 2024, les applications tierces qui utilisent uniquement un mot de passe pour accéder aux comptes Google et à Google Sync ne seront plus prises en charge. Au lieu de cela, vous devrez utiliser la méthode d'authentification OAuth comme option de connexion à Google.

Ce qui change

Dans le cadre de son engagement en faveur de la sécurité des utilisateurs, l'Espace de travail Google ne prendra plus en charge la méthode de connexion aux applications ou appareils tiers qui oblige les utilisateurs à partager leur nom d'utilisateur et leur mot de passe Google. Cette méthode de connexion obsolète, connue sous le nom d'applications moins sécurisées (LSA), présente un risque supplémentaire pour les utilisateurs, car elle nécessite le partage des informations d'identification du compte Google avec des applications et des appareils tiers, ce qui peut faciliter l'accès non autorisé au compte par des acteurs malveillants.

Au lieu de cela, vous devrez utiliser l'option de connexion à Google, qui constitue un moyen plus sûr de synchroniser vos e-mails avec d'autres applications. La connexion avec Google exploite la méthode d'authentification OAuth, standard de l'industrie et plus sécurisée, déjà utilisée par la grande majorité des apps et appareils tiers.

Google a déjà annoncé ce changement en 2019, et ils sont maintenant prêts à partager un calendrier mis à jour concernant ce changement :

L'accès aux apps moins sécurisées (LSA) sera désactivé en deux étapes :

1. À partir du 15 juin 2024 :
   
   • Les paramètres LSA seront supprimés de la console d'administration et ne pourront plus être modifiés. Les utilisateurs autorisés pourront se connecter pendant cette période, mais les utilisateurs désactivés ne pourront plus accéder aux LSA. Cela inclut toutes les applications tierces qui requièrent un accès par mot de passe uniquement à Gmail, Google Calendar, Contacts via des protocoles tels que CalDAV, CardDAV, IMAP, SMTP et POP.
   • Les paramètres d'activation/désactivation de l'IMAP seront supprimés des paramètres Gmail des utilisateurs.
   • Si vous avez utilisé les LSA avant cette date, vous pouvez continuer à les utiliser jusqu'au 30 septembre 2024.
   
   
2. À partir du 30 septembre 2024 :
   
   • L'accès aux LSA sera désactivé pour tous les comptes Google Workspace. CalDAV, CardDAV, IMAP, POP et Google Sync ne fonctionneront plus lorsque vous vous connectez à l'aide d'un simple mot de passe. Vous devrez vous connecter à l'aide d'un type d'accès plus sécurisé appelé OAuth.

Dans le cadre de ce changement, Google Sync sera également supprimé :

• À partir du 15 juin 2024 : Les nouveaux utilisateurs ne pourront plus se connecter à Google Workspace via Google Sync.
  
  
• Le 30 septembre 2024 : Les utilisateurs actuels de Google Sync ne pourront plus se connecter à Google Workspace. Voici la marche à suivre pour déconnecter votre entreprise de Google Sync. Pour connaître l'utilisation de Google Sync dans votre entreprise, accédez à la console d'administration, naviguez jusqu'à Appareils > Mobile et terminaux > Appareils, et filtrez par Type : Google Sync.

Voici des conseils plus spécifiques à l'intention des administrateurs, des utilisateurs finaux et des développeurs concernant ce changement.

Qui est concerné ?

Les administrateurs et les utilisateurs finaux.

Pour commencer

Administrateurs

Préparer vos utilisateurs finaux

Pour que vos utilisateurs finaux puissent continuer à utiliser ces types d'applications avec leurs comptes Google Workspace, ils doivent passer à un type d'accès plus sécurisé appelé OAuth. Dans les mois à venir, vous recevrez par courrier électronique des informations supplémentaires sur les utilisateurs concernés au sein de votre organisation. Google recommande de partager les instructions destinées aux utilisateurs afin de les aider à effectuer les changements nécessaires.

Impact sur la gestion des appareils mobiles (MDM)

Si votre organisation utilise un fournisseur de gestion des appareils mobiles (MDM) pour configurer des profils IMAP, CalDAV, CardDAV, POP ou Exchange ActiveSync (Google Sync), ces services seront progressivement supprimés selon le calendrier ci-dessous :

Scanners et autres appareils

Si vous avez des scanners ou d'autres appareils qui utilisent le protocole de transfert de courrier simple (SMTP) ou des LSA pour envoyer des courriels, vous devrez soit les configurer pour qu'ils utilisent OAuth, soit utiliser une autre méthode, soit configurer un mot de passe d'application à utiliser avec l'appareil.



Utilisateurs finaux

Si vous utilisez une application qui accède à votre compte Google à l'aide d'un nom d'utilisateur et d'un mot de passe, prenez l'une des mesures suivantes pour continuer à accéder à vos e-mails, à votre calendrier ou à vos contacts. Si vous ne prenez pas l'une des mesures suivantes d'ici le 30 septembre 2024, vous commencerez à recevoir un message d'erreur indiquant que votre combinaison nom d'utilisateur-mot de passe est incorrecte et vous ne pourrez pas vous connecter.

Applications de calendrier

• Si vous utilisez une application qui utilise CalDAV basé sur un mot de passe pour donner accès à votre calendrier, passez à une méthode qui prend en charge OAuth. Google recommande l'application Google Agenda comme l'application la plus sécurisée à utiliser avec votre compte Google Workspace.
  
  
• Si votre compte Google Workspace est lié à l'application de calendrier dans iOS ou MacOS et qu'il utilise uniquement un mot de passe pour se connecter, vous devrez supprimer et réinsérer votre compte sur votre appareil. Lorsque vous le rajouterez, sélectionnez "se connecter avec Google" pour utiliser automatiquement OAuth.

Applications de contacts

• Si votre compte Google Workspace synchronise des contacts avec iOS ou MacOS via CardDAV et utilise uniquement un mot de passe pour se connecter, vous devez supprimer votre compte. Lorsque vous le rajouterez, sélectionnez "se connecter avec Google" pour utiliser automatiquement OAuth.
  
  
• Si votre compte Google Workspace synchronise des contacts avec une autre plate-forme ou application via CardDAV et utilise uniquement un mot de passe pour se connecter, optez pour une méthode prenant en charge OAuth.

Toutes les autres applications

Si l'application que vous utilisez ne prend pas en charge OAuth, vous devrez passer à une application qui propose OAuth ou créer un mot de passe pour accéder à ces applications.

Développeurs

Pour maintenir la compatibilité avec les comptes Google Workspace, mettez à jour votre application afin d'utiliser OAuth 2.0 comme méthode de connexion. Pour commencer, suivez le guide du développeur sur l'utilisation d'OAuth 2.0 pour accéder aux API Google. Vous pouvez également consulter le guide sur OAuth 2.0 pour les applications mobiles et de bureau.

Utilisateurs disposant de comptes Google personnels : Dans les semaines à venir, nous supprimerons l'option d'activation/désactivation de l'accès IMAP de vos paramètres Gmail. L'accès IMAP est toujours activé par OAuth et vos connexions actuelles ne seront pas affectées. Aucune action n'est requise de la part des utilisateurs.

Disponibilité

Cette modification concerne tous les clients de Google Workspace.

Source : Google

Et vous ?

Quel est votre avis sur le sujet ?
Pensez-vous que cette décision de Google soit crédible ou pertinente ?

Voir aussi :

Google renforce la sécurité de son système d'authentification OAuth pour prévenir la survenue d'attaques de phishing

Les cybercriminels ont trouvé un nouveau moyen d'accéder aux comptes Google sans mot de passe selon la société de cybersécurité CloudSEK

Google Authenticator synchronisera désormais tous les codes d'authentification à deux facteurs qu'il génère avec le compte Google de l'utilisateur, mais cela ajoute un nouveau risque de sécurité

[Christ D]

Google , Apple :
Inventeurs de tant de services dont ils nous ont venté les mérite, souvent à juste titre.
Ils ont organisé le plus grand casse de l'histoire de l'humanité : la possibilité de nous pister avec notre consentement et de revendre à l'infini nos données personnelles , nous, qui semblions si attachées à nos libertés personnelles.

Maintenant on nous explique (à juste titre) que toutes nos données qu'on leur a confié ou dont on a été très fortement invités à déposer dans le cloud (mots de passes, fichiers personnels, cartes bancaires), sont les proies des pirates.... pas besoin d'avoir l'intelligence de Steve Jobs pour deviner que ce serait le cas !!!!!!

Donc les GAFA augmentent la sécurité (quoi de plus normal !, qui pourrait les en blâmer !)
Sauf que cela devient infernal et impacte toutes les applications terces que nous utilisons qui accèdent à ces données, lesquelles doivent évoluer pour suivre. Cela coûte un fric fou aux entreprises développant ces applications.

Sauf que, bien évidement, les pirates vont s'adapter (si ce n'est déjà fait), il faudra donc augmenter encore le niveau de sécurité de nos données. Et là, la solution proposée sera l'implantation d'une puce et , par peur du piratage, nous accepterons de nous la faire implanter.

Alors big brother aura gagné : le plus grand défenseur de la liberté (les USA) auront créé le monstre tant redouté.

[fatbob]

Google , Apple :
Il faudra donc augmenter encore le niveau de sécurité de nos données. Et là, la solution proposée sera l'implantation d'une puce et , par peur du piratage, nous accepterons de nous la faire implanter.

Il n'est pas trop tard pour éjecter tous ces comptes et toutes ces applications. La plupart ont des équivalents libres tout à fait honorables. Sans doute pas aussi performantes mais est-ce vraiment utile en regard des contraintes qui s'ajoutent au fil du temps pour utiliser ces trucs.
Même sur les smartphones : e/os (et quelques autres) propose une version d'android sans appli google. Quelle sérénité, tout d'un coup

Évidemment, comme toute drogue dure, c'est plus facile quand on n'a jamais commencé.