Qu'est-ce que l'authentification ?
Méthodes d'authentification et meilleures pratiques
Depuis l'aube de la civilisation, l'humanité a cherché des moyens sûrs et pratiques d'authentifier les identités afin de permettre l'accès aux seules personnes autorisées et de garder une longueur d'avance sur les acteurs de la menace. Les traits du visage, les jetons, la cryptographie, les signatures, les empreintes digitales et les mots de passe ne sont que quelques-unes des méthodes d'authentification utilisées avant l'ère numérique. L'évolution de ces techniques alimente l'authentification aujourd'hui.
Par exemple, au lieu de se fier à l'œil humain pour reconnaître les traits du visage, nous nous appuyons sur les outilsbiométriques pour authentifier une personne par son iris, sa rétine, son empreinte digitale, sa voix ou d'autres caractéristiques biologiques distinctes. De même, au lieu de jetons physiques, les systèmes de sécurité délivrent des jetons numériques aux utilisateurs qui ont réussi à prouver leur identité.
Pourtant, les acteurs de la menace continuent de trouver des moyens de contourner l'authentification. À une époque antérieure, les criminels pouvaient falsifier des sceaux pour contourner la sécurité. Aujourd'hui, lescybercriminels sont plus nombreux( ) à voler des jetons d'authentification pour contourner l' authentification multifactorielle, parfois avec un effet dévastateur. Par exemple,les pirates de ont détourné des jetons de session pour prendre spectaculairement le contrôle de trois chaînes YouTube de Linus Media Group.
Les équipes de cybersécurité des géants de la technologie tels que Google, Microsoft et Apple cherchent constamment à améliorer leurs systèmes d'authentification afin de protéger les utilisateurs et les organisations contre des attaques de cybersécurité de plus en plus intelligentes et fréquentes.
Cependant, de nombreux utilisateurs préfèrent la commodité à la sécurité, ce qui expliquerait lalenteur de l'adoption de l'AFM par les utilisateurs de Microsoft( ), malgré les 25,6 milliards de tentatives de piratage de comptes à l'aide de mots de passe volés par forçage brutal en 2021. Cela pourrait également expliquer pourquoi Microsoft a désactivé l'authentification Basic pour Exchange Online en faveur de l'authentification moderne, avec des options telles que l'AFM, les cartes à puce, l'authentification basée sur les certificats (CBA) et les fournisseurs d'identité tiers Security Assertion Markup Language (SAML).
Lisez notre guide détaillé pour en savoir plus :
- Signification de l'authentification.
- Authentification à deux facteurs et authentification à plusieurs facteurs.
- Authentification et autorisation.
- Méthodes d'authentification.
- Authentification sans mot de passe.
Signification de l'authentification
L'authentification est une méthode de cybersécurité qui permet de vérifier l'identité d'un système ou d'un utilisateur. La méthode d'authentification la plus courante consiste à utiliser des noms d'utilisateur et des mots de passe. D'autres méthodes d'authentification, telles que la vérification biométrique, sont plus sophistiquées et plus approfondies. Par exemple, si vous essayez d'accéder à votre courrier électronique, vous devrez saisir votre nom d'utilisateur et votre mot de passe pour accéder à votre boîte aux lettres.
Pourquoi l'authentification est-elle importante ?
L'authentification est essentielle pour protéger notre sécurité et notre vie privée. Nous effectuons de nombreuses actions en ligne, qu'il s'agisse de travailler, de communiquer, de faire des achats ou de stocker des données privées, généralement à distance. L'authentification permet de préserver l'intégrité de tout espace numérique, comme les banques, les plateformes d'informatique en nuage, les pages de médias sociaux et autres, en atténuant le risque d'accès non autorisé. C'est grâce à l'authentification que nous pouvons faire confiance à des systèmes et à des identités physiquement invisibles.
Certains outils d'authentification peuvent également ralentir ou arrêter une cyberattaque. Par exemple, un cybercriminel disposant d'un nom d'utilisateur et d'un mot de passe volés peut s'introduire dans un compte pour voler des données, déposer des malwares ou lancer une attaque de type "Man-in-the-Middle" (MitM) à l'adresse . Toutefois, ses mouvements latéraux peuvent être stoppés dans un système doté de protocoles d'authentification plus approfondis.
L'authentification est également essentielle parce qu'elle renforce la responsabilité de l'utilisateur. Un utilisateur authentifié peut être moins enclin à se livrer à des activités malveillantes parce qu'il sait qu'il est suivi. L'authentification peut aider les organisations de certains secteurs à se conformer aux lois sur la sécurité et la protection de la vie privée en améliorant la sécurité des données.
À quoi sert l'authentification ?
L'authentification peut être utilisée à diverses fins :
- Sécurité des appareils : Tous les types d'appareils dotés de systèmes d'exploitation mettent en œuvre l'authentification pour la sécurité, y compris les ordinateurs de bureau, les ordinateurs portables, les smartphones, les tablettes et même un large éventail d'appareils de l'internet des objets (IoT).
- Sécurité des comptes : De nombreuses plateformes utilisent l'authentification pour renforcer la sécurité des comptes. Par exemple, les comptes de courrier électronique et de médias sociaux utilisent l'authentification pour empêcher les utilisateurs non autorisés d'accéder aux comptes. Les plateformes financières protègent les services bancaires en ligne, les paiements numériques et le commerce électronique contre la fraude grâce à l'authentification.
- L'informatique en nuage : Alors que de plus en plus d'organisations adoptent des plateformes d'informatique en nuage telles que Microsoft Azure, l'authentification est utilisée pour la sécurité des actifs, des données et des opérations. L'authentification est également utilisée pour la sécurité des organisations ayant des actifs sur site, tels que les réseaux et les systèmes qui adoptent le travail à distance.
- Contrôle d'accès : L'authentification n'est pas seulement utilisée pour la sécurité externe, mais aussi pour la sécurité interne. Les organisations peuvent utiliser l'authentification pour s'assurer que le personnel peut accéder aux réseaux, aux applications et aux données selon le principe du "besoin de savoir".
Authentification ou autorisation
Bien que l'authentification et l'autorisation semblent similaires et que les deux termes soient parfois utilisés à tort de manière interchangeable, il s'agit de deux concepts différents dans le domaine de la cybersécurité. En résumé, l'autorisation est le processus de vérification de l'identité au moyen d'identifiants de connexion, de traits faciaux, de la voix ou d'un jeton d'authentification. L'autorisation est ce qui se passe après l'authentification. Une fois que le système a authentifié l'identité d'un système ou d'une personne, il permet à l'entité d'accéder aux ressources ou d'effectuer des actions en fonction de ses privilèges.
En résumé, l'authentification et l'autorisation permettent de déterminer si une entité a le droit d'accéder à une ressource, tandis que l'autorisation détermine les ressources auxquelles l'entité peut accéder après autorisation.
Facteurs d'authentification couramment utilisés
Toute personne ayant utilisé un système d'exploitation moderne ou travaillé sur une plateforme d'informatique en nuage sait qu'il existe de nombreux types de méthodes et d'outils d'authentification, tels que les codes PIN (numéros d'identification personnels), les empreintes digitales, les jetons et les adresses IP. Ces méthodes ou outils sont classés en différentes catégories appelées facteurs d'authentification.
Facteurs de connaissance
Un facteur de connaissance est considéré comme tout ce qu'un utilisateur connaît, comme un mot de passe ou une réponse à une question de sécurité. Les facteurs de connaissance sont généralement rapides mais vulnérables au piratage. Par exemple, les mots de passe peuvent être volés. Les mots de passe faibles sont susceptibles de faire l'objet d'attaques par force brute, telles que lesattaques par dictionnaire ( ).
Nous vous recommandons vivement d'apprendre à créer un mot de passe fort pour protéger vos comptes. Vous pouvez également envisager d'utiliser ungestionnaire de mots de passe pour gérer votre liste d'identifiants de connexion complexes.
Facteurs de possession
Un facteur de possession peut être plus sûr qu'un facteur de connaissance parce qu'il exige qu'un utilisateur soit en possession d'un certain objet, comme un jeton ou un smartphone, pour prouver son identité. Par exemple, un système peut envoyer un mot de passe à usage unique à l'appareil intelligent d'un utilisateur lorsqu'il tente d'obtenir un accès. Cependant, les facteurs de possession ne sont pas parfaits non plus, car les possessions peuvent être détournées ou volées.
Facteurs héréditaires
L'un des facteurs d'authentification les plus sûrs est le facteur d'héritage, car il repose sur les caractéristiques physiques uniques de l'utilisateur, telles que l'empreinte digitale ou l'iris.
Le principal inconvénient des facteurs d'héritage est que le matériel du système doit être capable d'absorber et de traiter les données biométriques, bien que la plupart des appareils modernes soient dotés de telles fonctions.
Un facteur d'héritage peut également s'avérer trop efficace dans de rares circonstances. Par exemple, il y a eu de nombreux cas où le plus proche parent n'a pas pu accéder à la crypto-monnaie de son enfant décédé parce que son appareil était protégé par un facteur d'héritage.
Facteurs de localisation
Une organisation, telle qu'un service de diffusion en continu, peut utiliser un facteur de localisation tel que le géoblocage pour restreindre l'accès à des utilisateurs situés dans des lieux spécifiques. Par exemple, un service de diffusion en continu comme Netflix USA peut empêcher les utilisateurs du Canada de visionner certains contenus. Cependant, les facteurs de localisation ont généralement des solutions de contournement. Par exemple, une personne au Canada pourrait théoriquement utiliser unVPN privé pour masquer sa localisation et accéder à Netflix USA.
Facteurs comportementaux
Un facteur d'authentification basé sur le comportement exige qu'un utilisateur effectue certaines actions pour prouver son identité. Par exemple, il peut lui être demandé de dessiner certains motifs ou de résoudre une énigme rudimentaire pour prouver qu'il est un humain et non un robot. Le reCAPTCHA de Google utilise un moteur d'analyse des risques et suit les mouvements de la souris pour vérifier le comportement humain.
Types d'authentification
Authentification par mot de passe
La forme d'authentification la plus courante, l'authentification par mot de passe, consiste à vérifier l'identité d'un utilisateur en lui demandant de fournir un mot de passe qui correspond parfaitement à celui qui a été enregistré. Le système rejette tout mot de passe qui ne correspond pas au mot de passe stocké, ne serait-ce que par un seul caractère.
Comme nous l'avons mentionné, les pirates peuvent deviner très rapidement les mots de passe faibles en utilisant les outils les plus récents. C'est pourquoi les utilisateurs doivent définir des mots de passe complexes d'au moins 10 caractères et les modifier régulièrement.
Authentification multifactorielle (AMF)
L'AMF est née d'une nécessité. Même le mot de passe le plus sophistiqué peut être volé. Avec , l'authentification multifactorielle, les utilisateurs non autorisés peuvent avoir à authentifier leur identité d'une autre manière s'ils déclenchent le système de sécurité du système. Par exemple, si un système identifie un nouvel appareil ou une nouvelle adresse IP lors d'une tentative de connexion, il peut demander un code PIN ou un jeton, même si l'utilisateur présente les informations d'identification correctes.
Authentification à deux facteurs (2FA)
De nombreuses personnes s'interrogent sur la différence entre 2FA et MFA. La réponse est que l'AFC est essentiellement un sous-ensemble de l'AMF. Comme nous l'avons mentionné, l'AMF demande au moins deux facteurs d'authentification. Le 2FA n'en demande que deux, généralement un mot de passe et un code envoyé à un compte de messagerie ou à un appareil mobile. Pour en savoir plus, vous pouvez consulter lesite sur les principes de base de l'authentification à deux facteurs.
Alors que les utilisateurs de pages de médias sociaux utilisent l'authentification à deux facteurs pour protéger leurs comptes, certaines plateformes monétisent malheureusement la sécurité des comptes. Par exemple, vous avez peut-être lu un article sur Twitter et l'authentification à deux facteurs, où la plateforme modifie radicalement les paramètres de sécurité. Depuis le 19 mars, les utilisateurs ne peuvent plus utiliser l'authentification à deux facteurs par SMS sans payer un abonnement.
Toutefois, les utilisateurs ont d'autres options (pour l'instant). Par exemple, ils peuvent mettre en place une authentification à deux facteurs sur Twitter à l'aide d'une clé matérielle pour une sécurité avancée. Une clé matérielle est un meilleur outil de sécurité que le SMS, qui peut faire l'objet d'une attaque de type "swim-swapping".
Authentification à facteur unique (SFA)
Comme son nom l'indique, le SFA ne demande aux utilisateurs qu'un seul élément d'authentification. En règle générale, le mot de passe est le type d'authentification le plus courant. Bien que la SFA soit plus pratique que la MFA, elle peut être nettement moins sûre, en particulier si le type d'authentification est faible. La SFA est également vulnérable aux attaques d'ingénierie sociale telles que le phishing.
Authentification par certificat
Avec ce type d'authentification, un système utilise un certificat numérique. L'authentification par certificat est plus sûre que les mots de passe car les certificats sont sophistiqués, utilisent des clés et sont révocables par l'autorité émettrice. Des organisations de premier plan, telles que les gouvernements, utilisent cette technique cryptographique pour renforcer la sécurité.
Authentification biométrique
Comme nous l'avons mentionné, l'authentification biométrique s'appuie sur des caractéristiques physiques uniques telles que les empreintes digitales, la voix et l'iris pour protéger les systèmes. L'authentification biométrique est la forme d'authentification la plus sûre et la plus pratique.
Authentification par jeton
Les applications web, les API et d'autres systèmes utilisent souvent des jetons pour authentifier les utilisateurs. En bref, un jeton est un identifiant unique délivré à un utilisateur autorisé. Si les jetons sont de plus en plus utilisés en raison de l'essor des environnements de travail hybrides, le vol de jetons est également en augmentation.
Basic l'authentification
Un système d'authentification de base ne demande qu'un nom d'utilisateur et un mot de passe pour authentifier un utilisateur. Les systèmes qui utilisent des méthodes de base sont plus vulnérables aux pirates. De nos jours, seules les ressources de test internes ou les systèmes publics tels que le WiFi public utilisent l'authentification de base. L'authentification Basic est la principale raison pour laquelle les utilisateurs doivent être plus prudents lorsqu'ils utilisent le WiFi public.
Authentification sans mot de passe
Comme les utilisateurs et les organisations exigent une sécurité plus pratique, les options d'authentification sans mot de passe telles que la biométrie, les clés de sécurité, les jetons et les codes à usage unique gagnent en popularité dans les environnements d'entreprise et les plates-formes grand public.
En plus d'être plus pratique, l'authentification sans mot de passe peut offrir plus de sécurité, car de nombreux utilisateurs continuent d'utiliser des mots de passe faibles ou sont victimes d'attaques de phishing qui s'attaquent aux informations d'identification.
Authentification basée sur la connaissance (KBA)
Le KBA est un type d'authentification qui teste les connaissances d'une personne sur les informations qu'elle a enregistrées pour authentifier son identité. Il s'agit par exemple de répondre à des questions sur la rue où la personne a grandi, sa couleur préférée ou le nom de jeune fille de sa mère.
Il y a plusieurs raisons pour lesquelles le KBA est une méthode d'authentification faible. Étant donné que davantage de données sur les utilisateurs sont accessibles au public sur les forums de discussion et les plateformes de médias sociaux comme LinkedIn et Facebook, il est plus facile pour un acteur de la menace d'extraire les données nécessaires pour contourner la méthode KBA. En outre, les utilisateurs sont moins enclins à donner des réponses complexes à des questions secrètes qu'à définir des mots de passe complexes.
Authentification mutuelle
L'authentification mutuelle, également connue sous le nom d'authentification bidirectionnelle, est un type d'authentification dans lequel les deux parties d'une connexion se vérifient mutuellement, généralement à l'aide de certificats numériques. Bien que l'authentification mutuelle soit utilisée le plus souvent par des protocoles de communication tels que Transport Layer Security (TLS) et Secure Sockets Layer (SSL), de nombreux appareils de l'internet des objets (IoT) utilisent également cette technique dans les connexions d'appareil à appareil.
Authentification par SMS
L'authentification par SMS utilise des messages textuels comme composante de l'AMF. L'authentification par SMS fonctionne mieux lorsque les méthodes d'authentification ne sont pas altérées. Par exemple, un opérateur de téléphonie mobile a eu la brillante idée de mélanger l'authentification par SMS avec une publicité, ce qui pourrait permettre aux acteurs de la menace de concevoir des attaques smishing plus convaincantes.
Authentification du réseau ou du serveur
L'authentification réseau fait référence à l'identification des utilisateurs qui tentent d'accéder à un réseau ou à un serveur. Ce type d'authentification est utilisé dans les protocoles de communication, les réseaux privés virtuels, les pare-feu et les systèmes qui contrôlent l'accès aux applications.
Authentification par clé secrète
Dans un système qui utilise l'authentification par clé secrète, l'utilisateur et le système partagent une clé de session cryptographique qui n'est connue que des deux parties. Ces clés sont symétriques. En d'autres termes, elles fonctionnent pour chiffrement et le décryptage. Les protocoles de communication tels que le protocole SSL (Secure Sockets Layer) utilisent l'autorisation par clé secrète pour garantir la sécurité du transfert de données, par exemple entre un navigateur web et un site web.
Clé de sécurité physique
Une clé de sécurité physique est un élément matériel qui aide un utilisateur à prouver son identité et constitue un exemple de facteur de possession. Une clé de sécurité physique génère généralement un code unique qui est partagé avec un système d'authentification. Il y a plus de dix ans, les clés de sécurité physiques n'étaient utilisées que par des organisations de premier plan, telles que les banques et les agences de renseignement.
Cependant, de nombreux types de plateformes, telles que les jeux, le commerce électronique et les médias sociaux, permettent aujourd'hui aux utilisateurs de protéger leurs comptes à l'aide de clés de sécurité matérielles. Par exemple, les utilisateurs peuvent activer l'authentification par clé matérielle de Facebook pour iOS et Android afin de renforcer la sécurité de leurs comptes par un facteur de possession.
Meilleures pratiques en matière d'authentification
- Méfiez-vous des malwares conçus pour voler des informations d'identification ou des données sensibles, tels que certains types de chevaux de Troie, de logiciels espions et d'enregistreurs de frappe. Apprenez également à comment supprimer un enregistreur de frappe, car il peut recueillir des frappes, des captures d'écran et d'autres informations pour tromper un système d'authentification.
- Choisissez des mots de passe d'au moins dix caractères, composés de chiffres, de symboles et d'alphabets.
- Évitez d'utiliser des motifs connus dans vos mots de passe, comme une date de naissance ou le nom d'une célébrité préférée.
- Ne conservez jamais vos identifiants de connexion à la vue de tous, par exemple sur un bout de papier posé sur votre bureau. Cryptez vos mots de passe dans vos appareils.
- Donnez un coup de pouce à votre mot de passe en utilisant des méthodes MFA telles que l'identification biométrique ou une clé de sécurité.
- Méfiez-vous des attaques d'ingénierie sociale visant à voler vos informations d'identification.
- Évitez de réutiliser votre mot de passe ; dans le cas contraire, un mot de passe volé peut entraîner la violation de plusieurs comptes.
- Changez régulièrement votre mot de passe. Essayez d'utiliser un gestionnaire de mots de passe réputé pour plus de commodité.
- Encouragez l'administrateur du réseau de votre organisation à limiter la durée des sessions afin d'éviter les détournements de session.
- Les administrateurs doivent surveiller les journaux d'authentification et les données du réseau afin de réagir rapidement à toute activité suspecte, telle que des tentatives d'accès multiples à partir d'adresses IP suspectes.
- Les organisations devraient envisager d'adopter une architecture de confiance zéro pour une plus grande sécurité.
