Qu'est-ce que l'authentification ?
Méthodes d'authentification et meilleures pratiques
Depuis l'aube de la civilisation, l'humanité a cherché des moyens sûrs mais pratiques de vérifier les identités pour n'autoriser l'accès qu'à ceux qui sont autorisés et rester en avance sur les acteurs de la menace. Les traits du visage, les jetons, la cryptographie, les signatures, les empreintes digitales et les mots de passe étaient quelques-unes des méthodes d'authentification utilisées avant l'ère numérique. Une évolution de ces techniques alimente l'authentification aujourd'hui.
Par exemple, au lieu de compter sur l'œil humain pour reconnaître les traits du visage, nous utilisons des outils biométriques pour authentifier une personne par leur iris, rétine, empreinte digitale, voix, ou d'autres caractéristiques biologiques distinctes. De même, au lieu de jetons physiques, les systèmes de sécurité émettent des jetons numériques aux utilisateurs qui ont prouvé leur identité avec succès.
Pourtant, les acteurs de la menace continuent de trouver des moyens de contourner l'authentification. Autrefois, les criminels pouvaient falsifier des sceaux pour contourner la sécurité. Aujourd'hui, de plus en plus de cybercriminels volent des jetons d'authentification pour contourner la MFA (authentification multi-facteurs), parfois avec des effets dévastateurs. Par exemple, des hackers ont détourné des jetons de session pour prendre spectaculairement le contrôle de trois chaînes YouTube de Linus Media Group.
Les équipes de cybersécurité des géants de la technologie comme Google, Microsoft et Apple cherchent constamment à améliorer leurs systèmes d'authentification pour protéger à la fois les utilisateurs et les organisations des attaques de cybersécurité de plus en plus astucieuses et fréquentes.
Toutefois, de nombreux utilisateurs préfèrent davantage de commodité à la sécurité, ce qui expliquerait la lente adoption de la MFA par les utilisateurs de Microsoft malgré 25,6 milliards de tentatives de détournement de compte par force brute surmot de passes volés en 2021. Cela pourrait aussi expliquer pourquoi Microsoft a désactivé l'authentification basique pour Exchange Online au profit de l'authentification moderne, comprenant des options comme la MFA, les cartes à puce, l'authentification par certificat (CBA), et les fournisseurs SAML externes.
Lisez notre guide détaillé pour en savoir plus :
- Signification de l'authentification.
- Authentification à deux facteurs et authentification à plusieurs facteurs.
- Authentification et autorisation.
- Méthodes d'authentification.
- Authentification sans mot de passe.
Signification de l'authentification
L'authentification est une méthode de cybersécurité qui aide à vérifier l'identité d'un système ou d'un utilisateur. La méthode d'authentification la plus courante repose sur des noms d'utilisateur et des mots de passe. D'autres méthodes d'authentification, telles que la vérification biométrique, sont plus sophistiquées et complètes. Un exemple d'authentification serait si vous essayez d'accéder à votre courrier électronique, vous devrez entrer votre nom d'utilisateur et votre mot de passe pour entrer dans votre boîte aux lettres.
Pourquoi l'authentification est-elle importante ?
L'authentification est essentielle pour protéger notre sécurité et notre vie privée. Nous effectuons de nombreuses actions différentes en ligne, du travail et de la communication à l'achat ou au stockage de données privées, généralement à distance. L'authentification aide à préserver l'intégrité de tout espace numérique, comme les banques, les plateformes de cloud computing, les pages de réseaux sociaux et autres, en atténuant le risque d'accès non autorisé. C'est grâce à l'authentification que nous pouvons faire confiance aux systèmes et identités que nous ne voyons pas physiquement.
Certains outils d'authentification peuvent également ralentir ou arrêter une cyberattaque. Par exemple, un cybercriminel avec un nom d'utilisateur et un mot de passe volés peut pénétrer dans un compte pour voler des données, déposer des malwares ou lancer une attaque de type Man-in-the-Middle (MitM). Cependant, ses mouvements latéraux peuvent être arrêtés dans un système avec des protocoles d'authentification plus approfondis.
L'authentification est également essentielle car elle augmente la responsabilité des utilisateurs. Un utilisateur authentifié est moins susceptible de s'engager dans une activité malveillante car il sait qu'il est suivi. L'authentification peut aider les organisations de certaines industries à se conformer aux lois sur la sécurité et la vie privée en améliorant la sécurité des données.
À quoi sert l'authentification ?
L'authentification peut être utilisée à diverses fins :
- Sécurité des appareils : Tous les types d'appareils dotés de systèmes d'exploitation mettent en œuvre l'authentification pour la sécurité, y compris les ordinateurs de bureau, les ordinateurs portables, les smartphones, les tablettes et même un large éventail d'appareils de l'internet des objets (IoT).
- Sécurité des comptes : De nombreuses plateformes utilisent l'authentification pour renforcer la sécurité des comptes. Par exemple, les comptes de courrier électronique et de médias sociaux utilisent l'authentification pour empêcher les utilisateurs non autorisés d'accéder aux comptes. Les plateformes financières protègent les services bancaires en ligne, les paiements numériques et le commerce électronique contre la fraude grâce à l'authentification.
- L'informatique en nuage : Alors que de plus en plus d'organisations adoptent des plateformes d'informatique en nuage telles que Microsoft Azure, l'authentification est utilisée pour la sécurité des actifs, des données et des opérations. L'authentification est également utilisée pour la sécurité des organisations ayant des actifs sur site, tels que les réseaux et les systèmes qui adoptent le travail à distance.
- Contrôle d'accès : L'authentification n'est pas seulement utilisée pour la sécurité externe, mais aussi pour la sécurité interne. Les organisations peuvent utiliser l'authentification pour s'assurer que le personnel peut accéder aux réseaux, aux applications et aux données selon le principe du "besoin de savoir".
Authentification ou autorisation
Bien que l'authentification et l'autorisation semblent similaires, et que les deux termes soient parfois utilisés de manière incorrecte de manière interchangeable, ce sont deux concepts différents en cybersécurité. L'explication longue est que l'autorisation est le processus de vérification de l'identité par des identifiants de connexion, des traits du visage, la voix ou un jeton d'authentification. L'autorisation est ce qui se passe après l'authentification. Une fois que le système a authentifié l'identité d'un système ou d'une personne, il permet à l'entité d'accéder aux ressources ou d'effectuer des actions basées sur ses privilèges.
La courte explication de l'authentification vs l'autorisation est que la première détermine si une entité est autorisée à accéder, et la seconde détermine avec quelles ressources elle peut interagir après autorisation.
Facteurs d'authentification couramment utilisés
Toute personne ayant utilisé un système d'exploitation moderne ou travaillé sur une plateforme d'informatique en nuage sait qu'il existe de nombreux types de méthodes et d'outils d'authentification, tels que les codes PIN (numéros d'identification personnels), les empreintes digitales, les jetons et les adresses IP. Ces méthodes ou outils sont classés en différentes catégories appelées facteurs d'authentification.
Facteurs de connaissance
Un facteur de connaissance est considéré comme tout ce qu'un utilisateur connaît, comme un mot de passe ou une réponse à une question de sécurité. Les facteurs de connaissance sont généralement rapides mais vulnérables au piratage. Par exemple, les mots de passe peuvent être volés. Les mots de passe faibles sont susceptibles de faire l'objet d'attaques par force brute, telles que lesattaques par dictionnaire ( ).
Nous vous recommandons vivement d'apprendre à créer un mot de passe fort pour protéger vos comptes. Vous pouvez également envisager d'utiliser ungestionnaire de mots de passe pour gérer votre liste d'identifiants de connexion complexes.
Facteurs de possession
Un facteur de possession peut être plus sûr qu'un facteur de connaissance parce qu'il exige qu'un utilisateur soit en possession d'un certain objet, comme un jeton ou un smartphone, pour prouver son identité. Par exemple, un système peut envoyer un mot de passe à usage unique à l'appareil intelligent d'un utilisateur lorsqu'il tente d'obtenir un accès. Cependant, les facteurs de possession ne sont pas parfaits non plus, car les possessions peuvent être détournées ou volées.
Facteurs héréditaires
L'un des facteurs d'authentification les plus sûrs est le facteur d'héritage, car il repose sur les caractéristiques physiques uniques de l'utilisateur, telles que l'empreinte digitale ou l'iris.
Le principal inconvénient des facteurs d'héritage est que le matériel du système doit être capable d'absorber et de traiter les données biométriques, bien que la plupart des appareils modernes soient dotés de telles fonctions.
Un facteur d'héritage peut également s'avérer trop efficace dans de rares circonstances. Par exemple, il y a eu de nombreux cas où le plus proche parent n'a pas pu accéder à la crypto-monnaie de son enfant décédé parce que son appareil était protégé par un facteur d'héritage.
Facteurs de localisation
Une organisation, telle qu'un service de diffusion en continu, peut utiliser un facteur de localisation tel que le géoblocage pour restreindre l'accès à des utilisateurs situés dans des lieux spécifiques. Par exemple, un service de diffusion en continu comme Netflix USA peut empêcher les utilisateurs du Canada de visionner certains contenus. Cependant, les facteurs de localisation ont généralement des solutions de contournement. Par exemple, une personne au Canada pourrait théoriquement utiliser unVPN privé pour masquer sa localisation et accéder à Netflix USA.
Facteurs comportementaux
Un facteur d'authentification basé sur le comportement exige qu'un utilisateur effectue certaines actions pour prouver son identité. Par exemple, il peut lui être demandé de dessiner certains motifs ou de résoudre une énigme rudimentaire pour prouver qu'il est un humain et non un robot. Le reCAPTCHA de Google utilise un moteur d'analyse des risques et suit les mouvements de la souris pour vérifier le comportement humain.
Types d'authentification
Authentification par mot de passe
La forme d'authentification la plus courante, l'authentification par mot de passe, consiste à vérifier l'identité d'un utilisateur en lui demandant de fournir un mot de passe qui correspond parfaitement à celui qui a été enregistré. Le système rejette tout mot de passe qui ne correspond pas au mot de passe stocké, ne serait-ce que par un seul caractère.
Comme nous l'avons mentionné, les pirates peuvent deviner très rapidement les mots de passe faibles en utilisant les outils les plus récents. C'est pourquoi les utilisateurs doivent définir des mots de passe complexes d'au moins 10 caractères et les modifier régulièrement.
Authentification multifactorielle (AMF)
L'AMF est née d'une nécessité. Même le mot de passe le plus sophistiqué peut être volé. Avec , l'authentification multifactorielle, les utilisateurs non autorisés peuvent avoir à authentifier leur identité d'une autre manière s'ils déclenchent le système de sécurité du système. Par exemple, si un système identifie un nouvel appareil ou une nouvelle adresse IP lors d'une tentative de connexion, il peut demander un code PIN ou un jeton, même si l'utilisateur présente les informations d'identification correctes.
Authentification à deux facteurs (2FA)
De nombreuses personnes s'interrogent sur la différence entre 2FA et MFA. La réponse est que l'AFC est essentiellement un sous-ensemble de l'AMF. Comme nous l'avons mentionné, l'AMF demande au moins deux facteurs d'authentification. Le 2FA n'en demande que deux, généralement un mot de passe et un code envoyé à un compte de messagerie ou à un appareil mobile. Pour en savoir plus, vous pouvez consulter lesite sur les principes de base de l'authentification à deux facteurs.
Alors que les utilisateurs des réseaux sociaux utilisent la double authentification pour protéger leurs comptes, certaines plateformes monétisent malheureusement la sécurité des comptes. Par exemple, vous avez peut-être entendu parler de Twitter et l'authentification à deux facteurs, où la plateforme modifie radicalement les paramètres de sécurité. Depuis le 19 mars, les utilisateurs ne peuvent pas utiliser la 2FA par SMS sans s’abonner.
Cependant, les utilisateurs ont d'autres options (pour l'instant). Par exemple, ils peuvent configurer l'authentification à deux facteurs sur Twitter en utilisant une clé matérielle pour une sécurité avancée. Une clé matérielle est un meilleur outil de sécurité que le SMS, qui est vulnérable aux attaques de reexpédition de cartes SIM.
Authentification monofactorielle (SFA)
Comme son nom l’indique, la SFA ne nécessite qu’un seul élément d’authentification de la part des utilisateurs. En général, un mot de passe est le type le plus commun de SFA. Bien que la SFA puisse être plus pratique que la MFA, elle peut être considérablement moins sécurisée, surtout si le type d’authentification est faible. La SFA est également vulnérable aux attaques d’ingénierie sociale comme le phishing.
Authentification par certificat
Avec ce type d'authentification, un système utilise un certificat numérique. L'authentification par certificat est plus sécurisée que les mots de passe car les certificats sont sophistiqués, utilisent des clés et peuvent être révoqués par l'autorité émettrice. Des organisations de haut niveau, telles que les gouvernements, utilisent cette technique cryptographique pour une sécurité renforcée.
Authentification biométrique
Comme mentionné, l'authentification biométrique repose sur des caractéristiques physiques uniques telles que les empreintes digitales, les voix et les iris pour protéger les systèmes. L'authentification biométrique est la forme la plus sécurisée et la plus pratique d'authentification.
Authentification basée sur un jeton
Les applications Web, les API et d'autres systèmes utilisent souvent des jetons pour authentifier les utilisateurs. En résumé, un jeton est un identifiant unique qui est attribué à un utilisateur autorisé. Bien que l'utilisation de jetons augmente avec le développement des environnements de travail hybrides, le vol de jetons est également en augmentation.
Authentification basique
Un système d’authentification basique demande uniquement un nom d’utilisateur et un mot de passe pour authentifier un utilisateur. Les systèmes utilisant des méthodes basiques sont plus susceptibles d’être piratés. De nos jours, seuls les ressources de test internes ou les systèmes publics comme le Wi-Fi public utilisent l'authentification basique. L'authentification basique est la principale raison pour laquelle les utilisateurs doivent être plus prudents lorsqu'ils utilisent le Wi-Fi public.
Authentification sans mot de passe
Alors que les utilisateurs et les organisations ont besoin de plus de commodité avec la sécurité, les options d'authentification sans mot de passe telles que la biométrie, les clés de sécurité, les jetons et les codes à usage unique gagnent en popularité dans les environnements d'entreprise et les plateformes grand public.
En plus d'offrir une commodité supplémentaire, l'authentification sans mot de passe peut offrir plus de sécurité car de nombreux utilisateurs continuent d'utiliser des mots de passe faibles ou sont victimes d'attaques par phishing qui ciblent les identifiants.
Authentification basée sur la connaissance (KBA)
La KBA est un type d'authentification qui teste la connaissance qu'une personne a des informations qu'elle a enregistrées pour authentifier son identité. Les exemples de KBA incluent la réponse à des questions sur la rue où ils ont grandi, leur couleur préférée ou le nom de jeune fille de leur mère.
Il y a plusieurs raisons pour lesquelles la KBA est une méthode d'authentification faible. Avec plus de données utilisateur disponibles publiquement sur les forums de discussion et les réseaux sociaux, tels que LinkedIn et Facebook, il est plus facile pour un acteur malveillant de collecter les données nécessaires pour contourner la KBA. De plus, les utilisateurs sont moins susceptibles de définir des réponses complexes aux questions secrètes que de définir des mots de passe complexes.
Authentification mutuelle
L’authentification mutuelle, également connue sous le nom d’authentification bilatérale, est un type d’authentification où les deux parties d’une connexion se vérifient mutuellement, généralement avec des certificats numériques. Bien que l’authentification mutuelle soit le plus couramment utilisée par les protocoles de communication tels que le Transport Layer Security (TLS) et le Secure Sockets Layer (SSL), de nombreux appareils de l’Internet des objets (IoT) utilisent également la technique dans les connexions d'appareil à appareil.
Authentification par SMS
L'authentification par SMS utilise les messages texte comme élément de MFA. L’authentification par SMS fonctionne mieux lorsque les méthodes d’authentification sont intactes. Par exemple, un opérateur mobile a eu l'idée étrange de combiner l'authentification par SMS avec une pub, ce qui pourrait permettre aux acteurs malveillants de concevoir des attaques de smishing plus convaincantes.
Authentification du réseau ou du serveur
L’authentification réseau fait référence à l’identification des utilisateurs qui tentent d’accéder à un réseau ou à un serveur. Ce type d'authentification est utilisé dans les protocoles de communication, les VPN, les pare-feux et les systèmes qui contrôlent l'accès aux applications.
Authentification par clé secrète
Dans un système utilisant l'authentification par clé secrète, l'utilisateur et le système partagent une clé de session cryptographique connue uniquement des deux parties. Ces clés sont symétriques. En d'autres termes, elles fonctionnent pour le chiffrement et le déchiffrement. Les protocoles de communication comme le Secure Sockets Layer (SSL) utilisent l'autorisation de clé secrète pour assurer la sécurité du transfert de données, comme entre un navigateur Web et un site Internet.
Clé de sécurité physique
Une clé de sécurité physique est un élément matériel qui aide un utilisateur à prouver son identité et qui est un exemple de facteur de possession. Une clé de sécurité physique génère généralement un code unique partagé avec un système pour l'authentification. Les clés de sécurité physique étaient utilisées uniquement par des organisations prestigieuses telles que les banques et les agences de renseignement il y a plus d'une décennie.
Cependant, de nombreux types de plateformes, telles que les jeux, le commerce électronique et les réseaux sociaux, permettent désormais aux utilisateurs de protéger leurs comptes avec des clés de sécurité physique. Par exemple, les utilisateurs peuvent activer l'authentification par clé matérielle de Facebook pour iOS et Android pour ajouter une couche de sécurité supplémentaire autour de leurs comptes.
Meilleures pratiques en matière d'authentification
- Faites attention aux logiciels malveillants conçus pour voler des identifiants ou des données sensibles, comme certains types de chevaux de Troie, les spyware et les keyloggers. Apprenez également comment supprimer un keylogger car il peut enregistrer les frappes, les captures d'écran et d'autres informations pour tromper un système d'authentification.
- Définissez des mots de passe d'au moins dix caractères comprenant un mélange de chiffres, de symboles et d'alphabets.
- Évitez d'utiliser des motifs connus dans les mots de passe, tels qu'une date de naissance ou le nom d'une célébrité préférée.
- Ne stockez jamais vos identifiants de connexion à découvert, comme sur un morceau de papier sur votre bureau. Cryptez les mots de passe sur les appareils.
- Donnez un coup de pouce à votre mot de passe en utilisant des méthodes MFA telles que l'identification biométrique ou une clé de sécurité.
- Soyez vigilant face aux attaques d'ingénierie sociale conçues pour voler vos identifiants.
- Évitez de réutiliser votre mot de passe ; sinon, un mot de passe volé peut entraîner des violations de plusieurs comptes.
- Changez régulièrement votre mot de passe. Essayez d'utiliser un gestionnaire de mots de passe réputé pour plus de commodité.
- Encouragez l'administrateur réseau de votre organisation à limiter la durée des sessions pour éviter le détournement de session.
- Les administrateurs doivent surveiller les journaux d'authentification et les données du réseau pour réagir rapidement aux activités suspectes, telles que des tentatives d'accès multiples depuis des adresses IP suspectes.
- Les organisations devraient envisager d'adopter une architecture zero-trust pour une plus grande sécurité.
