Protocoles d'authentification expliqués : flux, cryptographie et standards courants
Un protocole d'authentification est une séquence définie de messages cryptographiques qui vérifie l'identité d'une entité avant d'accorder l'accès.
Flux générique du protocole
- Initiation : Le client demande l'accès à une ressource protégée.
- Présentation des identifiants : Le client envoie une revendication d'identité (nom d'utilisateur, certificat, jeton).
- Défi (optionnel) : Le serveur envoie un nonce, puzzle cryptographique, ou demande un facteur additionnel.
- Réponse : Le client calcule une preuve (hash mot de passe, signature, OTP, correspondance biométrique).
- Vérification : Le serveur valide la preuve contre la référence stockée (hash salé, clé publique, secret TOTP).
- Établissement de session : En cas de succès, le serveur émet un jeton de session (JWT, cookie, assertion SAML, jeton d'accès OAuth).
- Validation de session : Les requêtes suivantes présentent le jeton ; le serveur vérifie signature, expiration, révocation.
- Terminaison : Déconnexion, expiration, ou révocation invalide le jeton.
Propriétés de sécurité
- Résistance au rejeu : Nonces, horodatages, codes à usage unique.
- Protection MITM : TLS mutuel, liaison de canal, défis signés.
- Protection identifiants : Hashs lents salés (Argon2, bcrypt), preuves à divulgation nulle.
- Secret direct (forward secrecy) : Clés éphémères (dans TLS, protocole Signal).
Familles de protocoles majeures
- Mot de passe / Connaissance : HTTP Basic, Digest, Formulaires + hash salé.
- Biométrique / Inhérence : FIDO2/WebAuthn, Apple Face ID, Windows Hello.
- Double facteur (2FA/MFA) : TOTP (RFC 6238), Push (Duo, Auth0), SMS/Email OTP (plus faible), Clés matérielles (YubiKey).
- Fédéré / Délégation : OAuth 2.0 / OpenID Connect (Google, Microsoft, Okta), SAML 2.0 (SSO entreprise).
- Basé sur tickets : Kerberos (domaines Windows), SPNEGO.
- Basé certificats : mTLS, clés SSH, Cartes à puce (PIV/CAC).
Choisir un protocole
Adaptez au modèle de menace, friction utilisateur, et infrastructure. Meilleure pratique moderne : WebAuthn + OIDC pour une auth résistante au phishing, sans mot de passe.