Les deux protocoles d'authentification les plus courants : Mots de passe et 2FA
Protocoles d'authentification : Ce qui sécurise vos connexions
En pratique, les deux méthodes d'authentification les plus largement déployées (souvent appelées protocoles familièrement) sont :
1. Authentification par mot de passe (Facteur unique)
- Mécanisme : Utilisateur fournit nom d'utilisateur + mot de passe secret → haché et comparé au hash stocké.
- Protocoles sous-jacents : HTTP Basic/Digest, Form POST, LDAP bind, RADIUS PAP/CHAP, Kerberos (mot de passe dérivé), NTLM.
- Ubiquité : Chaque site web, app, login OS, Wi-Fi (WPA2-Personnel).
- Faiblesses : Hameçonnage, credential stuffing, force brute, réutilisation, keylogging, ingénierie sociale.
- Atténuations : Hachage Argon2/bcrypt/scrypt, limitation taux, vérif mot de passe compromis (HIBP), MFA.
2. Authentification à deux facteurs (2FA / MFA)
- Concept : Quelque chose que vous savez (mot de passe) + quelque chose que vous avez (appareil OTP, téléphone, clé) ou êtes (biométrique).
- Protocoles courants :
- TOTP (RFC 6238) : OTP temps (Google Authenticator, Authy, Microsoft Authenticator).
- HOTP (RFC 4226) : OTP compteur (YubiKey OTP, RSA SecurID).
- FIDO2 / WebAuthn / CTAP : Crypto clé publique, clés matérielles (YubiKey, Titan), authentificateurs plateforme (Touch ID, Windows Hello) — résistant au phishing.
- Push / Approuver : Duo, Microsoft Authenticator, Okta Verify — serveur envoie push, utilisateur approuve.
- SMS / Voix / Email OTP : 2FA le plus faible (SIM swap, SS7, phishing) — déprécié pour haute valeur.
- Adoption : Obligatoire admin, finance, santé, gouv ; optionnel mais poussé pour consommateurs.
Au-delà de ces deux
- Basé certificats (mTLS, Carte à puce/PIV).
- Kerberos (ticket-granting, SSO entreprise).
- SAML / OIDC / OAuth (identité fédérée).
- Sans mot de passe (WebAuthn, liens magiques, passkeys).
Mots de passe + 2FA = posture sécurité baseline pour presque tout aujourd'hui.