Qu'est-ce que l'authentification ? Méthodes, avantages et importance
L'authentification = vérifier qu'une entité (utilisateur, appareil, service) est bien ce qu'elle prétend être. C'est le gardien de toute interaction numérique.
Facteurs de base (Quelque chose que vous…)
| Facteur | Exemples | Force |
|---|---|---|
| Connaissance | Mot de passe, PIN, question secrète | Faible (hameçonnable, réutilisable) |
| Possession | Téléphone (SMS/push), clé matérielle (YubiKey), carte à puce, appli TOTP | Moyen (risque vol/perte) |
| Inhérence | Empreinte, Face ID, iris, voix, biométrie comportementale | Fort (mais irrévocable) |
| Localisation | GPS, géo-IP, SSID Wi-Fi d'entreprise | Contextuel |
Méthodes courantes
- Facteur unique (SFA) : Mot de passe seul — déconseillé pour tout ce qui est sensible.
- Double facteur (2FA) : Mot de passe + TOTP / push / clé matérielle.
- Multi-facteurs (MFA) : ≥2 catégories distinctes (ex. mot de passe + YubiKey + Face ID).
- Sans mot de passe / Passkeys : WebAuthn/FIDO2 — paire de clés cryptographiques, résistante au phishing.
- Certificat / mTLS : Certificats X.509 pour service-à-service.
- SSO / Fédération : SAML, OIDC — IdP (Okta, Entra ID, Keycloak) affirme l'identité.
Pourquoi c'est crucial
- Protection des données — empêche accès non autorisé aux DPI, PI, finances.
- Conformité — RGPD Art. 32, HIPAA §164.312, PCI-DSS 8.x, SOX.
- Réduction fraude — prise de contrôle compte (ATO) chute 99 %+ avec MFA résistant au phishing.
- Audit & non-répudiation — journaux signés prouvent qui a fait quoi.
Bonnes pratiques (2024)
- Imposer MFA résistant au phishing (passkeys, clés matérielles) pour tous les utilisateurs.
- Éliminer les mots de passe quand possible ; utiliser passkeys (synchronisés via iCloud/Google/1Password).
- Implémenter Zero Trust : vérification continue, santé appareil, moindre privilège.
- Surveiller les journaux d'auth pour voyages impossibles, bourrage identifiants, fatigue MFA.
L'authentification n'est pas une case à cocher — c'est un plan de contrôle continu.