Authentification
Vérification de l'identité d'un utilisateur, d'un appareil ou d'un programme avant de lui donner accès à une ressource.
Définition complète
L'authentification est, selon le NIST, la vérification de l'identité d'un utilisateur, d'un processus ou d'un appareil, souvent comme préalable à l'accès aux ressources d'un système d'information. Il ne faut pas la confondre avec l'identification (annoncer qui l'on est, par exemple avec un identifiant) ni avec l'autorisation (ce que l'on a le droit de faire une fois authentifié).
Elle repose sur des facteurs : ce que l'on sait (mot de passe, code PIN), ce que l'on possède (téléphone, clé de sécurité, carte à puce) et ce que l'on est (empreinte, visage). L'authentification multifacteur combine au moins deux facteurs de catégories différentes.
L'ANSSI recommande de privilégier l'authentification multifacteur, de préférence avec un facteur de possession, d'adapter la robustesse des mots de passe au contexte d'usage et d'utiliser un gestionnaire de mots de passe. Les accès les plus sensibles (comptes administrateurs, accès distants, messagerie) doivent être protégés en priorité.
Sources : ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe ; ANSSI, Guide d'hygiène informatique
Exemple concret
Le mot de passe du gérant d'une PME de 30 salariés, réutilisé sur un site de e-commerce piraté, est revendu en ligne. Un attaquant l'essaie sur la messagerie de l'entreprise. Comme l'authentification multifacteur a été activée trois mois plus tôt, la connexion est refusée faute du code envoyé sur l'application du téléphone du gérant, qui reçoit une alerte et change son mot de passe.
Comment se protéger
- Activer l'authentification multifacteur sur la messagerie, les accès distants et les comptes administrateurs
- Utiliser un mot de passe unique par service, stocké dans un gestionnaire de mots de passe
- Changer les mots de passe par défaut de tous les équipements
- Préférer les facteurs de possession (application, clé de sécurité) aux codes par SMS quand c'est possible
- Désactiver sans délai les comptes des personnes qui quittent l'entreprise
- Sensibiliser les salariés aux demandes de validation inattendues
Questions fréquentes
Non. Même robuste, il peut être volé par hameçonnage ou réutilisé après une fuite sur un autre site. L'ANSSI recommande de privilégier l'authentification multifacteur.
L'authentification vérifie qui vous êtes. L'autorisation détermine ce que vous pouvez faire une fois authentifié, selon vos droits.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
Principe du moindre privilège
Règle qui consiste à n'accorder à chaque utilisateur, programme ou service que les droits strictement nécessaires à sa tâche.
Zero Trust
Modèle de sécurité ne faisant confiance à aucun utilisateur par défaut.
Vous avez besoin d'un expert en Authentification ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.