L'authentification

L'authentification

La première barrière de sécurité pour protéger les données personnelles consiste à contrôler qui y accède.

Commencer

L'authentification permet de vérifier l’identité d’une personne avant de lui donner accès à un système, à un service ou à un fichier.

Utilisateur

Il existe trois grandes familles de méthodes d’authentification, que l’on peut combiner pour renforcer la sécurité :

Ce que l'on sait: il s’agit d’informations que seul l’utilisateur est censé connaître, comme un mot de passe ou un code PIN. C’est le moyen le plus courant, mais aussi l’un des plus vulnérables si les mots de passe sont trop simples, réutilisés sur plusieurs sites ou partagés avec d’autres. Un bon mot de passe doit être long, complexe, et unique. Mais même bien choisis, les mots de passe restent exposés à des risques : ils peuvent être volés par des logiciels malveillants, ou par des arnaques de type phishing, où un site imite un service légitime pour inciter l’utilisateur à révéler ses identifiants.

Ce mot de passe est inviolable!

Suivant

Ce que l'on possède: cette méthode repose sur un objet en possession de l’utilisateur, comme un téléphone recevant un code à usage unique par SMS, une clé USB de sécurité. Ce deuxième facteur renforce considérablement la sécurité, notamment en cas de vol de mot de passe

Ce que l'on est : c’est l’authentification biométrique, qui repose sur des caractéristiques physiques ou comportementales (empreinte digitale, reconnaissance faciale, voix, rythme de frappe…). Ces méthodes offrent une certaine simplicité d’usage, mais soulèvent des risques importants en cas de compromission : contrairement à un mot de passe, une empreinte digitale ne se remplace pas.

Suivant

Les systèmes les plus robustes combinent ces facteurs : on parle alors d’authentification multifactorielle. Cette approche est aujourd’hui recommandée, voire imposée, pour les traitements sensibles ou les services en ligne exposés. Elle permet de s’assurer que l’accès aux données personnelles n’est possible que pour les personnes habilitées, et de réduire les risques d’intrusion, même en cas de fuite d’un mot de passe.

Les bonnes pratiques

Utiliser un gestionnaire de mots de passe En attendant la disparition complète des mots de passe, il est vivement recommandé d’utiliser un gestionnaire de mots de passe. Ces outils permettent de générer des mots de passe complexes et uniques pour chaque site, sans avoir à tous les mémoriser. Ils stockent ces informations dans un « coffre-fort » numérique, protégé par un seul mot de passe maître (à bien choisir), ou par un dispositif biométrique.

L’usage d’un gestionnaire réduit fortement le risque de réutilisation des mêmes mots de passe, une habitude fréquente mais risquée. En cas de fuite sur un service (comme celles que vous avez pu découvrir via l’outil have i been pwned?), un mot de passe réutilisé peut être exploité sur d’autres sites par des attaques automatisées, appelées credential stuffing. Les gestionnaires aident à rompre cette chaîne de vulnérabilité, et s’intègrent de plus en plus facilement dans les navigateurs ou sur mobile.

Suivant

Les bonnes pratiques

Mettre en place une authentification à deux facteurs (2FA) Même avec un bon mot de passe, une sécurité supplémentaire est souvent nécessaire : c’est l’objet de l’authentification à deux facteurs (2FA), qui ajoute une seconde preuve d’identité au moment de la connexion. Plusieurs méthodes existent, avec des niveaux de sécurité inégaux :

• Le code par SMS, souvent utilisé, est simple mais vulnérable (risques d’interception, redirection de ligne).

• Les applications d’authentification sur téléphone génèrent des codes temporaires localement, sans passer par le réseau, ce qui limite les risques. Le service en ligne vous founira un QR-code à viser avec l'appareil photo du téléphone. Cela fournira à l'application d'authentification un algorithme, à partir duquel elle pourra générer des codes en fonction de l'heure exacte. Ces codes changent, typiquement, toutes les 30 secondes.

• Les clés physiques (par exemple Yubikey) offrent un très haut niveau de sécurité, en demandant une interaction physique avec l’appareil.

Enfin, certaines solutions utilisent des notifications push, comme celles proposées par certains gestionnaires de mots de passe ou services bancaires, qui permettent d’approuver ou de refuser une connexion. Dans l’idéal, il convient de choisir une méthode non dépendante du réseau mobile, comme une application ou une clé physique, et de toujours configurer un moyen de récupération en cas de perte.

C’est pour répondre à ces faiblesses qu’émergent les passkeys, ou « clés d’accès ». Contrairement aux mots de passe, elles ne reposent pas sur quelque chose que l’on doit mémoriser ou taper, mais sur une clef cryptographique unique stockée sur l’appareil de l’utilisateur (smartphone, ordinateur). Lorsqu’on se connecte, c’est l’appareil lui-même qui prouve son identité au service, sans rien transmettre de réutilisable, et sans possibilité de leurrer l’utilisateur via un faux site.