Authentification

 

L'authentification est la procédure qui consiste, pour un système informatique, à vérifier l'identité d'une entité (personne, ordinateur...), afin d'autoriser l'accès de cette entité à des ressources (systèmes, réseaux, applications...). L'authentification permet donc de valider l'authenticité de l'entité en question.

L'identification permet donc de connaître l'identité d'une entité alors que l'authentification permet de vérifier cette identité.

Enjeu

Le contrôle permanent de l'intégrité et de l'accès (usage, identité du destinataire, émetteur, propriétaire) à un contenu ou à un service constitue le fondement de la traçabilité des transactions. Ce contrôle permet :

• la protection des intérêts supérieurs de l'État et du patrimoine informatique des entreprises, donc de leurs intérêts commerciaux. le développement du commerce et des échanges électroniques. la protection de la vie privée. Les données personnelles véhiculées dans les systèmes d'information sont des données sensibles à protéger.

Les techniques d'authentification font partie des technologies clés. En France, elles sont identifiées comme telles dans le rapport sur les technologies clés 2010. Les efforts entrepris par les constructeurs et fournisseur de services Internet pour mettre en œuvre des systèmes d'authentification, notamment d'authentification forte, nous montrent clairement que l'authentification est un des enjeux majeur pour le futur.

Preuves

Dans le cas d'un individu, l'authentification consiste, en général, à vérifier que celui-ci possède une preuve de son identité ou de son statut, sous l'une des formes (éventuellement combinées) suivantes :

• Ce qu'il sait (mot de passe, code NIP).
• Ce qu'il possède (Acte de naissance, Carte grise, Carte d'identité, carte à puce, Droit de propriété, certificat électronique, Diplôme, Passeport français, carte vitale, carte d'identité, Token OTP, Carte OTP, Téléphone portable, PDA, etc.).
• Ce qu'il est (photo, caractéristique physique, voire biométrie).
• Ce qu'il sait faire (geste, signature).

Méthodes de vérification

La phase de vérification fait intervenir un protocole d'authentification. On en distingue deux sortes « familles » :

• L'authentification simple : l'authentification ne repose que sur un seul élément ou « facteur » (exemple : l'utilisateur indique son mot de passe).
• L'authentification forte : l'authentification repose sur deux facteurs ou plus

Par ailleurs, l'authentification à transfert nul de connaissance ne considère que l'information de la véracité d'une proposition.

Fédération d'autorités d'authentification

Voir authentification unique.

L'objectif de la fédération des autorités d'authentification est double : déléguer l'authentification à un ou plusieurs établissements (qui assureront notamment une identification) et obtenir des informations relatives à l'utilisateur (pour gérer le contrôle d'accès, personnaliser des contenus).

Authentification simple

En sécurité informatique, une authentification simple est une procédure d'authentification qui requiert un seul élément ou « facteur » d'authentification valide pour permettre l'accès à une ressource.

Authentification forte

Les trois facteurs possibles pour une authentification forte.

En sécurité des systèmes d'information, une authentification forte est une procédure d'identification qui requiert concaténation d'au moins deux  éléments ou « facteurs » d'authentification qui sont :

• Ce que l'entité connaît (un mot de passe, un code NIP, une phrase secrète, etc.),
• Ce que l'entité détient (une carte magnétique, RFID, une clé USB, un PDA, une carte à puce, etc. Soit un « Authentifieur » ou « Token »),
• Ce que l'entité est, soit une personne physique (empreinte digitale, empreinte rétinienne, structure de la main, structure osseuse du visage ou tout autre élément biométrique),
• Ce que l'entité sait faire, soit une personne physique (biométrie comportementale tel que signature manuscrite, reconnaissance de la voix, un type de calcul connu de lui seul, etc.),
• Où l'entité est, soit un endroit d'où, suite à une identification et authentification réussie, elle est autorisée (accéder à un système logique d'un endroit prescrit).

Dans la majorité des cas, l'entité est une personne physique - individu - personne morale, mais elle peut être une machine comme par exemple un serveur web utilisant le protocole SSL ou encore un applet.

Représentation de l'authentification forte sous forme pyramidale.