Le mot de passe est pour l’heure le système d’authentification le plus utilisé. Cependant, il n’offre pas toujours un haut niveau de sécurité pour garantir la protection des données personnelles sensibles puisque plusieurs techniques permettent désormais de le craquer en toute simplicité. Il est donc devenu utile de mettre en place d’autres méthodes d’authentification. Pour rappel, l’authentification est classée en deux catégories.
L’authentification faible
C’est une méthode dite rejouable puisqu’elle est axée sur un élément statique. De nombreux systèmes informatiques sont basés sur cette technique et utilisent des login/mot de passe. Cette option présente pourtant plusieurs contraintes puisque le mot de passe choisi par l’utilisateur est généralement très simple à retenir, de ce fait il peut se faire pirater à tout moment. Par ailleurs, un mot de passe classique a une durée de vie assez conséquente. Ainsi, même s’il a été choisi convenablement, il sera toujours possible de l’attaquer avec la méthode de force brute. Il faut aussi savoir que les mots de passe sont transmis en clair sur le réseau, il est très facile pour un pirate de le récupérer à l’aide d’un sniffer. Enfin, s’il est chiffré avant de véhiculer sur le réseau, une personne malfaisante peut le récupérer et faire une attaque par force brute sur le chiffré.
Pour qu’il soit difficile de cracker le mot de passe, il faut opter pour les mots de passe à usage unique, une méthode avec un très haut niveau de sécurité. Il s’agit d’un système d’authentification forte utilisant le principe de challenge/réponse. Le principe est facile à retenir, l’utilisateur utilise un mot de passe pour une session uniquement. Le mot de passe ne sera plus choisi mais sera par contre généré instantanément par une méthode de calculs préétablie. Il est alors impossible de pirater un compte et de subtiliser des données sensibles.
L’authentification forte
En matière de sécurité des systèmes d’information, l’authentification forte est une procédure permettant d’identifier un utilisateur. Elle nécessite l’enchaînement d’au moins deux facteurs d’authentification. C’est la norme FIDO qui régit la référence en la matière. Windows 10 devrait d’ailleurs incorporé un mécanisme d’authentification FIDO compatible dans sa version finale. Cette forme d’authentification est une des bases primordiales garantissant l’autorisation et le contrôle d’accès, la confidentialité, l’intégrité, l’irrévocabilité ainsi que la traçabilité. La technique est modulée par l’ANSSI dans son référentiel général de sécurité. En 2010, la banque de France avait émis la recommandation de généraliser cette démarche pour l’accès à la banque en ligne et pour le paiement internet. Il va s’en dire que le niveau de sécurité est donc plus que satisfaisante au vue des moyens technologiques qui sont déployés.