Comment la gestion des identités renforce la posture de sécurité

Identification et authentification

Les principaux composants de la gestion de l'identité incluent l'identification et l'authentification. L'identification est le processus par lequel un sujet revendique une identité. Une demande d'identification simple peut être formulée en produisant un nom d'utilisateur lors de la tentative d'accès à un réseau, par exemple. Une certaine représentation de confiance de l'identité doit pré-exister avant de l'utiliser pour l'identification. L'authentification survient lorsqu'un sujet prouve la légitimité de sa demande, par exemple en fournissant un mot de passe correspondant au nom d'utilisateur.

Les systèmes nom d'utilisateur/mot de passe constituent des systèmes de gestion d'identité de base. Un tel système est considéré comme un système d'authentification à facteur unique où le nom d'utilisateur et le mot de passe sont les deux facteurs qui représentent quelque chose de connu. De tels systèmes sont populaires car ils sont peu coûteux et fonctionnent de manière binaire : le nom d'utilisateur et le mot de passe correspondant sont connus, ou pas.

Mais ces systèmes simples ne prouvent rien à propos de celui qui utilise les références d'identité. Le mieux que l'on peut dire sur le fonctionnement de ce type de système d'identification et d'authentification est : « quelqu'un en possession des informations d'identification de John Smith vient de se connecter ». Il n'y a pas de vérification ou de validation de qui peut utiliser le binôme nom d’utilisateur/mot de passe. 

Les politiques imposant un mot de passe complexe changé fréquemment rendent ces systèmes plus difficiles à utiliser, mais elles n’apportent pas d’amélioration significative quant à la confiance accordée à l’utilisateur qui les emploie. 

Des systèmes d'authentification à facteurs multiples, plus complexes et généralement plus coûteux, sont nécessaires lorsque l’on souhaite une correspondance plus étroite entre l'identité réelle de l'utilisateur et les identifiants produits.

Authentification à facteurs multiples

Un système d'authentification fort doit idéalement permettre de vérifier une formulation d'identité tout en empêchant une personne de se réclamer de manière illégitime d’une identité qui n’est pas la sienne. Un schéma d'authentification fort requiert une forme d'authentification à facteurs multiples pour obtenir un niveau de confiance supérieur à celui obtenu à partir d'un simple système de nom d’utilisateur/mot de passe.

Les systèmes d’authentification à facteurs multiples s’appuient généralement sur quelque chose que l’on possède, complété par quelque chose que l’on sait (deux facteurs), quelque chose que l’on possède et quelque chose que l’on est (deux facteurs), ou encore quelque chose que l’on possède, assorti de quelque chose que l’on connaît, et de quelque chose que l’on est (trois facteurs).

Jetons

Un système à jetons utilise une identité liée à un objet physique que possède l’utilisateur, le jeton, ainsi qu'un numéro d'identification personnel (PIN) ou un mot de passe qu’il connaît. La sécurité d'un système basé sur les jetons dépend à la fois de la sécurité physique du jeton et de la connaissance du mot de passe ou du PIN. On peut ainsi citer l’exemple du mécanisme d’authentification d’un titulaire de compte bancaire, basé sur une carte à puce et un code personnel. Le jeton peut également être un dispositif de type défi/réponse qui génère un mot de passe unique en réponse à un défi du système.

Biométrie

Les systèmes de gestion d'identité qui utilisent la biométrie attachent une caractéristique physique unique, c'est-à-dire quelque chose que l’on est, à un titre d'identité. Il peut s’agit d’empreintes digitales, de reconnaissance faciale, de reconnaissance de l’iris ou de la rétine, de la main, ou encore de la voix.

Contrairement aux systèmes d'authentification basés sur un mot de passe, les systèmes biométriques peuvent souffrir à la fois de faux positifs (acceptation par erreur) comme de faux négatifs (rejet par erreur). Dès lors, les systèmes biométriques sont généralement utilisés comme un seul facteur dans un système d'authentification à facteurs multiples. Par exemple, la biométrie peut être utilisée lorsqu'une empreinte digitale est utilisée avec un jeton et un code PIN pour assurer une authentification à trois facteurs. 

Il est important de noter que le fait de s'appuyer sur la biométrie entraîne des risques car l'information est statique, et une fois que les données biométriques sont exposées, elles ne doivent plus être utilisées pour l'authentification.

L'identification et l'authentification, comme indiqué précédemment, visent à accroître la sécurité. Les systèmes d'identification et d'authentification examinés ici fournissent la base sur laquelle de solides capacités d'autorisation et de responsabilisation sont créées. Le contrôle de l'accès aux réseaux et la compréhension de la façon dont les réseaux sont utilisés sont essentiels à la cybersécurité.