L’ABC des protocoles d’authentification : définition, types et modalités d’utilisation

L’authentification est le processus permettant de confirmer l’identité des utilisateurs. Un protocole d’authentification est la méthode utilisée pour ce faire. 

Il existe plusieurs protocoles d’authentification. Aucun d’eux n’est totalement infaillible. Toutefois, en choisissant soigneusement votre méthode d’authentification, vous réduirez les risques de piratage et de vol de données. 

Qu’est-ce qu’un protocole d’authentification ?

Un protocole d’authentification permet à la partie destinataire (p. ex. un serveur) de vérifier l’identité d’une autre partie (p. ex. une personne utilisant un terminal mobile pour se connecter). La vaste majorité des systèmes informatiques utilisent une forme quelconque d’authentification réseau pour vérifier l’identité des utilisateurs. 

Comme un volume croissant d’informations est stocké par voie électronique et que les cybercriminels sont passés maîtres dans l’art de subtiliser les données, l’authentification prend une importance croissante. Sans elle, vous vous exposez à des pertes parfois considérables. Par exemple, Deloitte a été victime d’une brèche de données en 2017 qui a exposé les e-mails de ses clients (dont certains liés à des organismes publics). Certes, rien ne garantit que l’authentification suffira à protéger totalement vos informations. Mais elle compliquera considérablement la tâche des malfaiteurs. Les cyberattaquants iront sans doute voir ailleurs si vos serveurs sont trop difficiles à infiltrer.

Types de protocole d’authentification

Les administrateurs IT disposent d’un large choix de protocoles. La liste ci-dessous en mentionne quelques-uns, mais il en existe beaucoup d’autres. 

Les cinq méthodes d’authentification les plus utilisées par les entreprises sont les suivantes :

1. Kerberos: si vous possédez un environnement Windows, vous avez utilisé ce protocole. Le système s’appuie sur des clés symétriques extraites d’un centre de distribution de clés centralisé. Même s’il dispose de mécanismes de protection importants, Kerberos n’est pas infaillible. En 2020, Kerberos a arrêté de fonctionner après une mise à jour système. 
2. LDAP : comme nous l’avons expliqué dans un récent article de blog, les entreprises stockent les noms d’utilisateurs, les mots de passe, les adresses e-mail, les connexions des imprimantes et d’autres données statiques dans des annuaires. LDAP est un protocole d’application ouvert et indépendant, utilisé pour l’accès et la gestion de ces données.
3. OAuth 2.0 : si vous vous êtes déjà servi des identifiants que vous utilisez sur un autre site web (comme Facebook) pour accéder à un autre site (comme le New York Times), vous avez en fait utilisé OAuth 2.0. Une application récupère les ressources pour vous et vous n’avez pas à partager vos identifiants. Cela dit, ce système peut également être piraté, comme l’a constaté GitHub en 2020. 
4. RADIUS (Remote Authentication Dial-In User Service) : vous saisissez un nom d’utilisateur et un mot de passe, et le système RADIUS vérifie les informations en les comparant à celles d’une base de données. 
5. SAML : ce protocole XML échange des données d’authentification entre les fournisseurs d’identité et les fournisseurs de services. 

Voici cinq autres types de protocoles d’authentification à connaître :

• CHAP (Challenge-Handshake Authentication Protocol) : ce système réauthentifie périodiquement les utilisateurs, même au cours d’une même session. Chaque demande d’authentification est différente de la version précédente. 
• DIAMETER : ce protocole fournit un cadre d’authentification et de traçabilité des utilisateurs. Dérivé de RADIUS, il est considéré comme une version améliorée de ce protocole. 
• EAP (Extensible Authentication Protocol) : les réseaux sans fil et les connexions point à point ont souvent recours à EAP. 
• PAP (Password Authentication Protocol) : un utilisateur saisit un nom d’utilisateur et un mot de passe que le système compare ensuite à une base de données. 
• TACACS : ce système permet d’effectuer une authentification basée sur les adresses IP. Les dernières versions de ce protocole incluent le chiffrement. 

Comment choisir un protocole d’authentification

Devant un tel choix, comme opter pour la version qui vous conviendra le mieux ?

Prenez en compte les éléments suivants :

• Besoins des applications. Quels systèmes et ressources ont besoin d’un accès ? Quels sont leur importance et leur degré de confidentialité ?
• Infrastructure. Quels protocoles pouvez-vous implémenter sans refonte du système existant ? 
• Effort. La mise en place du système vous demandera-t-elle beaucoup d’efforts en termes de formation ou de programmation ?
• Avenir. Le système peut-il être étendu pour accompagner la croissance de votre société ?

Références

When Two-Factor Authentication Fails: Rethinking the Approach to Identity Security. Février 2018. Forbes. 

Windows Kerberos Authentication Breaks Due to Security Updates. Novembre 2020. Bleeping Computer. 

Hackers Stole GitHub and GitLab OAuth Tokens From Git Analytics Firm Waydev. Juillet 2020. ZDNet.