Authentification à facteur simple, à double facteur et multifacteur

L’authentification est le processus qui consiste à savoir si quelqu’un ou quelque chose est, de fait, bien celui qu’il prétend être. Le nombre de facteurs requis pour que les utilisateurs prouvent leur identité dépend souvent de la sensibilité des données et des ressources digitales impliquées. 

Par exemple, les sites de vente en ligne demandent souvent aux utilisateurs de ne fournir qu’une information vérifiable, comme un mot de passe, pour accéder à leur compte en ligne. Vous ne voulez probablement pas que les autres sachent ce que vous avez acheté sur un site en particulier, mais aucune information sensible n’est exposée à des risques. Toutefois, les institutions financières gèrent des données bien plus sensibles, comme le solde des comptes ou les paiements ; aussi demandent-ils souvent aux utilisateurs de fournir au moins deux informations vérifiables pour accéder à leurs comptes en ligne. 

Le nombre de facteurs requis pour chaque méthode d’authentification figure dans son nom :

• L’authentification à facteur simple (SFA) : Demande aux utilisateurs de fournir un identifiant vérifiable pour accéder aux ressources en ligne.
   

• L’authentification à double facteur (2FA) : Demande aux utilisateurs de fournir deux identifiants vérifiables pour accéder aux ressources en ligne.
   

• L’authentification multifacteur (MFA) : Demande aux utilisateurs de fournir deux identifiants vérifiables pour accéder aux ressources en ligne.
   

Si un facteur est compromis, il est peu probable que les autres le soient également ; la sécurité est donc renforcée en demandant aux utilisateurs de s’authentifier avec des facteurs supplémentaires. Le but est de trouver le bon équilibre entre la sécurité nécessaire pour protéger les ressources en ligne avec l’expérience utilisateur tout en rendant l’expérience générale d’authentification aussi fluide que possible.

Les informations vérifiables appartiennent à trois catégories différentes :

• Facteurs de connaissance : Ce que vous savez.

• Facteurs de possession : Ce que vous avez.

• Facteurs inhérents : Ce que vous êtes.

Pour en savoir plus sur les types d’informations les plus fréquemment utilisés ainsi que les avantages et les inconvénients de chacun, découvrez l’Authentification.

L’authentification à facteur simple (SFA)

Avec le SFA, une seule information vérifiable est demandée aux utilisateurs pour s’authentifier. Il peut s’agir de n’importe quel facteur de connaissance, comme un mot de passe, ou bien d’un facteur biométrique, comme une empreinte digitale. 

Il faut noter que le SFA n’est pas nécessairement moins sécurisé que le 2FA ou le MFA. Le SFA renvoie au nombre de facteurs utilisés -- un seul dans ce cas -- pour s’authentifier, et non au type d’authentification utilisé. Les mots de passe sont le type de SFA le plus fréquemment utilisé et ils sont souvent compromis ou oubliés. Mais les empreintes digitales sont un autre type de SFA et sont considérées comme l’une des méthodes disponibles les plus sécurisées, car il est difficile de les falsifier. 

Il faut aussi noter que le SFA et le single sign-on (SSO) ne sont pas la même chose. Le SFA renvoie au nombre d’informations vérifiables nécessaires pour s’authentifier, tandis que le SSO est un processus d’authentification permettant aux utilisateurs de se connecter à leurs applications et services avec une seule paire d’identifiants.

Fonctionnement du SFA

Avec le SFA, une seule information vérifiable est demandée aux utilisateurs pour s’authentifier.

1. Les utilisateurs fournissent l’information demandée, à savoir un mot de passe, un code PIN ou encore une empreinte digitale.

    

2. La ressource en ligne compare les informations fournies aux informations d’authentification stockées dans le système. 

    

3. Si l’information d’authentification fournie correspond à l’information figurant dans le système, l’accès est accordé à l’utilisateur. Si elle ne correspond pas, l’accès est refusé.
   

L’authentification à double facteur (2FA)

Avec le 2FA, les utilisateurs doivent fournir deux informations vérifiables pour s’authentifier. Le 2FA a été conçu pour ajouter une couche de sécurité supplémentaire aux informations sensibles. Les identifiants et les mots de passe principaux sont souvent oubliés ou compromis, donc le 2FA peut être utilisé pour contribuer à s’assurer que les informations sensibles sont sécurisées.

Les deux informations vérifiables demandées doivent appartenir à deux catégories différentes. Par exemple, les procédures de connexion pourraient exiger des utilisateurs qu’ils fournissent leur nom d’utilisateur et leur mot de passe (quelque chose qu’ils savent) ainsi qu’une empreinte digitale (quelque chose qu’ils sont) pour accéder à leurs systèmes et à leurs applications. Ou, ces procédures de connexion pourraient exiger des utilisateurs qu’ils fournissent leur nom d’utilisateur et leur mot de passe (quelque chose qu’ils savent) ainsi qu’une preuve que leur smartphone est en leur possession (quelque chose qu’ils ont).

Fonctionnement du 2FA

Avec le 2FA, les utilisateurs doivent fournir deux informations vérifiables pour s’authentifier. Les informations vérifiables demandées doivent appartenir à deux catégories d’authentification différentes.

1. Les utilisateurs fournissent la première information demandée, à savoir un mot de passe ou un code PIN.

    

2. La ressource en ligne compare les informations fournies aux informations d’authentification stockées dans le système. 

    

3. Si l’information d’authentification fournie correspond à l’information figurant dans le système, il est demandé aux utilisateurs de fournir une seconde information, qui pourrait être un mot de passe à usage unique (OTP) ou une empreinte digitale.

    

4. Si l’information d’authentification fournie correspond à l’information figurant dans le système, l’accès est accordé à l’utilisateur. Si elle ne correspond pas, l’accès est refusé. 

    

L’authentification multifacteur (MFA)

Avec l’authentification multifacteur, les utilisateurs doivent fournir au moins une information vérifiable pour s’authentifier. Le MFA a été conçu pour ajouter une couche de sécurité supplémentaire aux informations sensibles. 

Il faut noter que le 2FA est aussi considéré comme une forme de MFA puisqu’il exige au moins un identifiant pour se connecter. Mais le MFA implique souvent plus de deux identifiants. 

À l’instar du 2FA, les informations vérifiables demandées doivent appartenir à des catégories différentes. Les procédures de connexion pourraient exiger des utilisateurs qu’ils fournissent leur nom d’utilisateur et leur mot de passe (quelque chose qu’ils savent), ainsi que quelque chose qu’ils ont, comme un porte-clé électronique ou un smartphone, ou bien quelque chose qu’ils sont, comme une empreinte digitale ou un scan de la rétine. 

Fonctionnement du MFA

Le MFA fonctionne comme le 2FA, mais les utilisateurs doivent fournir au moins deux informations vérifiables pour s’authentifier. Les deux diagrammes ci-dessous montrent des exemples d’authentification par MFA.

Trouver un équilibre entre la sécurité et l’expérience utilisateur

Comme vous pouvez le constater, les utilisateurs peuvent s’authentifier de plusieurs manières différentes et les méthodes utilisées dépendent de la sensibilité des informations auxquelles il est possible d’accéder. 

De prime abord, protéger toutes vos ressources numériques avec les méthodes les plus sécurisées peut sembler être une bonne idée, par exemple avec la reconnaissance faciale ou les empreintes digitales. Toutefois, ces méthodes impliquent que les utilisateurs aient accès à des technologies de reconnaissance, ce qui peut être coûteux. De l’autre côté, si vous ne protégez pas les informations sensibles, vous pourriez envisager d’utiliser le SFA avec un mot de passe ou un code PIN, ou bien de 2FA avec un téléphone portable si la plupart de vos utilisateurs en ont un. Bien que ces méthodes ne fournissent pas le niveau de sécurité le plus élevé qui soit, elles sont plus faciles et moins chères à mettre en place. La clé est de trouver le bon équilibre entre la sécurité et l’expérience utilisateur.