Aller au contenu

Les différents moyens d'authentification

1. Objectif du cours

Présenter les moyens d'authentification courants (mot de passe, 2FA), leurs avantages/inconvénients, les risques associés et les bonnes pratiques pour limiter les compromissions.

2. Notions et définitions essentielles

  • Mot de passe : série de caractères permettant à une personne de prouver son identité ou à un système de valider un utilisateur.
  • 2FA (Authentification à deux facteurs) : méthode exigeant deux formes distinctes de preuve d'identité (quelque chose que l'on sait, que l'on a, ou que l'on est).
  • Passphrase : phrase mémorable utilisée comme mot de passe long et plus facile à retenir.
  • Anagramme / Palindrome : techniques linguistiques utilisables pour complexifier des mots de passe tout en restant mémorables.

3. Fonctionnement et principes

  • Mot de passe : stocké côté service ; sa sécurité dépend à la fois de sa complexité et de la robustesse du serveur hébergeant le mot de passe (analogie clé/porte).
  • Génération : deux approches — personnalisé (plus mémorisable, parfois devinable) ou aléatoire (plus sûr, plus difficile à retenir). L'aléatoire parfait n'existe pas ; vulnérabilité possible si le générateur est compromis.
  • 2FA : processus en 4 étapes — saisie identifiant/mot de passe, demande du 2e facteur, fourniture du facteur (SMS, appli, clé physique, biométrie), validation du facteur. Augmente nettement la difficulté d'accès pour un attaquant même si le mot de passe est connu.
  • Attaques sur mots de passe : force brute (essai de toutes les combinaisons), dictionnaire (essai de mots courants), phishing (l'utilisateur est trompé), force brute avec masque (parties connues réduisent l'espace de recherche).

4. Commandes et manipulations

Non abordé dans ce cours

5. Sécurité et bonnes pratiques

  • Longueur et complexité : idéalement 12 caractères ou plus, mélange de majuscules, minuscules, chiffres et caractères spéciaux.
  • Unicité et rotation : ne pas réutiliser un même mot de passe sur plusieurs services ; changer régulièrement.
  • Éviter les éléments évidents : pas de dates de naissance, noms d'animaux, informations publiques (réseaux sociaux).
  • Passphrases : utiliser des phrases mémorables modifiées (ex. paroles de chanson transformées) pour concilier sécurité et mémorisation.
  • Gestionnaire de mots de passe : recommandé pour générer, stocker et remplir des mots de passe uniques et complexes.
  • Activer la 2FA partout où possible (ex. Notion propose l'activation du 2FA dans ses réglages).
  • Formation des utilisateurs : sensibiliser au phishing et aux attaques d'ingénierie sociale.
  • Sécurisation des appareils : pare-feu, antivirus, analyse du périphérique utilisé pour détecter connexions ou activités suspectes.
  • Éviter les mots de passe communs (ex. "123456", "password", "qwerty") et ne pas partager ses mots de passe (ex. post-it visible).

6. Points essentiels à retenir pour le TSSR

  • Un mot de passe n'est qu'une partie de la protection : la sécurité dépend aussi du service qui le stocke.
  • Privilégier mots de passe ≥12 caractères et uniques pour chaque service.
  • Utiliser un gestionnaire de mots de passe pour concilier sécurité et facilité d'usage.
  • Toujours activer la 2FA lorsqu'elle est disponible ; elle réduit fortement le risque d'accès non autorisé.
  • Connaître les principales attaques : force brute, dictionnaire, phishing, et masquer les tentatives (force brute avec masque).
  • Les méthodes 2FA diffèrent : SMS/voice, applications à code, applications à validation, clés physiques, biométrie.
  • Vérifier la robustesse d'un mot de passe via outils référencés (Kaspersky, NordPass, ANSSI).
  • Sensibiliser régulièrement les utilisateurs au phishing : la faille humaine reste critique.
  • Analyser les périphériques et logs pour détecter connexions suspectes.
  • Les techniques linguistiques (anagrammes/palindromes/passphrases) peuvent aider à mémoriser des mots de passe plus complexes.

7. Tableau récapitulatif

Élément Avantage principal Limite principale
Mot de passe personnalisé Facile à mémoriser Plus vulnérable si basé sur infos personnelles
Mot de passe aléatoire Très difficile à deviner Difficile à retenir sans gestionnaire
2FA via SMS Simple à déployer Susceptible d'interception/port-out
Clé physique (YubiKey) Très sécurisée Nécessite matériel dédié
Attaque par dictionnaire Rapide contre mots courants Inefficace contre mots longs/aléatoires

8. Vérifications pratiques

  • Tester la résistance d'un mot de passe avec un des sites cités (Kaspersky, NordPass, ANSSI) pour obtenir un score de robustesse.
  • Vérifier la réception et la saisie du code de vérification lors d'une inscription (ex. Notion : récupération du code de vérification).
  • Confirmer l'acceptation du 2e facteur au moment de connexion (code temporaire, validation dans l'application, ou insertion d'une clé physique).
  • Vérifier que le gestionnaire de mots de passe enregistre et remplit automatiquement les identifiants pour un service.
  • Consulter la liste des appareils reconnus / logs pour détecter et confirmer l'absence d'activités suspectes après changement de mot de passe ou activation 2FA.

9. Flashcards Anki

Qu'est-ce qu'un mot de passe ? :: Une série de caractères permettant à une personne de prouver son identité ou à un système de valider l'identité d'un utilisateur. Quel est l'objectif principal d'un mot de passe ? :: Protéger les informations stockées dans le compte contre les accès non autorisés. Quelle longueur optimale est recommandée pour un mot de passe ? :: Idéalement 12 caractères ou plus. Pourquoi ne pas réutiliser le même mot de passe ? :: Si un compte est compromis, les autres comptes réutilisant le mot de passe sont aussi menacés. Qu'est-ce que la 2FA ? :: Méthode de sécurité demandant deux formes différentes de preuve d'identité pour accéder à un compte. Donnez trois types courants de 2FA. :: SMS/Voice Call, applications d'authentification à code, clés d'authentification physiques. Quelle est la différence entre CAPTCHA et 2FA ? :: CAPTCHA distingue humains/robots ; 2FA exige deux preuves d'identité pour sécuriser un accès. Qu'est-ce qu'une attaque par force brute ? :: Tentative systématique de toutes les combinaisons possibles de mots de passe jusqu'à trouver la bonne. Qu'est-ce qu'une attaque par dictionnaire ? :: Utilisation d'un dictionnaire de mots ou mots couramment utilisés pour tenter d'accéder à un compte. Quel outil/mesure est conseillé pour gérer de nombreux mots de passe complexes ? :: Un gestionnaire de mots de passe (génère, stocke et remplit automatiquement les mots de passe).