Skip to main content

Authentification

Introduction​

L'authentification est le processus fondamental qui consiste à vérifier l'identité d'une entité (un utilisateur, un appareil, une application, un service, etc.) avant de lui accorder l'accès à un système ou à une ressource. C'est la première étape cruciale de la gestion des identités et des accès.

note

Avant de pouvoir décider ce que quelqu'un a le droit de faire (autorisation), il faut d'abord être sûr de qui il est (authentification).

Pensez à toutes les fois où vous devez prouver votre identité :

  • Lorsque vous entrez un mot de passe pour déverrouiller votre téléphone.
  • Lorsque vous vous connectez à votre boîte email.
  • Lorsque vous utilisez votre empreinte digitale pour accéder à une application bancaire.
  • Lorsque vous présentez votre carte d'embarquement et votre passeport à l'aéroport.

Dans le monde numérique, l'authentification prend diverses formes, allant du simple mot de passe à des méthodes beaucoup plus sophistiquées.

Dans cette section, nous allons explorer :

  • Les facteurs d'authentification : ce que vous savez, ce que vous possédez, ce que vous êtes.
  • Les méthodes d'authentification courantes : mots de passe, authentification multifacteur (MFA), biométrie, certificats.
  • Les forces et les faiblesses de chaque méthode.

Commençons par examiner les différents facteurs d'authentification.

Facteurs d'authentification​

Pour prouver son identité, une entité peut fournir une preuve basée sur un ou plusieurs "facteurs". Ces facteurs sont généralement classés en trois catégories principales :

Ce que vous savez (Facteur de connaissance)​

  • Principe : L'authentification repose sur une information secrète que seule l'entité légitime est censée connaître.
  • Exemples :
    • Mot de passe : La méthode la plus courante.
    • Code PIN (Personal Identification Number) : Utilisé pour les cartes bancaires, les téléphones, etc.
    • Phrase secrète (Passphrase) : Un mot de passe plus long, souvent composé de plusieurs mots.
    • Réponses à des questions de sécurité : Souvent utilisées pour la récupération de compte (mais généralement considérées comme moins sûres).
  • Forces : Facile à comprendre et à mettre en œuvre (initialement).
  • Faiblesses :
    • Peut être oublié.
    • Peut être deviné (surtout s'il est faible ou prévisible).
    • Peut être volé (phishing, keyloggers, espionnage par-dessus l'épaule, fuites de bases de données).
    • Peut être partagé (volontairement ou non).
    • Peut être écrit (post-it, etc.).

Ce que vous possédez (Facteur de possession)​

  • Principe : L'authentification repose sur la possession d'un objet physique spécifique.

  • Exemples :

    • Téléphone mobile : Pour recevoir un code par SMS (OTP - One-Time Password) ou utiliser une application d'authentification (comme Google Authenticator, Microsoft Authenticator, Authy) qui génère des codes temporels (TOTP - Time-based One-Time Password).
    • Clé de sécurité matérielle (Hardware Security Key) : Une petite clé USB ou NFC (comme YubiKey, Google Titan Key) basée sur des standards comme FIDO2/WebAuthn.
    • Carte à puce (Smart Card) : Utilisée dans certains environnements d'entreprise ou gouvernementaux.
    • Token matériel OTP : Un petit appareil qui affiche un code changeant régulièrement (comme les anciens tokens RSA SecurID).
    • Carte bancaire : Utilisée avec un code PIN (combine possession et connaissance).

  • Forces : Plus difficile à voler à distance qu'un mot de passe. Souvent basé sur des éléments dynamiques (codes OTP).

  • Faiblesses :

    • Peut être perdu, volé ou endommagé.
    • Peut parfois être cloné (certaines cartes).
    • Les SMS OTP peuvent être interceptés (SIM swapping, failles réseau). Les applications OTP sont plus sûres.
    • Nécessite d'avoir l'objet sur soi.

Ce que vous êtes (Facteur d'inhérence / Biométrie)​

  • Principe : L'authentification repose sur une caractéristique biologique ou comportementale unique de l'individu.

  • Exemples :

    • Empreinte digitale : Très courante sur les smartphones et les ordinateurs portables.
    • Reconnaissance faciale : Utilisée sur de nombreux smartphones (Face ID d'Apple, etc.) et systèmes de contrôle d'accès.
    • Scan de l'iris ou de la rétine : Plus précis, mais moins courant.
    • Reconnaissance vocale : Utilisée par certains assistants vocaux ou systèmes téléphoniques.
    • Dynamique de frappe (Keystroke Dynamics) : Analyse la manière dont une personne tape au clavier.
    • Signature manuscrite dynamique : Analyse la pression, la vitesse et le rythme de la signature.

  • Forces : Unique à l'individu. Rien à mémoriser ou à transporter (en théorie). Souvent très pratique et rapide.

  • Faiblesses :

    • Ne peut pas être changé si compromis ! C'est le principal inconvénient. Si votre empreinte digitale est volée, vous ne pouvez pas en changer.
    • Problèmes de précision : Risque de faux positifs (autoriser une personne non autorisée) ou de faux négatifs (rejeter la personne autorisée). La performance peut dépendre des conditions (luminosité, doigt sale, etc.).
    • Spoofing : Certaines méthodes peuvent être trompées (fausses empreintes digitales, photos pour la reconnaissance faciale).
    • Préoccupations relatives à la vie privée : Le stockage et la protection des données biométriques sont des enjeux majeurs.
    • Acceptation par l'utilisateur : Certaines personnes peuvent être réticentes à utiliser la biométrie.

Authentification multifacteur (MFA)​

L'authentification multifacteur (MFA), souvent appelée authentification à deux facteurs (2FA ou Two-Factor Authentication) lorsqu'elle combine deux facteurs, est une méthode de sécurité qui exige qu'un utilisateur fournisse au moins deux preuves d'identité provenant de différentes catégories de facteurs (connaissance, possession, inhérence) pour accéder à un compte ou à une ressource.

Principe clé

MFA = Facteur 1 + Facteur 2 (+ Facteur 3...) où les facteurs appartiennent à des catégories différentes.

Pourquoi l'MFA est-elle essentielle ?​

L'MFA renforce considérablement la sécurité par rapport à l'authentification à facteur unique (comme un simple mot de passe) :

  • Résilience accrue : La compromission d'un seul facteur (par exemple, le vol d'un mot de passe) n'est plus suffisante pour qu'un attaquant puisse accéder au compte. Il lui faudrait également compromettre le deuxième (ou le troisième) facteur.
  • Protection contre les attaques courantes : L'MFA offre une protection efficace contre de nombreuses attaques courantes qui visent les mots de passe, comme le phishing, les attaques par force brute, le credential stuffing (réutilisation de mots de passe volés), et les keyloggers.
L'une des mesures de sécurité les plus efficaces

De nombreuses études et experts en sécurité considèrent l'activation de l'MFA comme l'une des mesures les plus efficaces qu'un utilisateur ou une organisation puisse prendre pour améliorer la sécurité de ses comptes.

Exemples courants de MFA​

  • Mot de passe + Code SMS (OTP) :

    • Facteur 1 : Mot de passe (ce que vous savez).
    • Facteur 2 : Code à usage unique envoyé par SMS sur votre téléphone (ce que vous possédez).
    • Inconvénient : Les SMS peuvent être interceptés (SIM swapping, failles réseau). Moins sûr que les applications OTP ou les clés matérielles.

  • Mot de passe + Code d'application OTP (TOTP) :

    • Facteur 1 : Mot de passe (ce que vous savez).
    • Facteur 2 : Code à usage unique généré par une application d'authentification (Google Authenticator, Microsoft Authenticator, Authy, etc.) sur votre smartphone ou ordinateur (ce que vous possédez). Ces codes sont généralement basés sur le temps (Time-based One-Time Password - TOTP).
    • Avantage : Plus sûr que les SMS OTP car non vulnérable à l'interception réseau ou au SIM swapping.

  • Mot de passe + Clé de sécurité matérielle (FIDO2/WebAuthn) :

    • Facteur 1 : Mot de passe (ce que vous savez).
    • Facteur 2 : Clé de sécurité physique (YubiKey, Google Titan Key) que vous branchez (USB) ou approchez (NFC) de votre appareil (ce que vous possédez).
    • Avantage : Considéré comme l'une des formes les plus sûres de MFA. Très résistant au phishing. Facile à utiliser.

  • Mot de passe + Notification Push :

    • Facteur 1 : Mot de passe (ce que vous savez).
    • Facteur 2 : Notification envoyée sur une application de votre smartphone vous demandant d'approuver la connexion (ce que vous possédez).
    • Avantage : Pratique et rapide.
    • Inconvénient : Vulnérable aux attaques par "MFA fatigue" où l'attaquant spamme l'utilisateur de notifications jusqu'à ce qu'il approuve par erreur.

  • Empreinte digitale/Reconnaissance faciale + Code PIN :

    • Facteur 1 : Biométrie (ce que vous êtes).
    • Facteur 2 : Code PIN (ce que vous savez).
    • Utilisé souvent pour déverrouiller les smartphones ou accéder à des applications sensibles.

  • Carte bancaire + Code PIN :

    • Facteur 1 : Carte bancaire (ce que vous possédez).
    • Facteur 2 : Code PIN (ce que vous savez).
    • Utilisé pour les retraits aux distributeurs automatiques et les paiements en magasin.

Ce qui n'est pas de l'MFA​

Il est important de distinguer l'MFA de l'authentification à plusieurs étapes utilisant des facteurs de la même catégorie.

  • Exemple : Utiliser un mot de passe et répondre à une question de sécurité n'est pas de l'MFA, car ce sont deux facteurs de connaissance. Si un attaquant parvient à voler ces informations, il peut contourner l'authentification.

Défis et considérations​

  • Expérience utilisateur : L'ajout de facteurs supplémentaires peut rendre le processus de connexion légèrement plus long ou complexe, bien que les méthodes modernes (clés FIDO2, notifications push) tendent à simplifier l'expérience.
  • Récupération de compte : La mise en place de processus de récupération de compte sécurisés est cruciale si l'utilisateur perd l'accès à l'un de ses facteurs (par exemple, perte du téléphone, oubli du mot de passe). Ces processus de récupération doivent eux-mêmes être sécurisés pour ne pas devenir un point faible.
  • Coût et déploiement : La mise en œuvre de certaines solutions MFA (clés matérielles, serveurs d'authentification pour l'Enterprise) peut avoir un coût et nécessiter un effort de déploiement.
  • Adoption par les utilisateurs : Il est essentiel de sensibiliser les utilisateurs à l'importance de l'MFA et de les accompagner dans son adoption.
Activez l'MFA partout où c'est possible !

La plupart des services en ligne importants (emails, réseaux sociaux, banques, cloud, etc.) proposent désormais l'MFA. Prenez le temps de l'activer sur tous vos comptes pour renforcer significativement leur sécurité.

Protocoles d'authentification​

Au-delà des méthodes d'authentification elles-mêmes (mots de passe, MFA, etc.), il existe des protocoles standardisés qui définissent comment l'authentification doit être effectuée dans différents contextes, en particulier dans des environnements distribués (réseaux d'entreprise, applications web, cloud, etc.).

Ces protocoles fournissent un cadre sécurisé et interopérable pour l'échange d'informations d'authentification.

Kerberos​

  • Contexte : Principalement utilisé dans les environnements réseau Windows (Active Directory), mais aussi sur d'autres systèmes.
  • Principe : Un protocole d'authentification réseau basé sur des "tickets". Il utilise la cryptographie symétrique (partage de clés secrètes) et un tiers de confiance (le Key Distribution Center - KDC) pour authentifier les utilisateurs et les services sans envoyer de mots de passe en clair sur le réseau.
  • Fonctionnement (simplifié) :
    1. Authentification initiale : L'utilisateur s'authentifie auprès du KDC (généralement avec son mot de passe).
    2. Obtention d'un TGT (Ticket-Granting Ticket) : Le KDC vérifie le mot de passe et délivre à l'utilisateur un TGT, qui est chiffré avec une clé secrète connue uniquement du KDC. Le TGT est une sorte de "preuve d'identité" temporaire.
    3. Demande d'accès à un service : Lorsque l'utilisateur veut accéder à un service (par exemple, un serveur de fichiers), il présente son TGT au KDC et demande un "ticket de service" pour ce service spécifique.
    4. Obtention d'un ticket de service : Le KDC vérifie le TGT et délivre un ticket de service, chiffré avec une clé secrète partagée entre le KDC et le service demandé.
    5. Accès au service : L'utilisateur présente le ticket de service au service. Le service peut déchiffrer le ticket (car il partage une clé avec le KDC) et vérifier l'authenticité de l'utilisateur sans avoir besoin de son mot de passe.
  • Avantages : Sécurité renforcée (pas de mots de passe en clair sur le réseau), authentification unique (SSO) au sein du domaine Kerberos.
  • Inconvénients : Nécessite un KDC centralisé (point unique de défaillance), sensible aux problèmes de synchronisation horaire entre les machines.

RADIUS (Remote Authentication Dial-In User Service)​

  • Contexte : Souvent utilisé pour l'authentification centralisée des accès réseau (Wi-Fi d'entreprise avec WPA2/WPA3-Enterprise, VPN, accès commuté).
  • Principe : Un protocole client-serveur qui permet à un serveur d'accès réseau (NAS - Network Access Server, par exemple un point d'accès Wi-Fi ou un concentrateur VPN) de déléguer l'authentification des utilisateurs à un serveur RADIUS centralisé.
  • Fonctionnement (simplifié) :
    1. L'utilisateur tente de se connecter au réseau via le NAS.
    2. Le NAS demande les informations d'identification de l'utilisateur (nom d'utilisateur, mot de passe, certificat, etc.).
    3. Le NAS envoie une requête d'authentification (contenant les informations de l'utilisateur) au serveur RADIUS. La communication entre le NAS et le serveur RADIUS est protégée par un secret partagé.
    4. Le serveur RADIUS vérifie les informations d'identification (par exemple, en les comparant à une base de données d'utilisateurs).
    5. Le serveur RADIUS renvoie une réponse au NAS (Acceptation ou Rejet).
    6. Si l'authentification est acceptée, le NAS autorise l'accès de l'utilisateur au réseau.
  • Avantages : Authentification centralisée, gestion des politiques d'accès, comptabilité (accounting).
  • Inconvénients : Le protocole RADIUS original ne chiffre que le mot de passe (pas l'intégralité de la communication), bien que des extensions (comme EAP) soient utilisées pour sécuriser l'authentification de bout en bout entre le client et le serveur RADIUS.

OAuth 2.0 (Open Authorization)​

  • Contexte : Principalement utilisé pour l'autorisation déléguée sur le web et les API. Il permet à une application tierce d'accéder à des ressources protégées d'un utilisateur sur un autre service, sans que l'utilisateur n'ait à partager ses identifiants (mot de passe) avec l'application tierce.
  • Principe : Basé sur des "jetons d'accès" (access tokens) émis par un serveur d'autorisation.
  • Fonctionnement (simplifié - flux "Authorization Code") :
    1. L'utilisateur souhaite utiliser une application tierce (le client) qui a besoin d'accéder à ses données sur un service (le serveur de ressources, par exemple Google, Facebook, etc.).
    2. L'application redirige l'utilisateur vers le serveur d'autorisation du service.
    3. L'utilisateur s'authentifie auprès du serveur d'autorisation et consent à ce que l'application accède à ses ressources.
    4. Le serveur d'autorisation redirige l'utilisateur vers l'application avec un "code d'autorisation".
    5. L'application échange ce code d'autorisation (ainsi que ses propres identifiants) contre un "jeton d'accès" auprès du serveur d'autorisation.
    6. L'application utilise ce jeton d'accès pour faire des requêtes à l'API du serveur de ressources au nom de l'utilisateur.
  • Avantages : Permet un accès sécurisé aux API sans partager les mots de passe, gestion fine des permissions (scopes).
  • Inconvénients : Peut être complexe à mettre en œuvre correctement.
OAuth n'est pas un protocole d'authentification

Bien qu'il soit souvent utilisé dans des flux d'authentification (par exemple, "Se connecter avec Google"), OAuth 2.0 est techniquement un protocole d'autorisation. Il définit comment obtenir l'autorisation d'accéder à des ressources, pas comment authentifier l'utilisateur lui-même.

OpenID Connect (OIDC)​

  • Contexte : Une couche d'identité construite au-dessus d'OAuth 2.0. Il permet aux applications clientes de vérifier l'identité d'un utilisateur final sur la base de l'authentification effectuée par un serveur d'autorisation, ainsi que d'obtenir des informations de profil de base sur l'utilisateur.
  • Principe : Ajoute un "jeton d'identité" (ID Token) au flux OAuth 2.0. Ce jeton est au format JWT (JSON Web Token) et contient des informations sur l'utilisateur authentifié (identifiant unique, nom, email, etc.) signées numériquement par le serveur d'autorisation.
  • Avantages : Fournit une solution standardisée pour l'authentification unique (SSO) basée sur OAuth 2.0.
  • Utilisation : Permet des fonctionnalités comme "Se connecter avec Google", "Se connecter avec Facebook", etc.

SAML (Security Assertion Markup Language)​

  • Contexte : Un standard basé sur XML pour l'échange de données d'authentification et d'autorisation entre différentes parties, en particulier entre un fournisseur d'identité (IdP - Identity Provider) et un fournisseur de services (SP - Service Provider).
  • Principe : Permet à un utilisateur de s'authentifier une seule fois auprès d'un IdP, puis d'accéder à plusieurs SP sans avoir à se réauthentifier (Authentification Unique - SSO). L'IdP émet des "assertions" SAML (des déclarations signées numériquement) qui contiennent des informations sur l'identité et les attributs de l'utilisateur.
  • Utilisation : Très utilisé dans les environnements d'entreprise pour le SSO fédéré entre différentes applications et services (internes ou externes).
tip

Le choix du protocole d'authentification dépend du contexte et des besoins spécifiques (authentification réseau, autorisation d'API, SSO web, etc.). Il est important de comprendre les forces et les faiblesses de chaque protocole pour choisir celui qui convient le mieux.

Mots de passe​

Malgré l'émergence de méthodes d'authentification plus avancées, les mots de passe restent la méthode la plus courante pour vérifier l'identité des utilisateurs. Cependant, ils sont souvent le maillon faible de la sécurité s'ils ne sont pas gérés correctement.

Création de mots de passe forts​

Voici le top 10 des mots de passes utilisés :

  1. 123456 – Used by 3,018,050 users.
  2. 123456789 – Used by 1,625,135 users.
  3. 12345678 – Used by 884,740 users.
  4. password – Used by 692,151 users.
  5. qwerty123 – Used by 642,638 users.
  6. qwerty1 – Used by 583,630 users.
  7. 111111 – Used by 459,730 users.
  8. 12345 – Used by 395,573 users.
  9. secret – Used by 363,491 users.
  10. 123123 – Used by 351,576 users.

Source : codemotion.com

Un mot de passe fort est essentiel pour résister aux tentatives de devinette et aux attaques par force brute ou par dictionnaire. Il doit respecter plusieurs critères :

  1. Longueur : C'est le facteur le plus important. Plus un mot de passe est long, plus il est difficile à casser par force brute. Visez au moins 12 à 15 caractères, voire plus. Chaque caractère supplémentaire augmente exponentiellement la complexité.
  2. Complexité : Utilisez un mélange de :
    • Lettres majuscules (A-Z)
    • Lettres minuscules (a-z)
    • Chiffres (0-9)
    • Symboles spéciaux (!, @, #, $, %, ^, &, *, etc.)
    • Attention : La complexité seule ne suffit pas si le mot de passe est court. Un mot de passe long et moins complexe est souvent préférable à un mot de passe court et très complexe.
  3. Unicité : N'utilisez jamais le même mot de passe (ou des variations simples) pour plusieurs comptes ou services différents. Si un site web est compromis et que votre mot de passe est volé, un attaquant pourrait l'utiliser pour accéder à vos autres comptes (c'est ce qu'on appelle le "credential stuffing").
  4. Imprévisibilité : Évitez les informations personnelles faciles à deviner (nom, prénom, date de naissance, nom d'animal de compagnie, etc.), les mots du dictionnaire (dans n'importe quelle langue), les séquences de clavier ("azerty", "qwerty", "123456"), ou les substitutions évidentes ("P@sswOrd").
  5. Phrases secrètes (Passphrases) : Une bonne méthode pour créer des mots de passe longs et mémorisables est d'utiliser une phrase secrète composée de plusieurs mots aléatoires.
Utilisez un gestionnaire de mots de passe

Mémoriser des mots de passe longs, complexes et uniques pour chaque site est pratiquement impossible. La meilleure solution est d'utiliser un gestionnaire de mots de passe.

Gestion des mots de passe​

La création d'un mot de passe fort n'est que la première étape. Une bonne gestion est tout aussi cruciale :

  • Stockage sécurisé :
    • Ne jamais les écrire sur des post-its, dans des fichiers texte non chiffrés, ou les stocker en clair dans votre navigateur.
    • Utilisez un gestionnaire de mots de passe (voir plus loin).
  • Ne pas réutiliser : Comme mentionné, utilisez un mot de passe unique pour chaque compte.
  • Ne pas partager : Ne partagez jamais vos mots de passe, même avec des amis, des membres de votre famille ou des collègues. Si quelqu'un a besoin d'accéder à un service, utilisez les fonctionnalités de partage ou de délégation prévues, ou créez un compte séparé.
  • Changer les mots de passe par défaut : Changez immédiatement les mots de passe par défaut des appareils (routeurs, caméras IP, etc.) et des logiciels.
  • Changer régulièrement ? L'ancienne recommandation de changer régulièrement les mots de passe (par exemple, tous les 3 mois) est de plus en plus remise en question, sauf si vous avez des raisons de croire que le mot de passe a été compromis. Changer fréquemment peut inciter les utilisateurs à choisir des mots de passe plus faibles ou à utiliser des schémas prévisibles. Il est préférable d'avoir des mots de passe très forts et uniques et de ne les changer qu'en cas de nécessité (compromission suspectée ou avérée).

Attaques sur les mots de passe​

Les attaquants utilisent différentes techniques pour découvrir les mots de passe des utilisateurs :

  • Force brute :

    • Principe : Essayer systématiquement toutes les combinaisons possibles de caractères jusqu'à trouver le bon mot de passe.
    • Efficacité : Très lent pour les mots de passe longs et complexes, mais efficace contre les mots de passe courts ou utilisant un jeu de caractères limité.
    • Contre-mesures : Mots de passe longs et complexes, limitation du nombre de tentatives de connexion (verrouillage de compte), CAPTCHA.

  • Attaques par dictionnaire :

    • Principe : Essayer une liste prédéfinie de mots de passe courants, de mots du dictionnaire, de variations courantes (ajout de chiffres, de symboles), ou de mots de passe provenant de fuites de données antérieures.
    • Efficacité : Très efficace contre les mots de passe faibles et prévisibles.
    • Contre-mesures : Utiliser des mots de passe qui ne sont pas dans les dictionnaires, mots de passe longs et complexes, limitation du nombre de tentatives.

  • Rainbow tables :

    • Principe : Tables précalculées qui stockent des correspondances entre des hachés et des mots de passe potentiels. Elles permettent de retrouver rapidement le mot de passe correspondant à un haché, sans avoir à calculer tous les hachés à la volée.
    • Fonctionnement : Basé sur des chaînes de hachage et des fonctions de réduction pour optimiser le stockage et la recherche.
    • Efficacité : Efficace contre les mots de passe hachés sans sel, surtout si la fonction de hachage est rapide (MD5, SHA-1).
    • Vulnérabilité des mots de passe hachés sans sel : Si un système stocke les hachés des mots de passe sans utiliser de sel, une rainbow table peut être utilisée pour retrouver rapidement les mots de passe correspondants aux hachés les plus courants. Si deux utilisateurs ont le même mot de passe, ils auront le même haché, et la rainbow table trouvera le mot de passe pour les deux en une seule recherche.

Le concept du sel (salage) et son importance​

Comme nous l'avons vu dans la section sur la cryptographie, le salage est une technique cruciale pour protéger les mots de passe hachés.

  • Rappel du principe : Un sel (chaîne aléatoire unique) est ajouté à chaque mot de passe avant le hachage. Le sel et le haché résultant sont stockés.
  • Comment le sel protège contre les rainbow tables :
    • Chaque mot de passe (même s'il est identique pour plusieurs utilisateurs) aura un haché différent à cause du sel unique.
    • Les rainbow tables précalculées deviennent inutiles, car elles ne contiennent pas les hachés des mots de passe combinés avec tous les sels possibles (ce qui serait infaisable). L'attaquant doit calculer le haché pour chaque sel individuellement, ce qui revient à une attaque par dictionnaire classique (beaucoup plus lente).
  • Bonnes pratiques pour le salage : Utiliser un sel aléatoire (via un CSPRNG), suffisamment long, et unique pour chaque mot de passe.
  • Stockage d'un mot de passe
    • Le mot de passe est stocké sous forme de hash, et ce hash est salé.

Gestionnaires de mots de passe​

Étant donné la nécessité d'utiliser des mots de passe longs, complexes et uniques pour chaque compte, la seule solution réaliste et sécurisée est d'utiliser un gestionnaire de mots de passe.

  • Principe : Un logiciel (ou service en ligne) qui stocke de manière sécurisée tous vos identifiants et mots de passe dans une base de données chiffrée. Vous n'avez qu'à mémoriser un seul mot de passe fort : le mot de passe principal (master password) qui déverrouille le gestionnaire.
  • Avantages :
    • Génération de mots de passe forts : La plupart des gestionnaires peuvent générer automatiquement des mots de passe longs, complexes et aléatoires.
    • Stockage sécurisé : Les mots de passe sont chiffrés (généralement avec AES) en utilisant votre mot de passe principal.
    • Remplissage automatique : Ils peuvent remplir automatiquement les formulaires de connexion sur les sites web et les applications, ce qui est pratique et réduit les risques de phishing (car ils vérifient généralement l'URL).
    • Unicité garantie : Ils vous aident à ne pas réutiliser les mots de passe.
    • Synchronisation : Souvent, ils se synchronisent entre vos différents appareils (ordinateur, smartphone, tablette).
    • Audit de sécurité : Certains gestionnaires peuvent vérifier si vos mots de passe sont faibles, réutilisés, ou s'ils ont été compromis dans des fuites de données connues.
  • Exemples :
    • Commerciaux (souvent avec options gratuites) : Bitwarden (open source), 1Password, Dashlane, LastPass (a connu des incidents de sécurité), Keeper.
    • Open Source (auto-hébergé ou local) : KeePass / KeePassXC.
  • Sécurité du mot de passe principal : Il est crucial de choisir un mot de passe principal très fort et unique pour votre gestionnaire de mots de passe, et d'activer l'authentification multifacteur (MFA) sur votre compte de gestionnaire si possible.
tip

L'utilisation d'un gestionnaire de mots de passe est l'une des meilleures habitudes de sécurité que vous puissiez adopter. Combinez-le avec l'activation de l'MFA sur vos comptes importants pour une protection optimale.

Présentation de KeePass / KeePassXC​

KeePassXC

Au sein de la catégorie des gestionnaires de mots de passe, KeePass et son fork KeePassXC se distinguent par leur nature open source et leur approche locale du stockage des données.

KeePass (Classic / 2.x) :

  • Origine : Créé par Dominik Reichl, la version originale de KeePass (KeePass 1.x dite "Classic" et KeePass 2.x) est un logiciel gratuit et open source, principalement développé pour Windows (bien qu'il puisse fonctionner sur d'autres plateformes via Mono).
  • Principe : KeePass stocke vos mots de passe et autres informations sensibles dans une base de données locale chiffrée (un fichier avec l'extension .kdb pour la version 1.x ou .kdbx pour la version 2.x). Cette base de données est protégée par un mot de passe principal et/ou un fichier clé (un fichier quelconque utilisé comme seconde clé) et/ou le compte utilisateur Windows.
  • Fonctionnalités : Génération de mots de passe forts, organisation par groupes, champs personnalisés, auto-remplissage (via auto-type), nombreux plugins pour étendre les fonctionnalités.

KeePassXC (KeePass Cross-Platform Community Edition) :

  • Origine : KeePassXC est un fork (une version dérivée) de KeePass, développé par une communauté. Il est également gratuit et open source. Son objectif principal est d'offrir une expérience native et cohérente sur plusieurs plateformes (Windows, macOS, Linux) sans dépendre de Mono.
  • Principe : KeePassXC utilise le même format de base de données (.kdbx) que KeePass 2.x, assurant une compatibilité entre les deux. Il offre une interface utilisateur plus moderne et intégrée aux différents systèmes d'exploitation.
  • Fonctionnalités : Similaires à KeePass 2.x (génération de mots de passe, organisation, auto-remplissage via auto-type), avec en plus une intégration directe avec les navigateurs web via une extension dédiée, le support des clés de sécurité FIDO2/WebAuthn (YubiKey) pour déverrouiller la base de données, et le support TOTP (pour générer les codes MFA).

Avantages de l'approche Open Source et Locale (KeePass/KeePassXC) :

  1. Contrôle total des données :

    • Contrairement aux gestionnaires de mots de passe basés sur le cloud (comme 1Password, Bitwarden Cloud, LastPass), avec KeePass/KeePassXC, votre base de données de mots de passe (le fichier .kdbx) est stockée localement sur votre appareil (ou sur un support de votre choix).
    • Vous avez le contrôle total sur ce fichier. Vous décidez où le stocker, comment le sauvegarder, et avec qui (ou non) le partager.
    • Aucune donnée n'est envoyée sur les serveurs d'une entreprise tierce, ce qui élimine le risque de fuite de données massive depuis les serveurs du fournisseur (comme cela a pu arriver avec LastPass).

  2. Transparence et Auditabilité (Open Source) :

    • Le code source de KeePass et KeePassXC est public et librement accessible.
    • N'importe qui (ayant les compétences techniques) peut examiner le code pour vérifier l'absence de portes dérobées (backdoors), de vulnérabilités, ou de fonctionnalités cachées.
    • Cette transparence renforce la confiance dans la sécurité du logiciel. La communauté peut contribuer à identifier et corriger les failles.

  3. Gratuité :

    • KeePass et KeePassXC sont entièrement gratuits, sans abonnement ni fonctionnalités payantes cachées.

  4. Flexibilité de la synchronisation :

    • Comme la base de données est un simple fichier, vous pouvez choisir votre propre méthode de synchronisation entre vos différents appareils si vous le souhaitez.
    • Vous pouvez utiliser des services de stockage cloud (comme Dropbox, Google Drive, OneDrive, Nextcloud, etc.), un serveur de fichiers local (NAS), une clé USB, ou des outils de synchronisation de fichiers (comme Syncthing).
    • Important : La sécurité de la synchronisation dépend de la méthode choisie. Si vous utilisez un service cloud, assurez-vous que votre mot de passe principal est très fort, car le fichier .kdbx chiffré sera stocké sur les serveurs du fournisseur cloud.

  5. Indépendance et pérennité :

    • Vous n'êtes pas dépendant d'une entreprise ou d'un service en ligne. Même si le développement de KeePass/KeePassXC s'arrêtait (ce qui est peu probable étant donné leur popularité et leur nature open source), le logiciel continuerait de fonctionner et vous auriez toujours accès à vos données via le fichier .kdbx (dont le format est documenté).

Inconvénients potentiels :

  • Synchronisation manuelle/externe : La synchronisation entre appareils n'est pas intégrée "out-of-the-box" comme avec les solutions cloud. Vous devez la configurer vous-même.
  • Interface utilisateur : L'interface peut être perçue comme moins moderne ou moins "fluide" que certaines solutions commerciales (bien que KeePassXC ait fait de gros progrès).
  • Sauvegardes : Vous êtes responsable de la sauvegarde de votre fichier .kdbx. Si vous perdez ce fichier (et vos sauvegardes), vous perdez tous vos mots de passe.
  • Pas de partage familial/d'équipe intégré (simple) : Le partage sécurisé de mots de passe avec d'autres utilisateurs est moins direct qu'avec certaines solutions cloud (bien que des méthodes existent, comme partager des groupes spécifiques ou utiliser des plugins).
KeePass/KeePassXC : Pour ceux qui privilégient le contrôle

KeePass et KeePassXC sont d'excellentes options pour les utilisateurs qui souhaitent un contrôle total sur leurs données de mots de passe, qui sont à l'aise avec la gestion de fichiers locaux, et qui apprécient la transparence de l'open source. KeePassXC est souvent recommandé pour une meilleure expérience multiplateforme.

Testez vos connaissances !​

Quel est l'objectif principal de l'authentification ?
Quelles sont les trois catégories principales de facteurs d'authentification ?
Un mot de passe ou un code PIN appartiennent à quelle catégorie de facteur d'authentification ?
Une clé de sécurité matérielle (comme YubiKey) ou une application d'authentification (comme Google Authenticator) appartiennent à quelle catégorie ?
La reconnaissance faciale ou une empreinte digitale appartiennent à quelle catégorie ?
Quel est le principal inconvénient du facteur d'inhérence (biométrie) s'il est compromis ?
Qu'est-ce que l'authentification multifacteur (MFA) ?
Pourquoi l'MFA est-elle considérée comme une mesure de sécurité très efficace ?
Laquelle de ces combinaisons constitue une authentification multifacteur (MFA) valide ?
Quel protocole d'authentification réseau basé sur des tickets est principalement utilisé dans les environnements Windows Active Directory ?
Quel protocole est souvent utilisé pour l'authentification centralisée des accès réseau (Wi-Fi d'entreprise, VPN) en déléguant l'authentification à un serveur central ?
OAuth 2.0 est principalement un protocole pour :
Quel protocole est une couche d'identité construite au-dessus d'OAuth 2.0, permettant des fonctionnalités comme 'Se connecter avec Google' ?
Quel standard basé sur XML est souvent utilisé pour l'authentification unique (SSO) fédérée en entreprise ?
Quel est le facteur le plus important pour la force d'un mot de passe contre les attaques par force brute ?
Pourquoi est-il crucial d'utiliser des mots de passe uniques pour chaque compte ?
Quelle est la meilleure pratique pour gérer de nombreux mots de passe forts et uniques ?
Comment le salage (salting) protège-t-il les mots de passe hachés contre les rainbow tables ?
Quel est l'avantage principal de KeePass/KeePassXC par rapport aux gestionnaires de mots de passe basés sur le cloud ?