Authentification et habilitations

Questions fréquentes

Quelle est la différence entre authentification et autorisation ?

L'authentification vérifie que tu es bien la personne que tu prétends être, avec un mot de passe, un code ou une passkey. L'autorisation décide ensuite ce que tu as le droit de faire, selon tes habilitations. On peut être authentifié sans être autorisé : sur le web, le code HTTP 401 signale un problème d'authentification, le code 403 un refus d'autorisation (les quatre étapes en détail).

C'est quoi l'authentification multifacteur (MFA) ?

C'est une authentification qui combine au moins deux facteurs de catégories différentes : ce que tu sais (un mot de passe), ce que tu possèdes (un téléphone, une clé de sécurité) et ce que tu es (une empreinte). Un mot de passe volé ne suffit alors plus pour entrer. Deux secrets de la même catégorie, comme un mot de passe et une question secrète, ne forment pas une MFA (facteurs et MFA).

C'est quoi une passkey ?

Une passkey, ou clé d'accès, remplace le mot de passe par une paire de clés : la clé privée reste sur ton appareil, le site ne garde que la clé publique. Pour te connecter, l'appareil signe un défi envoyé par le site, après que tu l'as déverrouillé avec ton empreinte, ton visage ou un code PIN. La signature ne fonctionne que pour le vrai site, ce qui rend les passkeys résistantes à l'hameçonnage (passkeys et WebAuthn).

Quelles sont les recommandations de la CNIL pour les mots de passe ?

Depuis sa recommandation de juillet 2022, la CNIL raisonne en entropie : 80 bits pour un mot de passe seul, soit par exemple 12 caractères mêlant les quatre types, 14 caractères sans caractère spécial ou une phrase de passe de 7 mots ; 50 bits si le nombre d'essais est limité ; 13 bits pour un code PIN sur une carte qui se bloque après 3 essais. Elle ne demande plus de changement périodique, sauf pour les comptes d'administration, et impose un stockage par hachage salé (politique de mots de passe).

Quelle est la différence entre une session et un JWT ?

Avec une session, le serveur garde l'état de la connexion et le navigateur ne détient qu'un identifiant aléatoire dans un cookie : on peut fermer la session à tout moment. Un JWT transporte lui-même l'identité et les droits, signés par le serveur : chaque API le vérifie sans consulter de base, mais il reste valable jusqu'à son expiration. On lui donne donc une durée de vie courte, avec un jeton de rafraîchissement (sessions et JWT).

Quelle est la différence entre OAuth 2.0 et OpenID Connect ?

OAuth 2.0 sert à déléguer une autorisation : une application obtient un jeton d'accès pour appeler une API au nom d'un utilisateur, sans connaître son mot de passe. Il ne dit pas qui est l'utilisateur. OpenID Connect ajoute cette couche d'identité au-dessus d'OAuth 2.0 : il fournit un ID token, un JWT signé qui décrit l'utilisateur et son authentification, et c'est lui qu'on utilise pour l'authentification unique (OAuth 2.0, OpenID Connect et SSO).

C'est quoi le SSO ?

Le SSO (Single Sign-On, authentification unique) permet de s'authentifier une seule fois auprès d'un fournisseur d'identité pour accéder à plusieurs applications sans retaper son mot de passe. Il simplifie la vie des utilisateurs, centralise la MFA et la désactivation des comptes. En contrepartie, un compte compromis ouvre toutes les applications : le SSO doit toujours s'accompagner d'une authentification multifacteur (OAuth 2.0, OpenID Connect et SSO).

À quoi sert le 802.1X ?

La norme 802.1X contrôle l'accès au réseau : le switch ou la borne Wi-Fi bloque la connexion tant qu'un serveur RADIUS n'a pas authentifié l'utilisateur ou l'appareil, par certificat ou par identifiant et mot de passe. Le serveur peut aussi placer l'appareil dans le VLAN de son service. C'est ce qu'on appelle le Wi-Fi « Entreprise », par opposition à la clé partagée (802.1X, RADIUS et portail captif).

C'est quoi le principe du moindre privilège ?

Chaque compte, humain ou technique, ne reçoit que les droits strictement nécessaires à sa mission, et pour la durée nécessaire. Si le compte est compromis, l'attaquant ne peut faire que ce que ces droits permettent. Dans une copie d'E7, applique-le au contexte : quel compte, quels droits retirer, pourquoi (RBAC et moindre privilège).

C'est quoi une matrice d'habilitations ?

C'est un tableau qui croise les profils de l'organisation avec ses ressources (applications, dossiers, données) et indique, dans chaque case, le niveau d'accès autorisé : aucun, lecture, modification, validation, administration. Validée par les responsables des ressources, elle sert de référence pour créer les groupes et les rôles, traiter les arrivées et les départs, et contrôler les droits réels lors des revues (matrice d'habilitations).