Identification, authentification, autorisation : les différences

L'identification consiste à dire qui l'on est, l'authentification à le prouver, et l'autorisation à décider ce que l'on a le droit de faire une fois reconnu. Une quatrième étape, la traçabilité, garde la trace de qui a fait quoi. Ce chapitre pose ce vocabulaire, que toutes les questions d'authentification de l'E7 supposent connu, et le relie aux besoins de sécurité de l'organisation.

Quatre étapes, quatre questions

Le matin, Julie Lefèvre, comptable chez Sorbier Logistique (la PME fictive qui sert de fil rouge au cours), ouvre une session sur son poste puis lance le logiciel de comptabilité. En quelques secondes, le système d'information enchaîne quatre opérations distinctes.

Les anglophones parlent d'AAA : Authentication, Authorization, Accounting. Le troisième A, accounting, est la traçabilité. Tu retrouveras ce sigle avec RADIUS au chapitre 8, car un serveur RADIUS fait justement les trois.

Authentification ou autorisation : la confusion à ne pas faire

Les deux mots se ressemblent et les copies les mélangent souvent. Un test simple : l'authentification répond par « c'est bien toi » ou « ce n'est pas toi », l'autorisation par « tu as le droit » ou « tu n'as pas le droit ». On peut être parfaitement authentifié et ne pas être autorisé : Julie, connectée avec les bons identifiants, n'a pas accès à la paie.

Le web a deux codes de réponse qui portent exactement cette différence :

Le nom officiel du 401 est trompeur : il signale un problème d'authentification. Dans le sujet d'E7 SLAM de la session 2025 (cas Casterman), une mission demande de modifier la méthode delete d'une API REST pour qu'elle vérifie, avec une méthode autoriseAction(), que l'utilisateur a le droit de supprimer dans la table visée, et d'adapter le code de statut HTTP en conséquence : 403, « opération non permise », quand ce n'est pas le cas.

Habilitation, droit, privilège : le vocabulaire des sujets

Les sujets d'examen et le référentiel emploient trois mots voisins. Ils ne sont pas interchangeables.

• Une habilitation est une autorisation accordée à une personne, en raison de sa fonction, d'accéder à une ressource ou à un traitement. C'est une décision organisationnelle : le responsable de la comptabilité décide que Julie peut saisir les factures.
• Un droit d'accès (ou une permission) est la traduction technique de cette décision : un GRANT dans MySQL, une ligne d'ACL NTFS, une règle dans l'application.
• Un privilège est un droit qui permet d'agir sur le système lui-même ou sur les droits des autres : installer un logiciel, créer un compte, modifier une configuration. Un compte à privilèges, comme un compte d'administrateur, est la cible préférée des attaquants (chapitre 10).

L'indicateur de performance du référentiel le dit en une phrase : « les droits mis en place correspondent aux habilitations des acteurs ». Ton travail de technicien est de garantir que la partie technique colle exactement à la décision organisationnelle, ni plus ni moins. L'outil qui fait le lien entre les deux est la matrice d'habilitations (chapitre 11).

Identité numérique et cycle de vie d'un compte

Une identité numérique est l'ensemble des informations qui représentent une personne (ou une machine) dans le système d'information : son identifiant, ses attributs (nom, service, fonction), ses facteurs d'authentification et ses habilitations. Elle naît, évolue et meurt avec la présence de la personne dans l'organisation. On parle du cycle arrivée, mobilité, départ (en anglais joiners, movers, leavers).

Le sujet de cybersécurité SLAM de la session 2023 (épreuve U6, devenue E7 ; cas Lama Zoo, un parc zoologique) illustre ce cycle : une salariée change de service et voit un rôle supprimé, un autre modifié et un troisième ajouté, tandis qu'une stagiaire doit perdre ses droits automatiquement à la fin de son stage. La question posée : pourquoi des habilitations sans durée de vie, ou plusieurs rôles pour la même application, sont des vulnérabilités. Tu traiteras un cas de ce type au chapitre 11.

Pourquoi c'est un enjeu de sécurité : le lien avec la DICP

Les besoins de sécurité d'un système d'information se résument en quatre critères, souvent notés DICP : disponibilité, intégrité, confidentialité, preuve. Le référentiel du BTS SIO les cite parmi les savoirs du bloc 3. L'authentification et les habilitations protègent directement trois d'entre eux.

C'est exactement ce que demandait la question A.2 du sujet de 2023 : en quoi l'absence d'authentification sur une application est un risque de non-traçabilité (on ne sait pas qui a fait l'action, puisque tout le monde utilise l'application sans s'identifier) et de perte de confidentialité (toute personne assise devant un poste du service accède aux données). Une bonne réponse nomme le critère, puis l'applique au contexte du sujet.

Imputabilité et non-répudiation

L'imputabilité est la possibilité d'attribuer une action à une personne précise. Elle suppose trois conditions, et il suffit qu'une seule manque pour qu'elle disparaisse :

1. un compte par personne : un compte partagé (compta, accueil, admin) rend toute action anonyme ;
2. une authentification fiable : si le mot de passe est noté au dos du clavier, l'action peut venir de n'importe qui ;
3. une trace protégée : un journal que l'utilisateur peut effacer ne prouve rien.

La non-répudiation va plus loin : la personne ne peut pas nier être l'auteur de l'action. On l'obtient avec une signature électronique, qui repose sur une clé privée que seul le signataire détient. Le référentiel parle de « preuve électronique ».

Le cadre : RGPD, NIS 2 et référentiels de l'ANSSI

Plusieurs textes font de l'authentification et des habilitations une obligation, pas seulement une bonne pratique :

• le RGPD (article 32) impose au responsable de traitement des mesures de sécurité adaptées au risque ; la CNIL y rattache la gestion des habilitations, l'authentification des utilisateurs et la journalisation des accès, et a publié des recommandations sur les mots de passe (2022) et sur la journalisation (2021) ;
• la directive NIS 2 (directive (UE) 2022/2555) cite, parmi les mesures minimales que doivent prendre les entités qu'elle vise, les politiques de contrôle d'accès et l'authentification multifacteur (article 21). Les États membres devaient la transposer avant le 17 octobre 2024. En France, le projet de loi « Résilience » qui la transpose a été adopté par le Sénat le 12 mars 2025, mais il attend toujours son examen en séance publique à l'Assemblée nationale : il a encore été retiré de l'ordre du jour le 6 octobre 2026. À la date de mise à jour de ce cours, il n'est pas promulgué ;
• l'ANSSI publie les guides techniques de référence : authentification multifacteur et mots de passe (2021), administration sécurisée des systèmes d'information (2021), sécurisation d'Active Directory, et la méthode EBIOS Risk Manager d'analyse des risques, dont les scénarios de risque (gravité et vraisemblance) reviennent dans les sujets d'E7.

Ce que dit le référentiel, et comment l'E7 l'interroge

L'arrêté du 8 juillet 2024 qui définit le BTS SIO (sessions 2025 et suivantes) place l'authentification au cœur du bloc 3, Cybersécurité des services informatiques, commun aux deux options. On y trouve, parmi les savoirs associés, « authentification, privilèges et habilitations des utilisateurs : principes et techniques » et « gestion des droits d'accès aux données : principes et techniques ». La compétence « sécuriser les équipements et les usages des utilisateurs », qui comprend « gérer les accès et les privilèges appropriés », a parmi ses indicateurs de performance : les accès et privilèges respectent les règles organisationnelles, c'est-à-dire que les utilisateurs sont authentifiés, les habilitations sont configurées, l'accès aux données est contrôlé et les privilèges sont restreints. En SLAM, s'ajoute « le système d'authentification est conforme aux règles de sécurité ».

Le bloc 1 n'est pas en reste : « mettre en place et vérifier les niveaux d'habilitation associés à un service » fait partie de la compétence « gérer le patrimoine informatique », évaluée à l'oral E5.

L'écrit E7, « Cybersécurité des services informatiques », dure 4 heures, coefficient 4, avec un sujet propre à chaque option. Jusqu'à la session 2024, il s'appelait E6 (unité U6) : les sujets 2022 à 2024 restent d'excellents entraînements. Les sujets SLAM récents ont tous consacré une large part à notre thème :

En SISR, le même bloc 3 se décline sur l'infrastructure : annuaire et comptes, stratégies de mots de passe, accès Wi-Fi d'entreprise avec 802.1X et RADIUS, portail captif pour les invités, administration sécurisée. Chaque chapitre de ce cours se termine par la façon dont sa notion est interrogée, avec un exemple pour chaque option.

Pour aller plus loin. L'imputabilité repose sur des journaux fiables : le chapitre Quoi journaliser du cours Réponse à incident dit quels événements d'authentification conserver, et combien de temps.

Exercices

Exercice 1 sur 4 Classer les étapes Réussi À revoir

Pour chaque situation, indique s'il s'agit d'identification, d'authentification, d'autorisation ou de traçabilité.

1. Moussa Diallo approche son badge du lecteur de la salle serveur ; le lecteur lui demande son code PIN.
2. Le serveur de fichiers refuse à Camille Roux l'ouverture du dossier Paie.
3. Le pare-feu écrit une ligne pour chaque connexion VPN réussie ou échouée.
4. Sur le portail RH, Paul Martin saisit son adresse mail dans le champ « Identifiant ».
5. Paul reçoit un code à six chiffres dans l'application Authenticator et le recopie.

Voir la réponseMasquer la réponse de l'exercice 1

1. Le badge identifie Moussa (il porte son numéro), le code PIN l'authentifie. Les deux ensemble forment une authentification à deux facteurs : ce qu'il possède et ce qu'il sait.
2. Autorisation : Camille est authentifiée, mais elle n'est pas habilitée à ce dossier.
3. Traçabilité : les échecs comptent autant que les réussites, ils révèlent les attaques.
4. Identification : l'adresse mail n'est pas un secret.
5. Authentification, second facteur (possession du téléphone).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 401 ou 403 ? Réussi À revoir

Une API REST de gestion des tickets reçoit les requêtes suivantes. Quel code doit-elle renvoyer ?

1. DELETE /tickets/42 sans en-tête Authorization.
2. DELETE /tickets/42 avec un jeton valide d'un utilisateur dont le rôle est lecteur.
3. GET /tickets/42 avec un jeton dont la date d'expiration est passée.
4. GET /tickets/42 avec un jeton valide d'un technicien.

Voir la réponseMasquer la réponse de l'exercice 2

1. 401 : aucune preuve d'identité.
2. 403 : l'utilisateur est authentifié, mais son rôle ne permet pas la suppression.
3. 401 : la preuve n'est plus valable, le client doit se réauthentifier ou rafraîchir son jeton.
4. 200 avec le ticket : authentifié et autorisé.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Les comptes partagés de l'accueil Réussi À revoir

À l'accueil de Sorbier Logistique, trois personnes se relaient sur le même poste et utilisent toutes le compte accueil, dont le mot de passe est affiché sur un post-it. Le logiciel de réservation des salles fonctionne avec ce compte.

1. Quels critères de sécurité sont menacés ? Justifie pour chacun.
2. Propose deux mesures, une technique et une organisationnelle.

Voir la réponseMasquer la réponse de l'exercice 3

1. La preuve (imputabilité) : impossible de savoir laquelle des trois personnes a annulé une réservation, puisque toutes les actions portent le même compte. La confidentialité : le mot de passe affiché permet à n'importe quel visiteur passant derrière le comptoir de se connecter. L'intégrité en découle : une personne non autorisée peut modifier ou supprimer des réservations.
2. Technique : un compte nominatif par personne, avec verrouillage automatique de la session après quelques minutes d'inactivité, et si le changement d'utilisateur doit être rapide, une authentification par badge. Organisationnelle : rappeler la charte informatique (pas de mot de passe écrit ni partagé) lors d'une sensibilisation, et faire valider les comptes de l'accueil par la responsable du service.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Mobilité interne Réussi À revoir

Lucas Girard quitte la logistique pour le service commercial. Le technicien lui ajoute le groupe GG_Commercial et s'arrête là. Explique le risque et ce qu'il fallait faire.

Voir la réponseMasquer la réponse de l'exercice 4

Lucas conserve ses droits sur les applications et les dossiers de la logistique alors qu'il n'en a plus besoin : c'est l'accumulation de droits, contraire au principe du moindre privilège. Si son compte est compromis, l'attaquant obtient les droits des deux services. Il fallait aussi retirer Lucas du groupe de la logistique (ou planifier ce retrait à la date de fin de la passation), puis le tracer dans la demande de changement. La matrice d'habilitations du chapitre 11 sert à faire cette vérification sans rien oublier.

Tu avais trouvé ?

Oui, j'avais bonPas encore