Authentification

De SoHWiki.

L'authentification est le fait de s'assurer, de vérifier l'identité d'une entité. Cette notion est fondamentale en informatique où les systèmes, les applications, ne peuvent attester de l'identité d'un autre uniquement en se basant sur ce qu'ils reçoivent de ce dernier.

Par exemple, lorsqu'on reçoit un mail simple, l'unique preuve que l'on a de l'identité son émetteur est souvent l'adresse du champ FROM. Mais rien ne nous assure que cette adresse n'a pas été modifiée. Les exemples sont nombreux tant le problème de l'authentification s'applique à des domaines différents : courriel, profils utilisateurs sur un site web, accès à une base de donnée, déclaration d'impots en ligne, contrôle d'accès à un batiment, etc.

L'authentication permet de contrer cette faiblesse en vérifier de manière sécurisée l'identité qu'une entité déclare lorsque l'identité permet l'accès à des données ou des fonctionnalités sensibles (compte bancaire, fonctionnalités d'administration sur un serveur, etc.). Pour cela, on peut se baser sur trois types de preuve :

• Ce que je sais : Lorsque vous utilisez un mot de passe pour vous connecter à un compte ou une machine, le système se base sur une information que vous détenez (le mot de passe), et que vous êtes normalement le seul à connaître. Si c'est bien le cas, alors le système est sûr d'avoir affaire à la bonne personne. Il s'agit de la preuve la plus simple, mais qui repose sur une hypothèse assez faible (seul le propriétaire du compte connait le mot de passe associé).
• Ce que je possède : Il s'agit ici d'utiliser "quelque chose" permettant d'affirmer que la personne est bien qui elle dit être. Cela peut être un passeport, une pièce d'identité, un badge, une carte à puce ou un certificat électronique par exemple. Le document en question est alors utilisé pour vérifier l'identité de la personne. Cette preuve est plus forte (il faut alors dérober le document utilisé pour se faire passer pour quelqu'un d'autre), mais nécessite une logistique plus importante (infrastructure de distribution par exemple).
• Ce que je suis : C'est le genre de preuve utilisé par la biométrie. On utilise une caractéristique physique unique de la personne dont on souhaite attester l'identité (empreinte digitale, vocale, réseau de veines de la main, iris, etc).

On remarque que l'authentification repose toujours sur des hypothèses sur "ce qu'il s'est passé avant" : mot de passe uniquement connu du propriétaire, document détenu par la bonne personne, etc. Il y a donc besoin d'avoir une preuve supplémentaire découlant de la bonne utilisation du système dans sa globalité. De là, nous pouvons alors déduire la propriété suivante : Authentification = Identification + Intégrité

C'est cette égalité même qui implique le fait que les systèmes biométriques actuels ne sont pas capables de réaliser une authenfication fiable. En effet, la plupart de ces systèmes ne sont pas capables d'assurer l'intégrité de la propriété physique de la personne qu'ils utilisent : Un système d'authentification par empreinte digitale, par exemple, n'est pas toujours en mesure de vérifier que le doigt est toujours lié à son propriétaire !