Jason : Dans cette leçon, nous allons parler
de l'authentification multifactorielle, également connue sous le nom de MFA.
Lorsque vous utilisez un appareil mobile,
vous devez vous authentifier pour pouvoir
le déverrouiller et commencer à l'utiliser.
Si vous pensez à votre smartphone, lorsque vous passez la souris
vers le haut, vous allez d'abord utiliser votre visage, votre
doigt, un code PIN ou un mot de passe pour déverrouiller l'appareil
et commencer à l'utiliser.
Dans ce cas, l'élément que vous utilisez pour
déverrouiller l'appareil est appelé facteur d'authentification.
Dans le monde de la cybersécurité, il existe
cinq facteurs d'authentification différents que
vous pouvez utiliser.
Il s'agit du facteur de connaissance, du
facteur de possession, du facteur d'inhérence, du
facteur de comportement et du facteur de localisation.
Le facteur "connaissance" est la forme
la plus simple d'authentification, et nous l'appelons
"quelque chose que vous connaissez".
Si vous pensez à quelque chose comme votre nom d'utilisateur,
un code PIN, un mot de passe, ce sont tous des facteurs de connaissance car vous fournissez
une réponse à un défi tel que "Quel est votre mot
de passe ? et être en mesure d'authentifier
que vous êtes la personne dont le nom d'utilisateur
est associé à ce mot de passe parce que vous le
connaissez.
Le plus gros problème des facteurs de connaissance
est qu'ils sont les plus faciles à briser, car
il s'agit simplement de mots ou de chiffres saisis
au clavier ou par l'utilisateur final.
Ainsi, si vous protégez votre smartphone
avec un code PIN à quatre chiffres, je peux
m'asseoir et essayer de le deviner, alors qu'il
n'y a que 10 000 combinaisons possibles avec un numéro
à quatre chiffres.
Je finis donc par deviner le numéro et je
peux pénétrer dans votre appareil.
C'est la faiblesse d'un facteur de connaissance.
Le deuxième facteur que nous avons est ce que
l'on appelle le facteur de possession.
C'est quelque chose que vous avez.
Si vous travaillez dans une grande entreprise, vous
avez peut-être reçu ce que l'on appelle un porte-clés RSA.
Il s'agit d'un petit appareil doté d'un petit écran
LCD sur lequel figurent six chiffres qui changent toutes
les 30 à 60 secondes.
Si vous essayez de vous connecter à un appareil synchronisé
avec celui-ci, vous devrez entrer ces six chiffres.
Et ces six chiffres changent toutes les 30 à 60 secondes.
Le fait de connaître les bons chiffres
prouve donc que vous êtes en possession du porte-clés, et c'est
pourquoi nous parlons de facteur de possession.
D'autres méthodes consistent à utiliser des éléments
tels qu'un jeton physique.
Par exemple, au sein du gouvernement américain,
lorsqu'ils essaient de se connecter à leurs
ordinateurs, ils utilisent leur carte d'identification
qui contient une petite puce.
Lorsqu'ils placent cette carte dans leur ordinateur, cela
prouve qu'ils sont en possession de leur carte d'identité et qu'ils
sont bien ceux qu'ils prétendent être.
Le troisième facteur est ce que l'on appelle
le facteur d'inhérence.
Or, un facteur d'inhérence est quelque chose que l'on est.
J'aime à penser qu'il s'agit de morceaux de votre corps.
Ainsi, lorsque vous pensez à un facteur d'inhérence
ou à quelque chose que vous êtes, nous parlons en fait de biométrie.
Ainsi, si votre appareil mobile utilise une empreinte digitale pour le
déverrouiller, il s'agit d'un facteur d'inhérence.
De même, si vous utilisez quelque chose comme Face ID, qui examine
la structure de votre visage et vous permet de
déverrouiller votre téléphone, il s'agit également
d'un facteur biométrique.
Nous appellerions cela un facteur d'inhérence,
ou quelque chose comme ça.
Le quatrième facteur est ce que nous appelons un facteur comportemental,
et j'aime à dire que c'est quelque chose que vous faites.
Le facteur comportemental est basé sur
la façon dont vous faites certaines choses.
Ces derniers ne sont pas très courants dans les appareils mobiles,
mais ils sont utilisés dans d'autres domaines.
Par exemple, dans un établissement où je travaillais, il
y avait un système de caméras qui vous détectait
lorsque vous entriez dans le bâtiment.
La raison pour laquelle ils ont fait
cela, c'est qu'ils ont mesuré la démarche des employés lorsqu'ils
se présentaient à la porte.
Ils utilisaient ce comportement comme l'un
des facteurs permettant d'authentifier l'identité de la personne,
car ce comportement était unique pour chaque personne.
Le comportement est également utilisé dans
le cadre d'un système de reconnaissance vocale.
On peut penser que la reconnaissance vocale est
un facteur d'inhérence, et cela peut être le cas, selon
la manière dont le système d'authentification est mis en place.
Mais en réalité, la plupart des systèmes de reconnaissance vocale
ne s'intéressent pas à ce que vous avez dit,
mais à la manière dont vous l'avez dit.
En effet, chacun dit les choses différemment.
Notre voix et la façon dont nous prononçons certains
mots ont des sonorités uniques.
Cela peut donc également être un facteur de comportement.
Le cinquième facteur d'authentification
est ce que l'on appelle un facteur de localisation,
que j'aime appeler le lieu où l'on se trouve.
Votre appareil est équipé d'un récepteur GPS, ce qui lui
permet de savoir à tout moment où il se
trouve sur la planète.
Nous pouvons donc utiliser cette localisation dans
le cadre de votre processus d'authentification et dire que
vous ne pouvez vous connecter à ce téléphone et l'utiliser
que lorsque vous vous trouvez dans certaines zones.
Il peut s'agir d'un pays, d'un État, d'une
ville ou même d'un pâté de maisons autour
de votre bâtiment.
Cela va dépendre de votre cas d'utilisation,
mais j'ai travaillé dans des organisations
où les appareils mobiles ne pouvaient fonctionner et être utilisés
que dans un rayon d'un pâté de maisons autour du siège de l'entreprise.
Et si vous allez plus loin, ces
appareils s'éteindront et vous bloqueront jusqu'à
ce que vous reveniez dans le périmètre.
C'est ce que l'on appelle un facteur de localisation.
Si nous utilisons l'un de ces cinq facteurs, le facteur
de connaissance, le facteur de possession, le facteur d'inhérence, le facteur
de comportement ou le facteur de localisation, nous
parlons d'authentification à facteur unique.
Ainsi, si je prends mon appareil mobile, que je le glisse vers le
haut et que je saisis un code PIN à quatre chiffres,
c'est un seul facteur de connaissance qui est présenté.
Mais si l'on combine deux ou plusieurs de ces facteurs, on obtient
ce que l'on appelle l'authentification multifactorielle.
Si vous utilisez deux facteurs,
on parle parfois d'authentification à deux facteurs, ou 2FA.
Si vous combinez deux, trois, quatre ou cinq de
ces facteurs, on parle alors d'authentification
multifactorielle, car vous disposez de deux facteurs
d'authentification ou plus.
Désormais, lorsque vous disposez
d'un appareil délivré par votre entreprise, celle-ci peut
utiliser son logiciel de gestion des appareils mobiles (MDM) pour
déterminer exactement les conditions
d'accès à cet appareil.
Il peut s'agir simplement d'un code PIN
ou d'un mot de passe long d'un certain
nombre de caractères, ou encore d'un facteur
d'inhérence ou d'une authentification biométrique telle qu'une
empreinte digitale ou un balayage facial.
Cela dépendra de la politique de votre entreprise, du
système et des appareils que vous utilisez et
de ce qu'ils prennent en charge.
La plupart des smartphones actuels prennent en
charge au moins un facteur biométrique ou un facteur d'inhérence.
Il s'agit d'une empreinte digitale ou d'un balayage
facial, selon le modèle utilisé.
De nos jours, nos smartphones sont également utilisés dans
le cadre de notre système d'authentification à deux facteurs.
Si vous allez sur un site web, il arrive souvent
que le site vous demande de vous connecter en utilisant votre nom
d'utilisateur et votre mot de passe, qui est un facteur
de connaissance, ou quelque chose que vous connaissez.
Ils vous enverront ensuite un message texte
contenant un code unique sur votre smartphone.
Ce qu'ils font ici, c'est créer une AMF ou 2FA parce qu'ils utilisent maintenant
deux facteurs, le facteur de connaissance de
votre nom d'utilisateur et de votre mot de passe, et le
facteur de possession du fait que vous
avez votre smartphone et que vous recevez ce message texte.
De nos jours, de plus en plus de sites web utilisent
l'authentification à deux facteurs ou à plusieurs facteurs,
car elle offre un environnement beaucoup plus sûr aux utilisateurs.
Pour vous aider, vous pouvez télécharger une application
appelée Authenticator, qui sert de facteur de possession à l'intérieur
de votre appareil mobile.
Authenticator vous permet de l'enregistrer
sur votre site web qui supporte 2FA ou MFA.
Il sera utilisé pour créer ces codes aléatoires sans qu'il
soit nécessaire de disposer d'un porte-clés physique, car
votre smartphone fait office de porte-clés et reste
synchronisé avec le site web sur lequel
vous essayez de vous authentifier.
Gardez donc cela à l'esprit lorsque vous réfléchissez
à l'authentification multifactorielle.
Multifactoriel signifie que vous devez posséder au
moins deux de ces facteurs.
La dernière chose que je voudrais mentionner
à propos de l'authentification multifactorielle, et c'est
un point qui pose souvent problème aux étudiants, c'est que ce n'est
pas parce que vous avez deux facteurs que vous avez atteint le stade
de l'authentification multifactorielle.
Si je vous demande de vous connecter avec un nom d'utilisateur, un mot de
passe et un code PIN, il s'agit de deux facteurs de connaissance.
Mais il ne s'agit pas d'une authentification à deux
facteurs ou d'une authentification à plusieurs facteurs, car
ces deux facteurs appartiennent à la même catégorie.
Il s'agit dans les deux cas de quelque chose que
l'on sait, ce qui est un facteur de connaissance.
Pour pouvoir procéder à une authentification à
deux facteurs ou à une authentification multifactorielle, vous devez disposer
d'au moins deux des catégories représentées parmi les cinq facteurs que
sont la connaissance, la possession, l'inhérence, le comportement et l'emplacement.