Cehlc: resumé

2025-09-01T07:39:04Z

resumé

New page

== Définition de l'authentification ==

L'''authentification''' est le processus permettant de vérifier l’identité d’un utilisateur, d'une entité, ou d'un système accédant à une ressource. Elle constitue un pilier fondamental en [[sécurité informatique|cybersécurité]] et dans la [[transformation numérique]] des administrations publiques. L’authentification se différencie de l’[[autorisation]], qui consiste à octroyer des droits d’accès à des ressources après la vérification d’identité.

== Objectifs et enjeux ==

L'authentification a pour objectif :
* De garantir la [[confidentialité]] des données,
* De protéger l'accès aux services numériques de la [[fonction publique]]
* De lutter contre l'[[usurpation d'identité]],
* De faciliter la traçabilité et la gestion des droits d’accès.

Dans le secteur de la [[fonction publique]], l’authentification est indispensable pour accéder à des systèmes tels que [[SIRH|Systèmes d’Information des Ressources Humaines]], [[Chorus]], ou la plateforme [[FranceConnect]], garantissant la sécurité des informations traitées par les agents publics et les usagers.

== Principaux mécanismes d’authentification ==

L’authentification repose sur l’utilisation d’au moins un des trois facteurs suivants :
# Ce que l’utilisateur [[mot de passe|connaît]] : mot de passe, code PIN, etc.
# Ce que l’utilisateur [[carte à puce|possède]] : badge, carte à puce, [[jeton OTP|jeton de sécurité]], smartphone, etc.
# Ce que l’utilisateur [[données biométriques|est]] : empreinte digitale, reconnaissance faciale, reconnaissance vocale, etc.

La combinaison de deux facteurs ou plus constitue l’[[authentification forte|authentification multifacteur]].

=== Authentification par mot de passe ===

La méthode la plus répandue repose sur une information connue de l’utilisateur, telle qu’un identifiant et un mot de passe. Elle est largement utilisée mais demeure vulnérable aux [[attaque par force brute|attaques]], [[phishing|hameçonnage]] et [[fuite de données]].

=== Authentification à plusieurs facteurs (MFA) ===

La [[MFA]] combine différentes catégories de facteurs d’authentification (par exemple, mot de passe et code envoyé sur un smartphone). Cette technique est de plus en plus utilisée dans les administrations, notamment avec [[FranceConnect+]], pour sécuriser l’accès à des services sensibles.

=== Authentification biométrique ===

Ce type d’authentification utilise des [[empreintes digitales]], de l’[[iris]], la [[reconnaissance faciale]] ou vocale. Le recours à la biométrie s’accroît, notamment avec le développement de technologies comme celles implémentées par des partenaires tels que [[La Poste]] ou [[IN Groupe]] (anciennement Imprimerie nationale).

=== Authentification par certificat numérique ===

Les [[certificat numérique|certificats numériques]] (par exemple, la carte [[RGS|Référentiel Général de Sécurité]]) garantissent une authentification forte dans l’échange de courriers électroniques sécurisés (comme avec [[Mélanie2Web]]) ou lors de signatures électroniques.

== Principaux protocoles et technologies d’authentification ==

{| class="wikitable"
|-
! Protocole/Technologie !! Description !! Exemples d’utilisation
|-
| [[LDAP|Lightweight Directory Access Protocol (LDAP)]] || Service d’annuaire utilisé dans la gestion de comptes utilisateurs. || Accès intranet en [[administration centrale]].
|-
| [[Kerberos]] || Protocole d’authentification à clé secrète pour authentification unique ([[SSO]]). || Accès aux réseaux du [[Ministère de l’Économie, des Finances et de la Souveraineté industrielle et numérique|Ministère des Finances]].
|-
| [[SAML|Security Assertion Markup Language (SAML)]] || Standard d’échange d’assertions d’authentification pour le [[SSO|Single Sign-On]]. || Connexion à [[FranceConnect]] par fédération d'identité.
|-
| [[OAuth 2.0]] || Cadre d'autorisation permettant l'accès délégué sans partager les identifiants. || Portails de démarches administratives.
|-
| [[OpenID Connect]] || Extension d’[[OAuth 2.0]] pour gestion de l'identité. || Authentification sur des sites gouvernementaux.
|}

== Authentification dans la fonction publique française ==

La modernisation de la fonction publique passe par la dématérialisation et la sécurisation des accès. Plusieurs outils et plateformes mettent en œuvre des mécanismes d’authentification robustes :

* [[FranceConnect]] : fédération d’identité permettant aux usagers d’accéder aux services administratifs avec un identifiant unique.
* [[Ariadne]] : gestion des habilitations et authentification forte dans les ministères.
* [[Chorus]] : plateforme financière de l’État nécessitant une authentification par certificat.
* [[Mélanie2Web]] : messagerie sécurisée du ministère des Armées fondée sur une authentification forte.

== Sécurité et risques liés à l’authentification ==

Bien qu’essentielle, l’authentification n’élimine pas tout risque :
* [[Phishing|Usurpation d'identifiants]],
* [[attaque de l’homme du milieu|attaque Man-in-the-middle]],
* [[Vol de session]],
* [[Délégation excessive des droits]].

Des campagnes de sensibilisation menées par [[ANSSI|Agence nationale de la sécurité des systèmes d’information]] et des initiatives telles que le [[Cybermoi/s]] visent à renforcer les bonnes pratiques des agents.

== Évolutions et tendances ==

Les évolutions majeures concernent :
* [[Authentification déléguée]] et gestion fédérée des identités,
* Generalisation de [[FranceConnect+]] pour l’accès à des services sensibles (par exemple, FranceConnect+ avec [[Identité Numérique La Poste|l’Identité Numérique]])
* Déploiement de solutions [[passwordless|sans mot de passe]]
* Usage accru de la [[biométrie]]

== Réglementation et conformité ==

L’authentification doit respecter le [[RGPD|Règlement Général sur la Protection des Données]] ainsi que les préconisations du [[Référentiel Général de Sécurité|RGS]]. Les services de l’État doivent veiller à la conformité avec les recommandations de l'[[ANSSI]].

== Voir aussi ==

* [[Sécurité informatique]]
* [[FranceConnect]]
* [[MFA|Authentification multifacteur]]
* [[Biométrie]]
* [[Identité numérique]]
* [[Autorisation]]

[[Catégorie:]]

Authentification - Revision history

Cehlc: resumé