Protocoles d'authentification : types, exemples et cas d'usage

Face à la multiplication des vecteurs d'attaque numériques, l'identité numérique a remplacé le périmètre réseau traditionnel comme principale frontière de sécurité. Les organisations ne s'appuient plus uniquement sur des pare-feu physiques : chaque demande d'accès – qu'elle provienne d'un collaborateur à distance, d'un service cloud ou d'un objet connecté (IoT) – doit être vérifiée en continu.

Les protocoles d'authentification constituent les ensembles de règles fondamentaux qui régissent l'échange et la validation des identifiants ainsi que l'établissement de la confiance sur les réseaux. Le choix de la bonne pile de protocoles n'est pas un simple détail technique : il influe directement sur l'exposition de l'organisation aux menaces liées à l'identité, sur la productivité des utilisateurs et sur la conformité réglementaire.

Pourquoi les protocoles d'authentification réseau sont-ils importants ?

L'identité est le principal vecteur des violations de données actuelles. Selon le Verizon Data Breach Investigations Report (DBIR), plus de 80 % des violations visant des applications web proviennent d'identifiants volés, faibles ou obtenus par force brute. Les attaquants exploitent activement les mécanismes d'authentification hérités à l'aide de techniques sophistiquées :

• Phishing et Adversary-in-the-Middle (AiTM) : Les attaquants mettent en place des serveurs proxy pour intercepter en temps réel les codes d'accès, les mots de passe et les jetons de session classiques basés sur le temps.
• Credential stuffing et force brute : Des bots automatisés testent des milliards de combinaisons identifiant/mot de passe divulguées sur les portails d'entreprise.
• Pass-the-Hash et Pass-the-Ticket : Ces attaques par mouvement latéral au sein des environnements d'entreprise exploitent les faiblesses architecturales d'anciens protocoles de domaine comme NTLM et Kerberos.

La mise en œuvre de protocoles d'authentification modernes et sécurisés élimine ces vecteurs d'attaque en supprimant les secrets statiques et en établissant une preuve cryptographique de l'identité. En outre, standardiser l'authentification dans l'ensemble de votre écosystème simplifie le provisionnement, réduit les coûts de support liés aux réinitialisations de mots de passe et facilite les rapports de conformité.

Qu'est-ce qu'un protocole d'authentification ?

Un protocole d'authentification est une séquence cryptographique conçue pour vérifier l'identité d'une entité (utilisateur, appareil ou application) qui demande l'accès à un système, un réseau ou une ressource. Contrairement à l'autorisation – qui détermine les actions qu'un utilisateur peut effectuer une fois connecté –, l'authentification répond simplement à la question : « Êtes-vous bien qui vous prétendez être ? »

Ces protocoles reposent sur trois grands facteurs d'identité :

1. Ce que vous savez : Mots de passe, codes PIN ou secrets partagés.
2. Ce que vous possédez : Clés de sécurité matérielles, cartes à puce ou applications d'authentification.
3. Ce que vous êtes : Données biométriques telles que l'empreinte digitale, la reconnaissance faciale ou la reconnaissance de l'iris.

Sur le plan technique, les protocoles d'authentification définissent précisément les modèles d'échange de messages, les algorithmes mathématiques (tels que RSA, ECC ou HMAC) et les structures de données utilisés entre trois rôles principaux :

• Client / demandeur (supplicant) : L'entité qui demande l'accès.
• Partie de confiance (Relying Party, RP) / fournisseur de services (SP) : L'application ou la ressource qui héberge le point de contrôle d'accès.
• Fournisseur d'identité (IdP) / serveur d'authentification : Le moteur central qui valide les identifiants et émet les jetons d'autorisation.

Principaux types de protocoles d'authentification

Les protocoles d'authentification ont évolué au rythme des architectures : les protocoles modernes prennent en charge les services web distribués, les identités cloud fédérées et l'authentification sans mot de passe parallèlement aux systèmes traditionnels basés sur un domaine.

Ces protocoles et standards répondent à des objectifs différents : certains vérifient l'identité d'un utilisateur ou d'un appareil (authentification), d'autres permettent un accès délégué aux ressources (autorisation), tandis que les standards de fédération permettent l'échange d'informations d'identité entre systèmes de confiance. En pratique, ils fonctionnent souvent de concert pour sécuriser l'accès dans les environnements d'entreprise.

 

FIDO2 / WebAuthn et CTAP

• Définition : FIDO2 est un ensemble de standards d'authentification sans mot de passe et multifacteur fondés sur la cryptographie à clé publique. Il associe l'API Web Authentication (WebAuthn), qui permet aux applications web de créer et d'utiliser des identifiants à clé publique, au Client to Authenticator Protocol (CTAP), qui permet la communication entre un appareil client et un authentificateur externe, tel qu'une clé de sécurité matérielle.
• Principaux avantages :
  • Résistant au phishing : Les liaisons sont strictement limitées à des noms de domaine précis (liaison à l'origine). Les attaquants qui exploitent des sites proxy ne peuvent pas réutiliser les signatures cryptographiques interceptées sur les domaines légitimes.
  • Sans mot de passe : Supprime les secrets partagés statiques stockés sur des serveurs centraux ; les clés privées ne quittent jamais l'enclave sécurisée de l'appareil matériel de l'utilisateur.
  • Respect de la vie privée : La vérification biométrique s'effectue entièrement en local sur l'authentificateur de l'utilisateur et n'est jamais transmise sur le réseau.
• Principaux cas d'usage : Connexion sans mot de passe aux postes de travail en entreprise, gestion des accès à privilèges (PAM), portails web à haute sécurité et applications bancaires grand public.

SAML 2.0 (Security Assertion Markup Language)

• Définition : Standard ouvert basé sur XML, utilisé pour échanger des données d'authentification et d'autorisation entre un fournisseur d'identité (IdP) et un fournisseur de services (SP). Pour aller plus loin, consultez notre article détaillé sur ce qu'est SAML et son fonctionnement.
• Principaux avantages : Rend possible le Single Sign-On (SSO) d'entreprise, grâce auquel les utilisateurs se connectent une seule fois avec un unique jeu d'identifiants et accèdent à plusieurs applications web indépendantes.
• Principaux cas d'usage : Accès aux applications SaaS de l'entreprise (par ex. Salesforce, Google Workspace, Microsoft 365) intégrées à des systèmes d'identité centralisés.

OAuth 2.0 et OpenID Connect (OIDC)

• Définition : OAuth 2.0 est un cadre d'autorisation qui accorde à des applications tierces un accès limité aux ressources d'un utilisateur. OpenID Connect (OIDC) étend OAuth 2.0 avec une couche d'identité en émettant un ID Token signé cryptographiquement (généralement structuré sous forme de JSON Web Token, ou JWT) qui atteste l'identité de l'utilisateur authentifié auprès de l'application.
• Principaux avantages : Structure JSON légère et adaptée aux API ; optimisée pour les applications mobiles, les applications monopages (SPA) et les microservices.
• Principaux cas d'usage : Applications web et mobiles modernes, protection des API REST et connexions fédérées grand public (« Se connecter avec Google/Apple »).

Kerberos

• Définition : Protocole d'authentification réseau développé par le MIT, reposant sur un mécanisme d'octroi de tickets et sur la cryptographie à clé symétrique.
• Principaux avantages : Évite la circulation des mots de passe sur le réseau ; prend en charge l'authentification mutuelle entre client et serveur.
• Principaux cas d'usage : Domaines Active Directory sur site, authentification intranet et accès aux partages de fichiers d'entreprise.

HOTP / TOTP (RFC 4226 / RFC 6238)

• Définition : HMAC-Based One-Time Password (HOTP) génère des codes d'accès dynamiques à partir d'un compteur. Time-Based One-Time Password (TOTP) génère des codes calculés à partir d'une clé secrète partagée et de l'heure courante (ils changent généralement toutes les 30 secondes).
• Pourquoi il perd du terrain : Si le TOTP a marqué un net progrès par rapport aux mots de passe statiques, il n'est pas résistant au phishing. Les attaquants qui utilisent des proxys AiTM automatisés (comme Evilginx) peuvent amener les utilisateurs à saisir leur code TOTP à 6 chiffres sur un site frauduleux, puis intercepter à la fois le mot de passe et le cookie de session actif, contournant entièrement la protection MFA.

Protocoles réseau hérités (RADIUS, TACACS+, NTLM)

• RADIUS / TACACS+ : Protocoles utilisés pour centraliser l'authentification, l'autorisation et la traçabilité (AAA, Authentication, Authorization and Accounting) des équipements d'accès réseau tels que les VPN, commutateurs et routeurs.
• NTLM (NT LAN Manager) : Suite d'authentification Microsoft héritée et protocole de type défi-réponse fonctionnant sur des connexions SMB, RPC et HTTP.
• Limites de sécurité : NTLM est très vulnérable aux attaques par relais, pass-the-hash et force brute hors ligne. Microsoft recommande activement d'abandonner NTLM au profit de Kerberos et de processus FIDO2/WebAuthn modernes. Les cadres de sécurité actuels exigent explicitement l'abandon progressif de ces protocoles en texte clair ou à hachage faible.

Protocoles d'authentification par cas d'usage

Chaque contexte opérationnel exige un choix de protocole spécifique afin de trouver le bon équilibre entre sécurité des identités de haut niveau, compatibilité technique et expérience utilisateur.

 

Single Sign-On (SSO) d'entreprise et applications cloud

• Scénario : Un collaborateur doit accéder chaque jour à des dizaines d'applications web (SaaS, outils de développement internes, portails RH) sans ressaisir sans cesse des identifiants différents.
• Protocoles : OpenID Connect (OIDC), SAML 2.0, FIDO2/WebAuthn.
• Tendance du secteur : Transition de l'authentification multifacteur classique (mot de passe + TOTP) vers le SSO sans mot de passe basé sur FIDO2 pour l'ensemble des flux de connexion. Cette approche neutralise le phishing AiTM tout en éliminant la lassitude liée aux mots de passe.

Connexion au poste de travail et au domaine (Windows / macOS / Linux)

• Scénario : Sécuriser l'accès local et distant au système d'exploitation sur les terminaux de l'entreprise – en ligne comme hors ligne – tout en supprimant les mots de passe locaux vulnérables.
• Protocoles : FIDO2 / CTAP2, Kerberos, carte à puce / PKI (X.509).
• Tendance du secteur : Abandon de NTLM et des identifiants de domaine basés sur un mot de passe au profit d'approches sans mot de passe comme Windows Hello for Business ou de jetons de sécurité matériels dédiés qui s'intègrent nativement à l'architecture d'identité du terminal.

Accès distant et infrastructure réseau (VPN, Zero Trust Network Access)

• Scénario : Sécuriser l'accès à l'infrastructure pour les collaborateurs à distance qui se connectent via les VPN d'entreprise, les réseaux Wi-Fi (802.1X) et les sessions d'administration SSH.
• Protocoles : EAP-TLS, RADIUS, IPsec, SSH avec clés publiques.
• Tendance du secteur : Remplacement des mots de passe VPN statiques et des notifications push par une authentification client par certificat (EAP-TLS) intégrée à des solutions Zero Trust Network Access (ZTNA).

Tableau comparatif des protocoles d'authentification

Comparez les principaux protocoles d'authentification selon leur rôle et leur niveau de sécurité.

Comment choisir un protocole d'authentification pour votre entreprise

Choisir la bonne suite d'authentification suppose d'évaluer votre dette technique actuelle, votre environnement réglementaire et votre architecture cible. Les responsables de l'ingénierie sécurité et des infrastructures devraient appliquer un cadre d'évaluation structuré en trois étapes.

1. Analyse de l'infrastructure

• Cartographiez vos applications héritées et vos applications cloud natives. Les applications modernes prennent généralement en charge OIDC ou SAML, tandis que les applications héritées et les clients lourds peuvent nécessiter des proxys d'authentification ou d'autres mécanismes d'intégration.
• Évaluez votre parc de terminaux (Windows, macOS, Linux, clients légers) afin de vérifier que le système d'exploitation prend nativement en charge des fournisseurs d'identifiants modernes comme WebAuthn ou FIDO2 via des authentificateurs matériels.

2. Transition vers le Zero Trust et le MFA résistant au phishing

• Alignez le choix des protocoles sur les recommandations de la CISA (Cybersecurity and Infrastructure Security Agency) en matière de MFA résistant au phishing. Donnez la priorité à FIDO/WebAuthn pour les scénarios d'authentification utilisateur pris en charge et évaluez l'authentification par certificat pour les cas d'usage d'accès réseau et d'accès des appareils qui s'y prêtent.
• Supprimez la dépendance aux SMS, aux notifications push (exposées aux attaques par fatigue MFA) et aux codes TOTP sur les systèmes critiques.

3. Cartographie de la conformité et des standards

Les protocoles d'authentification constituent le mécanisme central permettant de satisfaire aux exigences strictes des cadres de conformité en cybersécurité. Plutôt que de traiter la conformité comme une simple case à cocher, évaluez comment chaque choix de protocole met en œuvre des contrôles de sécurité techniques explicites :

• NIST SP 800-63B : Le niveau AAL3 exige une authentification matérielle, une résistance à l'usurpation du vérificateur, deux facteurs d'authentification distincts et le respect des exigences applicables en matière de cryptographie et d'authentificateurs. FIDO2/WebAuthn peut assurer la résistance à l'usurpation du vérificateur, mais l'utilisation de ce seul protocole ne suffit pas à établir la conformité AAL3. L'ensemble de la mise en œuvre de l'authentification doit satisfaire à toutes les exigences NIST applicables.
• PCI DSS 4.0 : L'exigence 8.3 impose des implémentations MFA robustes pour tout accès au Cardholder Data Environment (CDE). Déployer une résistance au phishing au niveau du protocole aide à prévenir le vol de jetons et à traiter les risques liés aux attaques adversary-in-the-middle (AiTM).
• HIPAA et GDPR : Ces deux cadres imposent des mesures de protection techniques, des contrôles d'accès et une protection contre la divulgation non autorisée de données. Les architectures de protocoles qui s'appuient sur la cryptographie à clé publique (comme WebAuthn ou mTLS) constituent des mesures techniques solides pour sécuriser l'accès aux terminaux et empêcher la transmission d'identifiants en texte clair.
• Directive NIS2 : Les organisations européennes soumises à la directive NIS2 doivent mettre en place des politiques strictes de gestion des risques de cybersécurité et de contrôle d'accès. Standardiser l'authentification grâce à des protocoles fédérés (SAML 2.0, OIDC) et à des standards modernes (FIDO2) au sein d'une architecture d'identité centralisée favorise une application cohérente des politiques et un contrôle d'accès auditable dans l'ensemble des environnements IT.

Mise en œuvre stratégique avec Hideez

Faire passer une infrastructure d'entreprise de protocoles hérités basés sur les mots de passe ou le TOTP à des standards modernes résistants au phishing peut s'avérer complexe – en particulier lorsqu'il faut concilier des environnements de domaine hérités et des charges de travail cloud modernes. La plateforme Hideez Workforce Identity comble ce fossé architectural en proposant une infrastructure unifiée pour une authentification sans mot de passe et résistante au phishing dans des environnements variés :

• Sécurité FIDO2 liée au matériel : Hideez fournit des clés de sécurité matérielles dédiées (Hideez Key) et des logiciels de sécurité compatibles nativement avec les standards WebAuthn/FIDO2, qui protègent les postes de travail, les applications SaaS et les infrastructures à privilèges contre les attaques de phishing AiTM.
• Modernisation des systèmes hérités : Hideez permet la connexion sans mot de passe au domaine Windows et l'accès aux postes de travail sans imposer une refonte complète de l'infrastructure Active Directory sous-jacente. La solution fait le lien entre l'authentification locale héritée et les fournisseurs d'identité cloud modernes. En savoir plus sur Hideez AuthShield.
• Gestion centralisée des clés : Pour les administrateurs IT et les RSSI (CISO), le Hideez Enterprise Server assure la gestion centralisée des clés de sécurité physiques, des opérations liées au cycle de vie des identités, du provisionnement à distance des identifiants et de la révocation automatisée des sessions, ce qui simplifie les rapports de conformité dans le cadre des audits NIST, PCI DSS et ISO 27001.

Points clés à retenir

• Choisissez les protocoles en fonction des exigences de sécurité et des cas d'usage. FIDO2/WebAuthn est une option solide pour une authentification utilisateur sans mot de passe et résistante au phishing, tandis que Kerberos reste essentiel dans les environnements de domaine Windows. OIDC et SAML 2.0 prennent en charge l'identité fédérée et le Single Sign-On (SSO) d'entreprise.
• Donnez la priorité à une authentification résistante au phishing. Les mots de passe et les codes TOTP peuvent être compromis par des attaques de phishing et adversary-in-the-middle (AiTM). FIDO2/WebAuthn et une authentification par certificat correctement mise en œuvre offrent une meilleure protection contre le vol d'identifiants.
• Prenez en compte l'ensemble de l'architecture d'authentification. Le choix des protocoles doit tenir compte de la compatibilité des applications, des capacités des terminaux, de l'intégration au fournisseur d'identité, de la sécurité des sessions, de la récupération des identifiants et de la maintenance continue.
• Modernisez progressivement l'authentification héritée. Les organisations peuvent réduire leur dépendance aux protocoles hérités comme NTLM en introduisant des méthodes d'authentification plus robustes, tout en préservant la compatibilité avec l'infrastructure et les services existants.
• Alignez les contrôles d'authentification sur les exigences métier et de conformité. Évaluez les besoins de sécurité de chaque environnement, y compris les applications cloud, les services de domaine, les VPN, les API et les comptes à privilèges. Choisissez des protocoles et des configurations qui prennent en charge les contrôles d'accès et le niveau d'assurance de sécurité requis.
• Recourez à une gestion centralisée des identités lorsque c'est pertinent. L'intégration de standards d'authentification modernes à l'infrastructure d'identité de l'entreprise peut simplifier la gestion des accès, améliorer la visibilité et favoriser des politiques de sécurité cohérentes entre applications et appareils.
• Planifiez la mise en œuvre et la gestion du cycle de vie. Une authentification sécurisée exige une configuration adaptée, la gestion des clés et des certificats, des procédures de récupération de compte, une surveillance continue et l'abandon en temps voulu des méthodes vulnérables.

Foire aux questions

Quel est le protocole d'authentification le plus sûr ?

FIDO2/WebAuthn est un choix solide pour une connexion utilisateur résistante au phishing. Les méthodes basées sur des certificats conviennent également à l'authentification réseau et des charges de travail. Le meilleur choix dépend de la ressource à protéger, l'évaluation devant intégrer la récupération et la protection des sessions.

FIDO2 peut-il remplacer complètement Kerberos ?

Non, pas directement. FIDO2 peut authentifier un utilisateur à la connexion, tandis que Kerberos fournit les tickets d'accès aux services de domaine. Les déploiements Windows compatibles peuvent combiner une connexion sans mot de passe et un accès Kerberos. Supprimer Kerberos implique de modifier les dépendances d'authentification des services qui s'appuient sur lui.

Quel protocole utiliser pour un VPN d'entreprise ?

Pour les VPN compatibles avec la fédération, utilisez SAML ou OIDC avec un MFA résistant au phishing au niveau de l'IdP. L'authentification par certificat est une autre option solide. Avec RADIUS, évaluez la méthode d'authentification sous-jacente et la protection du transport.

Hideez réunit clés matérielles FIDO2, connexion sans mot de passe au domaine Windows et gestion centralisée des clés pour vous permettre d'abandonner NTLM, le TOTP et les mots de passe statiques sans reconstruire votre infrastructure d'identité. Réservez une démo pour identifier les protocoles adaptés à votre environnement, ou rejoignez le programme partenaires pour proposer une authentification résistante au phishing à vos clients.