Une authentification forte (qui repose généralement sur un facteur unique) est une authentification reposant sur un mécanisme cryptographique dont les paramètres et la sécurité sont jugés robustes (l’élément secret est alors généralement une clé crypto- graphique).
Les protocoles d’authentification que l’on peut considérer comme forts reposent souvent sur des protocoles dits défi-réponse.
Le message envoyé par le prouveur pour s’authentifier dépend à la fois d’une clé secrète, mais aussi d’un défi variable envoyé par le vérifieur.
Lorsqu’un prouveur souhaite prouver son identité à un vérifieur, ce dernier lui envoie alors un défi (une valeur aléatoire par exemple) et le prouveur doit lui transmettre une réponse calculée à partir de ce défi spécifique (une signature de ce défi par exemple).
Afin d’être considérée comme forte, une authentification doit reposer sur un protocole cryptographique permettant de résister à certaines attaques comme :
- l’écoute clandestine (eavesdroppping en anglais), qui consiste pour un attaquant à passivement écouter le canal de communication entre le prouveur et le vérifieur ;
- les attaques par rejeu, qui consistent pour un attaquant à récupérer des informations d’authentification (comme un mot de passe ou son empreinte) et à utiliser ces informations pour les rejouer afin d’usurper l’identité de la cible ;
- les attaques de l’homme-du-milieu, qui consistent pour un attaquant à intercepter et modifier les communications se déroulant entre le prouveur et le vérifieur lors de l’authentification sans être détecté ;
- la non-forgeabilité : l’observation par un attaquant de plusieurs échanges d’authentification d’un prouveur ne doit pas lui permettre d’usurper son identité dans un nouvel échange d’authentification.
Parmi les exemples d’authentification forte reposant sur un facteur de possession, on peut citer :
- l’authentification par certificats (stockés dans des cartes à puce par exemple) ;
- les protocoles FIDO2 et FIDO U2F ;
- les protocoles d’OTP (One-Time Password) comme HOTP (HMAC-based OTP [32]), TOTP (Time- based OTP [34]) ou OCRA (OATH Challenge-Response Algorithm [33]).
Dans chacun de ces cas, le prouveur prouve son identité au vérifieur en démontrant indirectement la possession d’une clé cryptographique qui doit rester secrète.
Parmi les exemples d’authentification forte reposant sur un facteur de connaissance, on peut citer :
- le protocole Kerberos [27] ;
- les protocoles de type PAKE (Password-Authenticated Key Agreement) comme SPAKE2 [3] ou OPAQUE [20].
Dastra vous aide à réaliser votre mise en conformité RGPD, découvrez notre solution.