De nos jours, il est pratiquement impossible de passer une journée sans devoir se connecter à un moment donné. Dès le réveil nous déverrouillons notre mobile avec un mot de passe, nous nous connectons ensuite au travail à notre session d'ordinateur, à notre messagerie électronique, à notre compte Facebook, aux différentes applications de l'entreprise, au cloud…

Nous savons désormais que, pour les entreprises, la gestion des identités est un véritable enjeu pour la productivité et la réduction des coûts. En effet, lorsque nous jonglons avec une multitude d'identifiants et de mots de passe, l'oubli est la principale conséquence. La réinitialisation d'un mot de passe coûte de l'argent à l'entreprise et, pour un employé, l'oubli de mot de passe ajouté au fait de devoir se reconnecter un nombre incalculable de fois au cours d'une journée, entraine une lassitude qui diminue la productivité.

Comprendre le monde de la gestion d'identité

De ce fait, les sociétés spécialistes de la gestion de l'identité proposent des solutions toujours plus évoluées pour permettre aux entreprises de diminuer le nombre de connexions et de couple identifiant/mot de passe par utilisateur. Cependant, pour une entreprise, il est difficile de s'y retrouver : Single Sign On, Identity Access Management, Authentification Forte, Fédération des Identités, Authentification Multi-Facteurs… Que se cache-t-il derrière ces innombrables terminologies ? Comment comprendre la différence entre identification et authentification pour mieux connaître les enjeux de la gestion de l'identité ?

Avant de choisir sa solution de gestion des identités, il est impératif de bien comprendre les différentes terminologies. On parle d'identification et d'authentification, mais quelle est la différence ?

Différencier authentification et identification

Pour comprendre la différence entre identification et authentification, c'est assez simple :

• L'identification répond à la question « Qui êtes-vous ? »
• L'authentification signifie en fait « Prouvez qui vous-êtes »

Par exemple, lorsque vous vous connectez à une application Web la première fois, vous vous authentifiez en remplissant un formulaire d'inscription, en créant un mot de passe, etc. Une fois cette étape faite, lorsque vous vous reconnectez, l'application Web vous reconnait, vous êtes donc identifié. Vous n'avez plus qu'à cliquer sur « connecter » pour accéder à votre compte.

C'est également le cas lorsque vous utilisez la méthode de connexion « connect with », c'est-à-dire lorsque vous utilisez votre « login » et « password » Facebook pour vous connecter à une application. Vous faites l'action de vous identifier car vous êtes déjà authentifié chez Facebook. Le principe consiste donc à s'authentifier pour être identifié.

L'authentification à l'origine de la protection des données de l'entreprise

Pour gérer les identités et mots de passe des employés, les entreprises peuvent avoir recours à la fédération des identités (« Single Sign On » en anglais). Cette solution repose sur le principe de « je m'authentifie pour être identifié ». Une fois que l'entreprise a créé un couple identifiant/mot de passe pour un employé - ce couple étant stocké dans un lieu unique, contrôlé par l'entreprise - lorsque l'utilisateur accède à l'application, son identité est transmise en toute transparence et en toute sécurité, depuis le Système d'Information de l'entreprise, au fournisseur de l'application. L'employé, qui est donc authentifié auprès de son entreprise, est ainsi identifié par le fournisseur de l'application et se connecte automatiquement à l'application.

L'employé n'a donc plus besoin de rentrer inlassablement des identifiants et des mots de passe pour se connecter à des applications au cours de sa journée. Une seule et unique connexion le matin pour s'authentifier suffit pour avoir accès aux applications Web, de l'entreprise ou cloud. Les terminaux mobiles et leur géolocalisation sont également référencés dans le Système d'Information de l'entreprise ce qui renforce l'authentification et facilite d'autant plus l'identification. Si un employé souhaite se connecter à une application depuis un terminal mobile qui n'est pas référencé, son accès sera refusé. En cas de perte ou de vol d'un appareil, comme la géolocalisation de l'appareil ne sera pas la même que celle référencée, la personne détenant le terminal mobile ne pourra pas se connecter aux applications.

De l'authentification simple à l'authentification forte

Comme il est nécessaire de s'authentifier avant de pouvoir être identifié, c'est donc au niveau de l'authentification qu'il est impératif de mettre en place des procédures de sécurité. Il existe deux sortes d'authentification :

• L'authentification simple : l'authentification ne repose que sur un seul élément ou « facteur ». L'utilisateur indique son mot de passe.

• L'authentification forte ou dite « multi-facteurs » : l'authentification repose sur deux facteurs ou plus.

Les attaques des cybercriminels étant de plus en plus complexes, l'authentification simple ne suffit plus. Même dans le cadre de la fédération des identités où le couple identifiant/mot de passe est conservé dans un lieu sécurisé, les entreprises ne sont plus à l'abri d'une cyber-attaque et donc de se faire dérober les identités de leurs collaborateurs. En effet, d'après une étude mondiale réalisée par Deloitte, 90% des mots de passe pourraient être piratés en quelques secondes ou en quelques heures à l'heure actuelle. L'authentification multi-facteurs est donc l'avenir de la gestion des identités. Avoir un mot de passe fort ne suffisant plus, il faut trouver d'autres moyens pour vérifier les identités de chacun.

Biométrie, son, certificats électroniques au service de l'authentification

Avec l'authentification forte ou dite « multi-facteurs », l'utilisateur doit, en plus de rentrer son mot de passe, fournir d'autres moyens d'authentification qui peuvent être la biométrie (reconnaissance de l'empreinte digitale, iris, voix, visage), un son (le smartphone émet un son que l'ordinateur réceptionne via ses hauts parleurs), un numéro de téléphone (l'utilisateur rentre son numéro de portable en plus de son mot de passe ou reçoit un sms avec un lien pour valider la connexion), une image, un certificat électronique, un code alphanumérique, etc.

L'authentification est donc la première étape de l'identification. Plus qu'une simple formalité c'est aussi un enjeu pour les entreprises. Aujourd'hui, il est primordial pour une entreprise de posséder une solution de gestions des identités pour faciliter le quotidien des employés et protéger ses données. Sans authentification forte, les identités peuvent être dérobées et mettre en danger les données des entreprises.