Qu'est-ce que l'authentification sans mot de passe ?

Qu'est-ce que l'authentification sans mot de passe ?

L'authentification sans mot de passe est un moyen de se connecter à des comptes sans saisir de mot de passe. Pour remplacer les mots de passe (parfois difficiles à mémoriser et faciles à dérober), il existe les solutions suivantes :

• L'authentification biométrique telle que les empreintes digitales ou la reconnaissance faciale (Apple Face ID par exemple).
• Les codes à usage unique ou les liens magiques, qui sont des codes ou des liens envoyés directement sur le téléphone ou la messagerie électronique de l'utilisateur.
• Les applications d'authentification telles que Google ou Microsoft Authenticator qui génèrent des codes à usage unique.
• Les jetons physiques, comme les YubiKeys, qui sont soit branchés sur un ordinateur, soit mis en contact avec un téléphone.

Comment fonctionne l'authentification sans mot de passe ?

Avant d'accorder un accès à un utilisateur, les systèmes de vérification d'identification vérifient un certain nombre de caractéristiques pour s'assurer que l'utilisateur est bien celui qu'il prétend être. Les caractéristiques, également appelées « facteurs d'authentification », sont les suivantes : connaissance (un élément connu de l'utilisateur), possession (un élément que l'utilisateur possède) et des qualités inhérentes (un élément définissant l'utilisateur). L'authentification sans mot de passe repose sur l'utilisation d'un ou deux des trois facteurs d'authentification, par exemple, avec des données biométriques (un élément définissant l'utilisateur), des clés physiques (un élément que l'utilisateur possède).

Voici un exemple illustrant la façon dont elle fonctionne :

1. L'utilisateur commence par configurer une méthode de connexion sans mot de passe, par exemple en enregistrant son empreinte digitale, en connectant son e-mail à des liens magiques ou en connectant une clé physique à son ordinateur ou son téléphone.
2. L'utilisateur se connecte. Cette partie diffère légèrement en fonction de la méthode d'authentification utilisée. Par exemple, dans le cas des données biométriques, il s'agit généralement d'une empreinte digitale, d'un visage ou d'une voix qui permet de se connecter. Le système vérifiera et recherchera une correspondance avec ce qui a été enregistré. Pour la méthode utilisant les jetons matériels ou les clés physiques, l'utilisateur doit brancher ou appuyer sur la clé physique pour prouver sa légitimité. La clé générera un code unique permettant de vérifier son identité.
3. Lors de la connexion, le système vérifie la méthode utilisée pour rechercher les informations contenues dans le fichier (qu'il s'agisse d'une empreinte digitale, du code de l'application de l'utilisateur, etc.) et, si la correspondance est établie, l'utilisateur se verra accorder l'accès à son appareil ou son compte.
4. Pour plus de sécurité, l'authentification sans mot de passe sera parfois associée à une autre méthode telle que l'envoi d'un code sur le téléphone de l'utilisateur en plus de l'utilisation d'une empreinte digitale. Cela permet d'ajouter une autre couche de protection.

Quels sont les avantages de l'authentification sans mot de passe ?

L'authentification sans mot de passe présente un certain nombre d'avantages dont la réduction du risque de phishing, une meilleure expérience utilisateur et une réduction des coûts pour les entreprises.

• Sécurité renforcée : l'authentification sans mot de passe permet de réduire les risques de phishing, de piratage et de vol d'identifiants. Sans mot de passe susceptible d'être compromis, en cas de violations ou de fuites de données, l'utilisateur risque moins d'être amené à révéler ses identifiants.
• Amélioration de l'expérience utilisateur : les utilisateurs peuvent se connecter à l'aide de leurs empreintes digitales, d'un scan facial ou d'un clic, ce qui rend le processus beaucoup plus facile et rapide sans qu'il soit nécessaire de retenir des mots de passe complexes.
• Réduction des coûts pour les entreprises : lorsque les entreprises utilisent l'authentification sans mot de passe, elles peuvent réduire les coûts de support informatique et de maintenance liés à la gestion des mots de passe et rationaliser les processus de récupération des comptes en cas de perte d'accès par les utilisateurs.

Quelles sont les difficultés liées à l'authentification sans mot de passe ?

Si l'authentification sans mot de passe présente certains avantages, elle comporte toutefois encore plusieurs difficultés. Par exemple, les utilisateurs prévoient souvent de se connecter à des applications cloud depuis plusieurs appareils, ce qui peut s'avérer plus difficile avec l'authentification sans mot de passe. L'intégration de diverses méthodes d'authentification aux systèmes existants peut donner lieur à des problèmes de compatibilité, et toutes les applications ne prennent pas en charge la connexion sans mot de passe. L'adoption par les utilisateurs peut constituer un autre obstacle, car il faut tenir compte de la courbe d'apprentissage et ils doivent s'adapter à une nouvelle méthode de connexion. L'authentification sans mot de passe peut également présenter des risques, tels que la perte potentielle d'informations biométriques sensibles en cas de perte ou de vol d'un appareil. La réémission de jetons perdus peut s'avérer difficile ou coûteuse, et elle n'apporte pas de solution à tous les problèmes de sécurité. Les attaquants peuvent passer à d'autres méthodes, telles que l'ingénierie sociale, les attaques sur le chemin d'accès ou encore le vol d'appareil physique. La mise en œuvre de l'authentification sans mot de passe peut également engendrer de coûts initiaux, ainsi que de coûts de maintenance permanents.

Comment se passe la mise en oeuvre de l'authentification sans mot de passe par Cloudflare ?

La plateforme Cloudflare One réunit des fonctionnalités de sécurité, notamment l'authentification sans mot de passe, par l'intégration de la connexion par code PIN à usage unique, de l'intégration du SSO et de cookies d'autorisation. Cloudflare vérifie chaque requête HTTP afin de s'assurer qu'elle est associée à un cookie d'autorisation CF valide. En savoir plus sur Cloudflare One.