Trois opérations distinctes se succèdent à chaque accès, et les confondre conduit à mal placer ses défenses. L'identification consiste à annoncer une identité (« je suis le compte marie.durand »). L'authentification consiste à en apporter la preuve. L'autorisation détermine ce que cette identité, une fois prouvée, a le droit de faire. Une quatrième notion, l'imputabilité, ferme la boucle en rattachant chaque action à un responsable.
Les trois étapes, dans l'ordre
| Étape | Question posée | Élément manipulé | Exemple physique | Échec typique |
|---|---|---|---|---|
| Identification | Qui prétendez-vous être ? | identifiant, e-mail, numéro de client | annoncer son nom à l'accueil | énumération de comptes, usurpation d'identifiant |
| Authentification | Pouvez-vous le prouver ? | facteur(s) : secret, objet, mesure, raisonnement | présenter une pièce d'identité | phishing, rejeu, credential stuffing |
| Autorisation | Qu'avez-vous le droit de faire ? | rôles, permissions, politiques | badge donnant accès à certains étages | privilèges excessifs, élévation de privilèges |
| Imputabilité | Qui a fait quoi, et quand ? | journaux, horodatage, corrélation | registre des entrées | traçabilité incomplète, comptes partagés |
L'ordre n'est pas indifférent. Une autorisation appliquée sur une authentification faible hérite de cette faiblesse : le moteur de politiques évalue les droits d'une identité qu'il croit vérifiée.
L'identifiant n'est pas un secret — et c'est un problème
Une confusion courante consiste à traiter l'identifiant comme une demi-protection. Il n'en est pas une. Un identifiant est, par construction, une donnée publique fonctionnelle : il est communiqué, imprimé sur des cartes de visite, présent dans les signatures de courriel, exposé sur les annuaires professionnels et récupérable dans les fuites de données.
Cette exposition a des conséquences directes :
- Elle donne à l'attaquant un point de reconnaissance stable. Connaître l'adresse
prenom.nom@entreprise.frpermet de deviner le format de tous les autres comptes. - Elle rend possible le credential stuffing : rejouer massivement des couples identifiant/mot de passe issus de fuites tierces, en pariant sur la réutilisation.
- Elle facilite le spear phishing : un message ciblé, adressé à la bonne personne, mentionnant le bon outil interne, obtient un taux de réussite sans rapport avec un envoi de masse.
Le rapport Verizon DBIR place d'ailleurs les identifiants volés, réutilisés ou partagés parmi les tout premiers vecteurs d'intrusion. C'est le raisonnement qui conduit aux approches IDless : supprimer l'identifiant permanent, donc supprimer la cible fixe qui sert de point de départ à l'attaquant. Sans identifiant réutilisable, il n'y a plus de liste à énumérer ni de couple à rejouer.
Ce que l'authentification prouve vraiment
C'est l'étape la plus mal comprise, parce que l'on décrit souvent ce qu'elle devrait établir plutôt que ce qu'elle établit réellement.
- Un mot de passe prouve qu'une chaîne de caractères a été saisie. Il ne dit rien de la personne qui l'a saisie, ni de son libre arbitre au moment de la saisie.
- Une clé cryptographique prouve qu'un appareil détenant cette clé a répondu. Il ne dit rien de son porteur.
- Une empreinte prouve qu'un gabarit correspond à un modèle enregistré, dans les limites d'un seuil de décision.
Ces trois preuves sont indirectes : elles vérifient un intermédiaire et en déduisent une identité. Cette déduction tenait tant qu'il fallait forcer une porte technique. Elle tient beaucoup moins face à un attaquant qui se contente de relayer un échange légitime en temps réel, ou de convaincre une personne d'approuver une opération qu'elle n'a pas déclenchée.
Le facteur cognitif répond à cette limite en déplaçant l'objet de la preuve : ce n'est plus un secret détenu qui est vérifié, mais un raisonnement appliqué à un challenge, selon une méthode de résolution acquise lors d'un enrôlement hors ligne.
L'autorisation : deuxième moitié du contrôle d'accès
Une authentification excellente ne compense pas une autorisation trop généreuse. Trois principes structurent cette étape :
Moindre privilège. Chaque identité ne dispose que des droits nécessaires à sa fonction, pour la durée nécessaire. Les élévations temporaires valent mieux que les droits permanents.
Séparation des tâches. Aucune identité unique ne doit pouvoir initier, valider et exécuter une opération sensible. C'est un contrôle organisationnel autant que technique.
Réévaluation. Les droits accumulés au fil des mobilités internes constituent l'une des dérives les plus fréquentes. Une revue périodique des habilitations vaut mieux qu'un durcissement de la seule connexion.
C'est aussi le point de contact avec les architectures Zero Trust : chaque requête est évaluée, l'accès n'est jamais accordé une fois pour toutes.
Où placer l'effort en priorité
Une règle simple : corriger l'étape dont la faiblesse est exploitable sans complicité interne. Dans la grande majorité des intrusions, cette étape est l'authentification, parce qu'elle est attaquable depuis l'extérieur, à distance et à grande échelle. L'autorisation vient ensuite, car son exploitation suppose généralement d'avoir déjà franchi la première porte.
FAQ
Quelle est la différence entre identification et authentification ?
L'identification est une déclaration : on annonce une identité. L'authentification est une preuve : on démontre que cette déclaration est fondée. La première n'apporte aucune sécurité, la seconde en apporte à hauteur de la robustesse du facteur employé.
L'adresse e-mail est-elle un bon identifiant ?
Elle est pratique et mémorisable, mais c'est aussi une donnée largement diffusée. Elle offre à l'attaquant un point de reconnaissance stable et un canal de contact direct. Sa commodité a donc un coût en matière de surface d'attaque.
L'autorisation peut-elle rattraper une authentification faible ?
Elle peut en limiter les conséquences, jamais les empêcher. Un attaquant authentifié sous une identité légitime hérite des droits de cette identité. Réduire ces droits limite le rayon d'action, sans supprimer l'intrusion.
Où se situe la traçabilité dans cette chaîne ?
Après les trois étapes. Elle n'a de valeur probante que si l'authentification est fiable : un journal qui attribue une action à un compte partagé ou à une identité usurpée n'établit rien.
Aller plus loin : prouver une intention humaine · les 4 facteurs d'authentification · SSO : fonctionnement et angle mort · IAM ou CIAM