L'authentification sans identifiant — ou IDless — consiste à supprimer non seulement le mot de passe, mais aussi l'identifiant permanent (login, adresse e-mail, numéro de client) présenté à l'ouverture de session. Le compte existe toujours côté système ; ce qui disparaît, c'est la valeur stable et publiquement devinable qui sert de point d'entrée à l'attaquant.
Pourquoi l'identifiant est un actif offensif
Dans la plupart des architectures, le mot de passe est protégé avec soin — haché, salé, jamais journalisé — tandis que l'identifiant circule en clair partout : signatures de courriel, annuaires professionnels, factures, réponses d'erreur d'API, listes d'exportation. Il est traité comme une donnée anodine. Il ne l'est pas.
| Ce que l'attaquant obtient | Ce qu'il en fait |
|---|---|
| Format d'identifiant de l'organisation (prenom.nom) | génère une liste de comptes valides sans aucune fuite |
| Adresse e-mail nominative | cible un envoi de spear phishing crédible |
| Confirmation qu'un compte existe (message d'erreur distinct) | énumère les comptes actifs avant l'attaque |
| Identifiant réutilisé sur un autre service compromis | tente le rejeu des couples identifiant/mot de passe |
| Identifiant d'un compte à privilèges | concentre l'effort sur la cible à plus fort rendement |
Le point commun : ces attaques ne cassent aucune cryptographie. Elles exploitent le fait que la moitié du secret d'authentification est publique par construction.
Trois attaques qui commencent par un identifiant
Le credential stuffing rejoue en masse des couples identifiant/mot de passe issus de fuites antérieures. Le Verizon DBIR place constamment les identifiants volés ou réutilisés parmi les tout premiers vecteurs d'intrusion. Sans liste d'identifiants valides, l'attaque perd son carburant.
Le password spraying inverse la logique : un mot de passe très courant, essayé sur des milliers de comptes, pour rester sous le seuil de verrouillage. Là encore, tout repose sur la disponibilité d'un annuaire de comptes.
Le spear phishing exige de savoir à qui écrire, avec quel titre, dans quelle organisation. La phase de reconnaissance précède toujours la phase d'exploitation. Un couple SSO/annuaire bien tenu facilite involontairement cette reconnaissance : un format d'adresse unique, une page de connexion unique, un message d'erreur différencié suffisent à cartographier une entreprise.
Ce que fait concrètement une authentification IDless
Le principe est de remplacer la déclaration d'identité (« je suis untel ») par l'ouverture d'un canal d'authentification éphémère, à l'intérieur duquel l'utilisateur prouve sa légitimité.
Dans l'approche retenue par HIAsecure, la séquence est la suivante :
- La page de connexion affiche un QR code dynamique à usage unique. Il ne contient aucune donnée personnelle, seulement de quoi ouvrir un canal chiffré temporaire.
- L'utilisateur ouvre ce canal depuis son appareil enrôlé. Aucun login n'est saisi.
- Il résout un challenge cognitif — une méthode de résolution personnelle acquise lors de l'enrôlement, qui relève du facteur « je sais faire ».
- Le canal se referme. Rien de réutilisable n'a transité.
Deux conséquences pratiques. D'abord, il n'existe plus de champ « identifiant » à énumérer ni à remplir sur une page contrefaite. Ensuite, la session n'est pas ouverte par la présentation d'une valeur, mais par la résolution d'un problème dont la réponse change à chaque tentative.
L'argument RGPD : minimisation, pas seulement sécurité
Le principe de minimisation du RGPD demande de ne traiter que les données strictement nécessaires à la finalité. Un système qui authentifie sans collecter d'identifiant nominatif réduit mécaniquement l'assiette de données personnelles exposée en cas de fuite. Combiné à un traitement local des éventuelles données biométriques et à une architecture décentralisée, cela déplace la question de « comment bien protéger l'annuaire » vers « quel annuaire faut-il encore détenir ».
Attention toutefois à ne pas confondre deux notions distinctes :
| Notion | Question posée | Impact de l'IDless |
|---|---|---|
| Identification | qui prétendez-vous être ? | supprimée du parcours de connexion |
| Authentification | pouvez-vous le prouver ? | conservée, déplacée sur le challenge |
| Autorisation | à quoi avez-vous droit ? | inchangée, portée par le compte interne |
| Traçabilité | qui a fait quoi, et quand ? | conservée via une référence interne, non publique |
L'IDless ne signifie donc pas anonymat opérationnel. Les journaux d'audit exigés par NIS2 ou DORA restent produits ; ils s'appuient sur une référence interne au système d'information, qui n'est pas exposée à l'extérieur.
Ce que l'IDless ne résout pas
La rigueur impose de nommer les angles morts.
- Le vol de session. Une fois la session ouverte, un jeton dérobé reste exploitable. La parade relève de la durée de vie des sessions, de leur révocabilité et d'une revalidation sur les actions sensibles.
- La compromission de l'appareil. Si le terminal enrôlé est entièrement contrôlé par un attaquant, la protection périmétrique du canal ne suffit plus.
- Le parcours d'assistance. Un support téléphonique qui accepte de réenrôler un appareil sur la foi d'une voix reste le maillon faible, quelle que soit la méthode principale.
- Les systèmes historiques. Les applications qui exigent un couple identifiant/mot de passe dans leur protocole ne se convertissent pas par décret ; elles se traitent par étapes.
C'est pourquoi l'IDless se pense comme une brique, pas comme une réponse totale. Elle s'articule avec un modèle d'authentification cognitive dans lequel le niveau d'exigence s'adapte à la criticité de l'action demandée.
FAQ
Sans identifiant, comment le système sait-il de quel compte il s'agit ?
Le rattachement se fait après ouverture du canal, à partir de l'appareil enrôlé et de la résolution du challenge, et non à partir d'une valeur saisie par l'utilisateur. La correspondance existe donc, mais elle n'est jamais déclarée en clair sur une page publique.
L'IDless est-il compatible avec un SSO existant ?
Oui, dans une logique de superposition : l'authentification IDless produit une assertion consommée par le fournisseur d'identité en place. C'est le mode de déploiement le plus courant, car il évite de refondre les applications raccordées.
Est-ce que cela complique la vie de l'utilisateur ?
Le parcours supprime une saisie plutôt qu'il n'en ajoute une. L'effort se déplace vers l'enrôlement initial, qui doit être soigné, et vers la conduite du changement — deux postes à budgéter explicitement dans un projet.
Quelle différence avec un identifiant pseudonymisé ?
Un identifiant pseudonymisé reste une valeur stable : s'il fuit, il redevient un point d'entrée énumérable et corrélable. L'approche IDless vise l'absence de valeur stable présentée en entrée de parcours, ce qui est une propriété différente.
Aller plus loin : pilier : authentification cognitive · panorama des méthodes sans mot de passe · IDless face au credential stuffing · QR code d'authentification