Authentification deux facteurs

Introduction

Définition: Un facteur d'authentification est un moyen de permettre à un service/logiciel de savoir qui est l'utilisateur actuellement.

On peut différencier 3 types de facteurs différent:

  - mémoriel:  ce sont ceux dont on doit se souvenir comme par exemple un mot de passe avec son nom d'utilisateur associé ou la réponse à une question secrète etc
  - matériel:  ce qu'on possède comme par exemple une application sur un téléphone, ou encore un code envoyé par SMS a un numéro donné
  - physique:  ce que l'on est, notre voix ou encore nos empreintes biométriques 

Fonctionnement

Premier Facteur On est dans le schéma classique qui est aussi le moyen le plus répandu pour s'authentifier. C'est un facteur de type mémoriel.

L'utilisateur va s'authentifier en rentrant son username et le password associé auprès du service auquel il souhaite accéder. Le service va alors faire passer le password dans une fonction de hachage et l'envoyé au serveur dudit service. Le serveur va alors comparé le password qui à enregistré lors de la création de compte avec celui qu'il vient de recevoir. Si le password correspond, l'utilisateur accède au service.

Deuxième Facteur Première version On est dans un schéma d'authentification qui est souvent associer avec le premier. C'est un facteur de type matériel.

L'utilisateur souhaite accéder à un service. Pour ce faire il se connecte au service avec un nom d'utilisateur. Le serveur va alors créer un code, suite de chiffres et/ou lettres, générer aléatoirement et qui va être valide durant un certain temps. Il va ensuite l'envoyer à l'utilisateur via un moyen choisis par ce même utilisateur lors de la création de compte. L'utilisateur va alors recevoir ce code via mail/SMS ou encore avec une notification sur une application mobile avec le choix de valider la connexion ou non. L'utilisateur va alors rentrer le code ou accepter la notification pour se connecter a son service.

Deuxième version C'est un facteur de type matériel. Mais c'est un autre fonctionnement qui tend a se répandre de plus en plus.

Lorsque l'utilisateur va créer un compte il va se servir d'un token ou d'un application mobile, qu'il va synchroniser avec le serveur du service pour générer toujours le même code au même moment. L'utilisateur souhaite alors accéder au service. Le service va alors demander à l'utilisateur le code, suite de chiffres et/ou lettres, qui est valable sur une courte durée. L'utilisateur va alors se servir de son token/application mobile, récupérer le code et ensuite le rentrer sur le service. Le service va alors demander au serveur si le code est bien le même qui a générer. Si c'est le cas l'utilisateur peut alors utiliser le service.