Authentification, autorisation et gestion des identités (IAM)

Bonne lecture et bon apprentissage !
Junior TSAFACK – 06/09/2026
⏱️ Temps de lecture estimé : 14 minutes

L’accès aux systèmes et aux données repose sur un ensemble de processus complémentaires que la pratique regroupe sous le nom de gestion des identités et des accès (IAM — Identity and Access Management). Ce cours vous présente ce cadre dans son ensemble : de la création d’un compte jusqu’aux protocoles qui vérifient une identité, en passant par les modèles qui décident qui peut faire quoi.

Le cadre IAM : quatre responsabilités, pas trois

Aux débuts d’Internet, la sécurité se résumait à une frontière : un réseau interne « de confiance », un réseau externe « hostile », et un pare-feu entre les deux. Cette vision binaire s’est effondrée avec le télétravail et les menaces internes : il existe de « bons » utilisateurs à l’extérieur du réseau et, parfois, des acteurs malveillants à l’intérieur. La ligne de défense doit donc se déplacer jusqu’à l’utilisateur final lui-même — c’est tout l’objet de l’IAM, structuré en quatre A :

#	« A »	Question à laquelle il répond
1	Administration (gestion des identités)	Créer, mettre à jour et supprimer les comptes au fil du temps.
2	Authentification	Qui êtes-vous ? — établir que vous êtes bien l’utilisateur que vous prétendez être.
3	Autorisation	Avez-vous le droit de faire ce que vous tentez de faire ?
4	Audit	Vérifier, après coup, que les trois étapes précédentes ont été correctement appliquées.

Le déprovisionnement (la suppression d’un accès quand il n’est plus justifié) est un point de sécurité aussi important que la création du compte : conserver des droits d’accès à un ancien collaborateur ou un ancien prestataire est une des sources de compromission les plus fréquentes et les plus évitables.

1. Authentification : qui êtes-vous ?

L’authentification s’appuie sur une combinaison de facteurs :

Facteur	Description	Exemples
Quelque chose que vous connaissez	Une information secrète	Mot de passe, code PIN, question secrète
Quelque chose que vous possédez	Un objet physique	Téléphone, jeton de sécurité, carte à puce
Quelque chose que vous êtes	Une caractéristique biométrique	Empreinte digitale, visage, iris, voix
Quelque part où vous êtes	Une contrainte de localisation/horaire	Connexion autorisée uniquement depuis un lieu ou un créneau donné

Type	Facteurs requis	Sécurité
SFA (Single-Factor Authentication)	1 facteur	Faible
2FA (Two-Factor Authentication)	2 facteurs	Élevée
MFA (Multi-Factor Authentication)	2 facteurs ou plus	Très élevée

💡 Bon à savoir : la MFA est devenue la norme industrielle — elle réduit considérablement le risque de compromission même si un seul facteur (souvent le mot de passe) est percé.

Les protocoles d’authentification

Un protocole d’authentification est un ensemble de règles numériques qui vérifient qu’une identité est bien celle qu’elle prétend être — l’équivalent numérique de présenter une pièce d’identité à l’entrée d’un bâtiment sécurisé.

Protocole	Principe	Usage typique
RADIUS (Remote Authentication Dial-In User Service)	Protocole client-serveur pour authentifier des utilisateurs distants	Réseaux d’entreprise, Wi-Fi, VPN
CHAP (Challenge Handshake Authentication Protocol)	Vérifie l’identité via une poignée de main en trois temps	Accès distant aux réseaux
EAP (Extensible Authentication Protocol)	Protocole-cadre qui autorise plusieurs méthodes d’authentification	Points d’accès Wi-Fi, VPN
Kerberos	Protocole open source (MIT) qui chiffre fortement les échanges d’identifiants, via un serveur tiers de confiance (le Key Distribution Center, KDC)	Environnements Microsoft Active Directory

Ces protocoles s’appuient sur des serveurs d’authentification — Active Directory (environnements Windows), les serveurs LDAP (annuaire hiérarchique centralisé) ou les serveurs RADIUS — qui stockent les identifiants dans une base centralisée et les comparent à chaque tentative d’accès.

Le talon d’Achille : les mots de passe

Le mot de passe reste la méthode d’authentification la plus répandue, mais son point faible n’est pas technique — c’est humain. On demande aux utilisateurs des mots de passe complexes, uniques par système, et renouvelés régulièrement. Confrontés à ces trois contraintes simultanément, la plupart des gens choisissent un seul mot de passe facile à retenir, réutilisé partout, rarement changé — ce qui annule justement les propriétés recherchées. Cela justifie deux évolutions complémentaires détaillées plus bas : le SSO (moins de mots de passe à retenir) et les clés d’accès FIDO (plus de mot de passe du tout).

2. Autorisation et modèles de contrôle d’accès

L’autorisation détermine ce qu’un utilisateur authentifié a le droit de faire. Les schémas de contrôle d’accès définissent ces règles ; en voici les cinq principaux.

Modèle	Principe	Terrain d’usage typique
RBAC (Role-Based)	Les permissions sont attribuées à un rôle (RH, comptabilité…), l’utilisateur hérite du rôle	Entreprises — gestion simple par fonction
ABAC (Attribute-Based)	La décision se fonde sur des attributs (utilisateur, ressource visée, action, contexte)	Environnements nécessitant des règles fines et contextuelles
RuBAC (Rule-Based)	Applique des règles ou listes de contrôle d’accès (ACL) à des objets précis	Exemple le plus courant : les règles de pare-feu
MAC (Mandatory)	Les règles sont imposées par un administrateur ; l’utilisateur ne peut ni les voir ni les modifier	Environnements gouvernementaux et militaires
DAC (Discretionary)	Le propriétaire d’un fichier/dossier distribue lui-même les droits d’accès	Ordinateurs personnels, systèmes de fichiers Linux/Windows

Exemple RBAC : un employé RH consulte les dossiers du personnel mais pas les données financières ; un comptable a l’inverse.

Les contrôles d’accès aux fichiers (un cas concret de DAC)

Linux et Windows contrôlent l’accès aux fichiers avec trois permissions élémentaires :

Permission	Effet	Linux
Lecture (Read)	Visualiser le contenu	`r`
Écriture (Write)	Modifier le contenu	`w`
Exécution (Execute)	Lancer le fichier comme un programme	`x`

Sous Windows, ces mêmes droits se gèrent via la boîte de dialogue des propriétés du fichier plutôt que par des lettres, mais le principe (déléguer, par propriétaire, qui peut lire/modifier/exécuter) reste celui du contrôle d’accès discrétionnaire.

3. Le Single Sign-On (SSO) : un mot de passe, pas cinquante

Le problème qu’il résout

Face à des dizaines de systèmes à mots de passe distincts, les utilisateurs adoptent des solutions peu sûres : un post-it par mot de passe collé à l’écran, un fichier Excel non protégé, ou — le plus fréquent — le même mot de passe partout. Dans ce dernier cas, la compromission d’un seul système compromet tous les autres : c’est un château de cartes.

Le principe

Plutôt que de se connecter directement à chaque système avec un mot de passe dédié, l’utilisateur se connecte une seule fois à un gestionnaire d’authentification unique, qui se charge ensuite de le reconnaître auprès de chaque système.

Sans SSO :  Utilisateur → mot de passe 1 → Système 1
            Utilisateur → mot de passe 2 → Système 2
            Utilisateur → mot de passe n → Système n

Avec SSO :  Utilisateur → mot de passe unique → Gestionnaire SSO → Système 1, 2, ... n

L’objection classique, et sa réponse

« N’est-ce pas dangereux de tout faire reposer sur un seul mot de passe ? » — c’est un point unique de défaillance, en effet. Mais comparez à la situation réelle sans SSO : la plupart des utilisateurs choisissent de toute façon le même mot de passe pour tout, par lassitude. La différence est là : avec un vrai mot de passe unique par système, celui qui perce l’un d’eux ne connaît pas les autres. Avec le SSO, un seul secret protège l’accès à tout — d’où l’intérêt de combiner systématiquement le SSO avec la MFA (voir plus haut) pour sécuriser cette porte d’entrée unique.

Les bénéfices, au-delà de la sécurité

Sécurité : un seul système compromis en cas de faille, pas une cascade.
Réduction des coûts : la réinitialisation de mot de passe oublié est historiquement le premier motif d’appel au support technique (jusqu’à 50 % des appels dans certaines organisations) — un seul mot de passe à retenir réduit mécaniquement ce volume.
Expérience utilisateur : plus besoin de post-it, de fichier Excel non sécurisé, ou de mot de passe unique réutilisé partout par praticité.

4. Les clés d’accès FIDO/Passkeys : au-delà du mot de passe

FIDO (Fast IDentity Online) est une norme ouverte, portée par une alliance de plus de 250 organisations (Google, Microsoft, PayPal…), qui vise à remplacer entièrement le mot de passe par une clé d’accès (passkey).

Le principe : le secret ne quitte jamais l’appareil

Avec un mot de passe classique, le secret transite sur Internet et est stocké côté serveur — chaque transit et chaque copie stockée agrandit la surface d’attaque. Avec FIDO, l’appareil conserve une clé privée localement (déverrouillée par biométrie), et seule une preuve cryptographique est échangée avec le service — jamais le secret lui-même.

Mot de passe :  Le secret voyage sur Internet ET existe en copie côté serveur.
Clé d'accès  :  Le secret reste sur l'appareil ; seule une preuve est envoyée.

Une clé d’accès n’est en outre valable qu’un temps limité, contrairement à un mot de passe qui reste utilisable indéfiniment jusqu’à son changement volontaire.

Les questions les plus fréquentes

Je perds mon appareil, je perds tout ? Non — les mécanismes de récupération de compte existent, comme pour un mot de passe oublié ; ce n’est pas un cas radicalement différent.
Puis-je me connecter depuis plusieurs appareils ? Oui, via une synchronisation sécurisée (chiffrée) entre vos appareils, si vous choisissez de l’activer — ce n’est jamais obligatoire.
Et sur un ordinateur public (chez un ami, dans un cybercafé) ? La recommandation reste négative, quelle que soit la méthode d’authentification : si vous ne contrôlez pas la sécurité de l’appareil, considérez tout ce que vous y saisissez comme potentiellement exposé.
FIDO remplace-t-il les gestionnaires de mots de passe ? Pas nécessairement en pratique — la plupart des bons gestionnaires de mots de passe prennent aujourd’hui en charge les clés d’accès en plus des mots de passe classiques : ce n’est pas l’un ou l’autre, mais un choix disponible dans le même outil. Quand le choix se présente, privilégiez la clé d’accès.

Comptabilité numérique (Accounting) et non-répudiation

Ces deux notions complètent le cadre IAM :

Concept	Rôle
Comptabilité (audit)	Tracer les actions des utilisateurs (journaux d’audit, cookies, historique) pour le dépannage, la détection d’anomalies et la conformité.
Non-répudiation	Garantir qu’une personne ne peut pas nier avoir effectué une action (vidéo, biométrie, signature numérique, accusé de réception numérique).

Synthèse

Concept	Rôle
Administration	Créer, mettre à jour, supprimer les comptes (le déprovisionnement compte autant que la création).
Authentification	Confirmer une identité — via des facteurs, des protocoles (RADIUS, Kerberos…) et, de plus en plus, des clés d’accès FIDO plutôt que des mots de passe.
Autorisation	Décider qui peut faire quoi, selon un modèle (RBAC, ABAC, RuBAC, MAC, DAC).
Audit	Vérifier après coup que tout ce qui précède a été appliqué correctement.
SSO	Un seul mot de passe fort plutôt que des dizaines de mots de passe faibles — à combiner avec la MFA.

Prochain chapitre

👉 Cours 7 : Durcissement des appareils (Hardening)

Junior TSAFACK – 06/09/2026