Facteurs d'authentification et jetons

Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 11 minutes

---

Authentifier, c’est vérifier que l’utilisateur qui prétend être une identité donnée en est réellement le propriétaire légitime. Cette vérification repose sur trois familles de facteurs, et leur combinaison — jamais un seul facteur isolé — constitue la base de toute authentification robuste.

Les trois facteurs classiques

Facteur	Principe	Exemple
Quelque chose que vous savez	Connaissance secrète	Mot de passe, code PIN
Quelque chose que vous possédez	Objet physique	Jeton, carte à puce
Quelque chose que vous êtes	Caractéristique mesurable	Empreinte digitale, iris

Un facteur émergent, parfois qualifié de « où vous êtes maintenant », s’appuie sur la localisation physique et réseau de l’utilisateur pour vérifier sa compatibilité avec les normes établies pour cette identité — par exemple, refuser une connexion provenant d’un pays inhabituel pour ce compte à cette heure-ci. C’est une étape vers des solutions plus avancées d’analyse comportementale des utilisateurs et des entités.

Pourquoi l’authentification à facteur unique ne suffit plus

L’authentification basée sur la connaissance seule (mots de passe) est utilisée depuis des millénaires, mais elle souffre de faiblesses structurelles :

• vulnérable au shoulder-surfing (regarder par-dessus l’épaule) et au reniflage réseau ;
• exploitable par ingénierie sociale — un attaquant peut déduire un mot de passe probable à partir d’informations glanées sur les réseaux sociaux ;
• exposée aux attaques par rejeu si le mot de passe reste valide plusieurs semaines ;
• sensible aux attaques par force brute, dictionnaire et rainbow table ;
• complexifiée par la réinitialisation : le vrai défi n’est pas de réinitialiser un mot de passe, mais de s’assurer qu’on le fait pour le bon utilisateur et non pour un usurpateur qui prétend avoir tout perdu.

Dès octobre 2005, le régulateur bancaire américain (FFIEC) recommandait aux banques de remplacer l’authentification à facteur unique par du MFA, jugeant les mots de passe seuls insuffisants sur Internet. La bonne pratique actuelle consiste à combiner au moins deux des trois techniques : connaissance, possession, caractéristique.

Les jetons : types et fonctionnement

Un jeton est un dispositif physique utilisé avec ou à la place d’un mot de passe. La plupart génèrent un mot de passe à usage unique (OTP), inutilisable en cas de rejeu.

Jetons synchrones (basés sur le temps)

Les systèmes TOTP (Time-based One-Time Password, RFC 6238, 2011) génèrent un nouveau mot de passe toutes les 30 secondes, en s’appuyant sur des fonctions de hachage HMAC et une synchronisation d’horloge entre l’hôte et le jeton. Un intervalle court oblige l’attaquant à hameçonner la valeur en quasi temps réel, rendant l’attaque difficile même si la base d’authentification est compromise.

Jetons asynchrones (basés sur un événement)

Un jeton événementiel (type SafeWord) génère un nouveau mot de passe à chaque pression d’un bouton, suivant un numéro de séquence synchronisé entre le jeton et le serveur. Le processus type en cinq étapes :

1. Le serveur présente un défi au sujet.
2. Le sujet saisit le défi dans le jeton.
3. Le jeton calcule mathématiquement une réponse.
4. Le sujet saisit la réponse et son code PIN.
5. Le serveur vérifie la réponse et le PIN, puis accorde ou refuse l’accès.

L’ajout d’un PIN atténue le risque qu’un jeton volé ou perdu soit utilisé seul par une personne non autorisée.

Connecté, déconnecté, sans contact

Type	Fonctionnement
Connecté	Relié physiquement à l’ordinateur (USB, FireWire) ; transmet l’authentification à l’insertion.
Déconnecté	Aucune connexion requise ; affiche une valeur que l’utilisateur saisit manuellement.
Sans contact	Transmet via RFID/NFC ; plus pratique, mais exposé à l’espionnage ou au clonage.

Cartes à puce et cartes à mémoire

Les jetons de carte à puce contiennent mémoire, unité de traitement et sécurité anti-sabotage — puces de carte bancaire, cartes SIM, badges d’accès. Les lecteurs peuvent exiger un contact (atterrissage, norme ISO 7816, ou friction pour les transactions commerçantes) ou être sans contact (RFID, avec un chiffrement défi/réponse pour limiter le card skimming). Une carte à mémoire se distingue par l’absence de capacité de traitement embarquée — elle a largement été remplacée par la carte à puce dans la plupart des applications.

RFID : au-delà de l’authentification

La RFID transfère des données sans contact entre une étiquette et un lecteur, passive (alimentée par le lecteur) ou active (alimentée par pile). Au-delà de l’authentification, elle sert au suivi d’inventaire, à la prévention des pertes et à la lutte contre la contrefaçon — les passeports modernes en intègrent presque tous. Deux problèmes techniques récurrents : la collision de lecteurs (signaux qui se chevauchent) et la collision d’étiquettes (plusieurs étiquettes répondant simultanément), atténuées par des protocoles anticollision qui font répondre les étiquettes une par une.

---

Synthèse

• Les trois facteurs d’authentification (connaissance, possession, caractéristique) se combinent — un facteur unique est aujourd’hui jugé insuffisant par les régulateurs eux-mêmes.
• Les jetons synchrones (TOTP) et asynchrones (événementiels) répondent au même besoin — un mot de passe à usage unique — par des mécanismes différents.
• Les cartes à puce et la RFID élargissent l’authentification physique bien au-delà du simple mot de passe, avec leurs propres compromis (contact vs sans contact, clonage, collisions).

---

Prochain chapitre

Biométrie et normes de sécurité

---

Junior TSAFACK – 09/10/2026