Méthodes d'authentification complémentaires

Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 8 minutes

Au-delà des facteurs classiques, plusieurs techniques répondent à des angles morts précis de l’authentification : une session laissée sans surveillance, un utilisateur dont le comportement change en cours de connexion, ou un site web qui n’est peut-être pas celui qu’il prétend être.

Authentification périodique

Plutôt que de s’authentifier une seule fois, l’utilisateur doit se réauthentifier à intervalles réguliers pendant une session active. Le protocole CHAP (Challenge-Handshake Authentication Protocol) illustre bien le principe : le serveur émet un nouveau défi à des moments aléatoires et valide la réponse, ce qui empêche un attaquant de détourner une session déjà ouverte (session hijacking) ou de rejouer des identifiants capturés plus tôt.

Authentification continue

Contrairement à l’authentification ponctuelle (dite transactionnelle), qui n’a lieu qu’une fois avant l’accès, l’authentification continue se poursuit tout au long de la connexion. Le principe de départ : la sécurité s’affaiblit mécaniquement à mesure qu’une session reste ouverte. Des technologies d’analyse comportementale — temps de séjour d’une touche enfoncée, vitesse de passage d’une touche à l’autre — permettent de prédire en continu si l’utilisateur actuel est bien celui qui s’est authentifié au départ.

Authentification inversée

Avec la généralisation du phishing, authentifier l’utilisateur ne suffit plus : il faut aussi authentifier le site auprès de l’utilisateur. Le système PassMark, par exemple, s’appuie sur des images choisies par l’utilisateur à l’inscription : si l’image attendue n’apparaît pas au moment de la connexion, l’utilisateur sait qu’il n’est probablement pas sur le bon site. L’approche a d’abord suscité du scepticisme (jugée trop simpliste), avant d’être progressivement mieux acceptée.

Authentification basée sur certificats

Un certificat numérique est installé sur la machine utilisée pour l’authentification, et combiné au mot de passe chiffré de l’utilisateur pour authentifier à la fois la personne et l’appareil qu’elle utilise. L’autorité de certification doit gérer ces certificats avec une grande rigueur : renouvellement et révocation doivent être effectués en temps utile, sous peine de laisser un appareil compromis ou un employé parti continuer à s’authentifier valablement.

Délais d’expiration (timeouts)

Si l’utilisateur laisse un dispositif authentifié sans surveillance au-delà d’une durée donnée, il est automatiquement déconnecté et doit recommencer le processus d’authentification. Plus le délai est court, plus la sécurité est élevée — au prix d’une gêne accrue pour l’utilisateur légitime. C’est un arbitrage explicite à faire, pas un réglage universel.

FAR et FRR : des erreurs qui dépassent la biométrie

Les erreurs de type I (faux rejet) et de type II (fausse acceptation), déjà vues pour la biométrie, concernent en réalité toute technologie, processus ou procédure d’authentification — pas seulement les capteurs biométriques. Bruit, dégradation de capteur, mauvais étalonnage ou mauvaise utilisation produisent de fausses lectures quelle que soit la méthode. Ces deux types d’erreurs affectent l’organisation de façon radicalement différente :

un faux rejet empêche l’exécution de tâches métier légitimes et nécessaires — retarder le travail d’utilisateurs autorisés pour corriger l’erreur a un coût réel ;
une fausse acceptation laisse entrer un intrus — au mieux inoffensif, au pire une action hostile dans le cadre d’une menace persistante avancée (APT).

Synthèse

L’authentification périodique et continue traitent le même risque — une session compromise après coup — par des mécanismes différents (réauthentification déclenchée vs analyse comportementale permanente).
L’authentification inversée répond à un besoin inverse du classique : prouver au client qu’il est bien sur le site légitime, pas l’inverse.
Les erreurs de type I (faux rejet) et de type II (fausse acceptation) s’appliquent à toute technologie d’authentification, pas uniquement à la biométrie — et leurs conséquences organisationnelles sont très différentes.

Prochain chapitre

Authentification des appareils

Junior TSAFACK – 09/10/2026