Identités avec Confiance Zéro
D’un point de vue informatique, une identité peut être un utilisateur, un appareil ou une application. La première étape d’une approche de Confiance nulle réussie consiste à sécuriser ces identités.
Il est essentiel de savoir qui effectue une demande d’accès aux ressources de votre patrimoine numérique pour contrôler l’accès aux données sensibles. Lorsqu'un utilisateur ou un appareil a été authentifié, il reçoit une autorisation appropriée, qui lui donne accès aux ressources, aux actifs et aux données.
La sécurisation des identités avec une approche Confiance nulle, également appelée gestion des identités, applique le principe de vérification continue des utilisateurs. Avant d’autoriser l’accès, les organisations doivent valider l’identité de l’utilisateur et d’autres propriétés, telles que leur emplacement, l’intégrité de leur appareil, leur rôle dans l’organisation et le type de données auxquels elles tentent d’accéder. Pour atteindre cet état final, une stratégie de Confiance nulle s’appuie fortement sur des technologies automatisées et l’application des stratégies pour garantir la sécurité et offrir une expérience utilisateur optimale.
Une approche Confiance nulle se concentre sur l’authentification et l’autorisation de chaque connexion, appareil, utilisateur ou flux réseau.
Authentification et autorisation
Dans le cadre d’une stratégie de Confiance nulle, les utilisateurs, les applications et les appareils doivent être fortement authentifiés et évalués avant d’être autorisés à accéder à vos ressources.
- L’authentification est un processus qui oblige les utilisateurs à confirmer qu’ils sont bien ceux qu’ils prétendent être.
- L’autorisation est un processus automatisé dans lequel le système détermine le niveau d’accès accordé à chaque utilisateur.
Méthodes d’authentification
Il est important pour les organisations d’établir l’identité des utilisateurs, des appareils et des applications. Le processus d’authentification implique de déterminer l’identité initiale d’un utilisateur et de le lier à celle-ci à l’aide de différentes techniques. Voici quelques-unes des méthodes d’authentification courantes pratiquées par les organisations :
Mots de passe : l’utilisation de mots de passe est la forme d’authentification la plus simple basée sur quelque chose que l’utilisateur connaît, par exemple, une chaîne de lettres, de chiffres ou de caractères spéciaux. Il existe des limitations à ce type d’authentification, car les informations d’identification peuvent être volées ou devinées par des attaquants.
Authentification multifacteur (MFA) : cette technique nécessite plusieurs facteurs distincts pour prouver que l’utilisateur est bien celui qu’il prétend être. L’authentification multifacteur utilise généralement une ou plusieurs des méthodes suivantes :
- Quelque chose qu’un utilisateur connaît, par exemple un nom d’utilisateur ou un mot de passe.
- Quelque chose que l’utilisateur a, comme un jeton de sécurité.
- Quelque chose que l’utilisateur est, comme les empreintes digitales, de la rétine ou de la voix.
Un ou plusieurs de ces éléments peuvent être utilisés pour confirmer que la demande est authentique.
- Biométrie : cette technique utilise des caractéristiques biologiques, telles que les empreintes digitales, le visage, la voix ou la reconnaissance de la rétine pour vérifier l’identité d’un utilisateur. L'utilisation de la biométrie évite d'avoir à taper le mot de passe et réduit les risques de « piratage » par un attaquant.
- Sans mot de passe : cette authentification est la dernière technologie qui élimine l’utilisation de mots de passe. Elle combine la biométrie, l’authentification multifacteur et les applications mobiles pour supprimer la nécessité d’un mot de passe.
Différence entre l’authentification forte et l’authentification faible
L’authentification forte consiste à combiner au moins deux facteurs pour vérifier l’identité d’un utilisateur ou d’un appareil. Par exemple, l’authentification multifacteur combine au moins deux facteurs indépendants pour confirmer l’identité de l’utilisateur. Cette technique ajoute une couche de sécurité supplémentaire, car elle évalue l’identité d’un utilisateur en fonction de détails donnés, tels que son appareil ou son emplacement. En cas de compromission des informations d'identification, les utilisateurs non autorisés ne seront pas en mesure de satisfaire au deuxième ou troisième niveau d'authentification requis.
On parle d'authentification faible quand la force de la méthode utilisée est défectueuse et incertaine. Cela peut conduire à des scénarios dans lesquels les mots de passe peuvent être facilement craqués, ou les attaquants peuvent contourner sans effort l'authentification pour obtenir un accès.