L'authentification permet de prouver votre identité. L'utilisation d'un nom d'utilisateur et d'un mot de passe est la méthode classique, mais aussi la plus vulnérable. Les mots de passe sont réutilisés, victimes d'hameçonnage et peuvent être piratés. L'authentification multifacteurs ajoute un second facteur : un élément que vous possédez, comme un téléphone ou une clé physique, ou un élément qui vous est propre, comme une empreinte digitale. Avec l'authentification multifacteurs, un mot de passe volé ne suffit plus.

Les facteurs d'authentification se répartissent en trois catégories. La connaissance désigne ce que l'on sait, comme un mot de passe ou un code PIN. La possession désigne ce que l'on possède, comme un téléphone ou une carte à puce. L'inhérence désigne ce que l'on est, comme un visage ou une empreinte digitale. L'authentification forte combine au moins deux facteurs de catégories différentes. Un mot de passe associé à un code reçu par SMS est plus sûr qu'un mot de passe seul, mais les codes SMS peuvent être interceptés par échange de carte SIM. Les applications d'authentification et les clés de sécurité matérielles résistent à cette attaque. Les clés d'accès vont plus loin en remplaçant entièrement les mots de passe par des identifiants cryptographiques liés à un appareil. Leur adoption progresse, mais reste inégale. La plupart des violations de données commencent encore par un identifiant compromis. L'authentification multifacteur (MFA) bloque la grande majorité de ces tentatives.

Facteurs d'authentification

• Connaissances — mot de passe, code PIN, question de sécurité
• Objets en possession : téléphone, jeton matériel, carte à puce
• Inhérence — empreinte digitale, visage, voix
• Localisation et comportement — signaux basés sur le risque

L'authentification n'est pas une autorisation. Il faut d'abord prouver son identité. Les actions autorisées viennent ensuite.