Authentification et habilitations

Sommaire

1. Deux notions à ne pas confondre
2. Les facteurs d'authentification
3. Modèles de contrôle d'accès
4. Le principe du moindre privilège
5. Politique de mots de passe

Bloc B3.3 — s'assurer que seules les personnes autorisées accèdent aux ressources du SI, et qu'elles n'y font que ce pour quoi elles sont habilitées.

1. Deux notions à ne pas confondre

L'authentification vérifie que la personne qui tente de se connecter est bien celle qu'elle prétend être. Cas classique : saisie d'un identifiant (login) et d'un mot de passe.
L'habilitation (ou autorisation) gère les droits et privilèges accordés à cette personne une fois authentifiée.

On peut être parfaitement authentifié et n'avoir aucun droit sur une ressource : ce sont deux étapes distinctes, dans cet ordre. À cela s'ajoute l'identification (déclarer qui l'on est) qui précède les deux.

2. Les facteurs d'authentification

Facteur	Principe	Exemples
Ce que je sais	Connaissance	Mot de passe, code PIN, question secrète
Ce que je possède	Possession	Téléphone (TOTP), carte à puce, clé FIDO2 / YubiKey, clé SSH
Ce que je suis	Inhérence	Empreinte digitale, reconnaissance faciale

L'authentification multifacteur (MFA / 2FA) combine au moins deux facteurs de catégories différentes. Deux mots de passe ne constituent pas une 2FA.

3. Modèles de contrôle d'accès

Modèle	Fonctionnement	Avantages	Limites
DAC (Discretionary Access Control)	Le propriétaire de la ressource décide lui-même qui y accède.	Flexible, rapide à mettre en place pour de petits groupes.	Difficile à auditer ; propagation de droits non maîtrisée.
RBAC (Role-Based Access Control)	On définit des rôles (ensembles de privilèges) puis on affecte les utilisateurs à ces rôles.	Centralisé, maintenable à grande échelle, conforme aux normes.	Demande un design initial rigoureux ; évolution des rôles à suivre.
MAC (Mandatory Access Control)	Les droits découlent d'une politique centrale et de niveaux de sensibilité, non modifiables par l'utilisateur.	Très strict, adapté aux environnements sensibles (défense).	Rigide et lourd à administrer.
ABAC (Attribute-Based Access Control)	La décision dépend d'attributs contextuels (heure, localisation, poste, niveau de risque).	Très granulaire, adapté au Zero Trust.	Complexité des règles et de leur test.

En entreprise, la réponse attendue est presque toujours RBAC : on crée des groupes Active Directory correspondant aux fonctions (compta, RH, support) et on y place les comptes, plutôt que d'attribuer des droits utilisateur par utilisateur.

4. Le principe du moindre privilège

Chaque compte, service ou processus ne dispose que des droits strictement nécessaires à sa fonction, et rien de plus. Deux conséquences pratiques :

Approche whitelist : tout interdire par défaut, puis autoriser au cas par cas. L'inverse (blacklist) laisse forcément passer ce qu'on a oublié d'interdire.
Comptes de service dédiés : un compte de sauvegarde n'a besoin que de SELECT, LOCK TABLES et SHOW VIEW, pas de root. Si ce compte fuite, l'attaquant ne peut ni écrire ni supprimer.
Comptes d'administration séparés du compte quotidien, et jamais utilisés pour lire ses mails.

5. Politique de mots de passe

Paramètres typiques d'une stratégie de mot de passe (GPO Active Directory, Stratégies de compte > Stratégie de mot de passe) :

Longueur minimale : 12 caractères
Exigences de complexité : activées
Durée de vie maximale : 90 jours
Historique conservé : 32 mots de passe (empêche la réutilisation immédiate)
Verrouillage du compte après N tentatives échouées

Les recommandations récentes de l'ANSSI privilégient la longueur et l'ajout d'une MFA plutôt que l'expiration forcée, qui pousse les utilisateurs vers des variantes prévisibles (Motdepasse01!, Motdepasse02!…).