Qu’est-ce que l’authentification sans mot de passe ?
L’authentification sans mot de passe est une méthode d’authentification qui permet aux utilisateurs de se connecter à des systèmes informatiques sans entrer (ou se souvenir) d’un mot de passe ou de tout autre secret basé sur la connaissance.
Par exemple, lorsque vous déverrouillez votre smartphone en utilisant votre empreinte digitale ou la reconnaissance faciale, ou lorsque vous recevez un code à usage unique par SMS pour vous connecter à votre compte email - ce sont toutes des méthodes courantes d’authentification sans mot de passe que nous utilisons dans notre vie quotidienne.
Quels sont les types d’authentification sans mot de passe ?
Il existe plusieurs types courants d’authentification sans mot de passe que nous rencontrons dans notre vie quotidienne :
Authentification biométrique
L’authentification biométrique utilise nos caractéristiques physiques uniques pour la vérification d’identité, principalement par le biais de la numérisation des empreintes digitales, de la reconnaissance faciale et de la numérisation de l’iris. Nous les rencontrons dans des situations quotidiennes :
- Déverrouiller votre iPhone avec Face ID en achetant un café
- Se connecter à votre application bancaire avec votre empreinte digitale
- Accéder à des installations sécurisées en utilisant des scanners d’iris
Liens magiques
Les liens magiques sont des liens à usage unique spéciaux envoyés à votre email, offrant une expérience d’authentification transparente. Vous les trouverez dans de nombreux services populaires :
- Cliquer sur un lien “Se connecter” de Slack dans votre email
- L’option “Se connecter avec email” de Medium qui vous envoie un lien de connexion
- Le système d’authentification basé sur email de Notion
Consultez Lien magique pour plus de détails.
Codes à usage unique (OTP)
Les codes à usage unique, généralement envoyés par SMS ou email, représentent l’une des méthodes sans mot de passe les plus répandues :
- Recevoir un code à 6 chiffres pour vous connecter à votre compte Google
- Obtenir un code de vérification pour les transactions bancaires en ligne
- Utiliser une application d’authentification comme Google Authenticator
Consultez Mot de passe à usage unique (One-time password, OTP) pour plus de détails.
Passkeys
Les passkeys sont des alternatives sécurisées basées sur FIDO aux mots de passe traditionnels qui utilisent une cryptographie avancée pour protéger vos comptes contre les attaques de phishing. Voici comment elles fonctionnent :
- Unique par service : Lorsque vous vous inscrivez à un service, votre appareil crée une passkey unique liée au domaine spécifique de ce service
- Basé sur l’appareil : Les passkeys sont généralement stockées dans des modules de sécurité matériels, soit intégrés à vos appareils, soit sous forme de clés de sécurité séparées
- Paires de clés publiques-privées : L’appareil stocke en toute sécurité la clé privée tout en partageant la clé publique avec le service. Ces paires de clés cryptographiques sont ce que nous appelons des passkeys
- Sécurité matérielle : De nombreuses passkeys sont protégées par des modules de sécurité matériels dédiés, les rendant extrêmement difficiles à compromettre
- Synchronisation inter-appareils : Les passkeys peuvent être synchronisées en toute sécurité entre les appareils en utilisant le stockage cloud (par exemple, le trousseau iCloud d’Apple ou le gestionnaire de mots de passe de Google)
Scénarios d’utilisation courants :
- Utiliser une clé de sécurité USB pour accéder à votre ordinateur portable de travail
- Taper votre téléphone (comme une clé de sécurité) pour vous connecter à votre compte Google
- Connecter une clé de sécurité matérielle pour accéder à des systèmes hautement sécurisés
Consultez Passkey pour plus de détails.
Pourquoi utiliser l’authentification sans mot de passe ?
Pendant des décennies, les mots de passe ont été la méthode par défaut pour l’authentification. Même aujourd’hui, la plupart de nos comptes en ligne reposent encore sur des mots de passe. Cependant, cette approche traditionnelle fait face à des défis croissants, nous amenant à nous demander : pourquoi devrions-nous utiliser l’authentification sans mot de passe ?
Les mots de passe ne sont pas assez sécurisés
Lorsqu’une entreprise subit une violation de données, des millions de mots de passe peuvent être exposés en une seule fois. Les attaquants peuvent facilement exploiter ces mots de passe à l’aide d’outils automatisés, surtout puisque de nombreux utilisateurs réutilisent leurs mots de passe sur différents services. Par exemple, si un attaquant obtient le mot de passe d’un utilisateur à partir d’un site de jeux compromis, il pourrait accéder aux comptes email ou bancaires de cette personne en utilisant les mêmes identifiants.
Consultez ce blog pour apprendre Comment vos mots de passe sont-ils piratés ? .
Les mots de passe sont difficiles à utiliser et à gérer
Pensez à la gestion de vos comptes en ligne : vous avez des dizaines de comptes sur différents sites web et services, chacun avec ses propres exigences de mot de passe. Même si vous essayez d’utiliser un mot de passe cohérent, différentes politiques de mot de passe vous obligent à ajouter des caractères spéciaux, des chiffres ou à faire d’autres variations. Un site web exige au moins un caractère spécial, un autre n’autorise pas certains symboles, et un troisième exige un minimum de 12 caractères.
Lorsque vous essayez de vous connecter, vous ne vous souvenez pas quelle variation vous avez utilisée pour ce site particulier. Était-ce celui avec le point d’exclamation à la fin ? Ou celui avec le symbole ”@” ? Après plusieurs tentatives infructueuses, vous êtes bloqué et devez passer par un autre processus de réinitialisation de mot de passe chronophage.
Ce scénario frustrant se joue des millions de fois chaque jour dans les organisations, entraînant des réinitialisations de mot de passe constantes, du temps perdu et une productivité réduite.
L’authentification sans mot de passe est plus sécurisée que les mots de passe
Imaginez plutôt utiliser votre empreinte digitale ou la reconnaissance faciale pour accéder à toutes vos applications de travail. Puisque ces facteurs biométriques ne peuvent pas être volés ou devinés comme les mots de passe, même si un attaquant viole la base de données de l’entreprise, il ne peut pas utiliser ces informations pour usurper l’identité des utilisateurs. De plus, les méthodes sans mot de passe comme les clés de sécurité offrent une protection contre les attaques de phishing, car elles vérifient à la fois l’utilisateur et l’authenticité du site web.
L’authentification sans mot de passe est conviviale
Avec l’authentification sans mot de passe, accéder à vos comptes devient aussi simple que de déverrouiller votre smartphone.
Par exemple, lorsque vous recevez une notification push sur votre téléphone pour approuver une tentative de connexion, vous pouvez vous authentifier d’un simple tapotement ou d’un rapide coup d’œil à votre appareil. Cette expérience transparente élimine le fardeau cognitif de se souvenir de plusieurs mots de passe tout en maintenant des normes de sécurité élevées.
Comment fonctionne l’authentification sans mot de passe ?
L’authentification repose généralement sur trois types de facteurs :
- Quelque chose que l’utilisateur connaît : comme les mots de passe ou les codes PIN
- Quelque chose que l’utilisateur possède : comme des appareils physiques ou des jetons
- Quelque chose que l’utilisateur est : comme des traits biométriques.
L’authentification sans mot de passe s’éloigne de l’approche traditionnelle “quelque chose que vous connaissez”, en se concentrant plutôt sur les deux autres facteurs.
Lors de l’utilisation de “quelque chose que vous possédez”, le processus d’authentification commence généralement par votre adresse email ou votre numéro de téléphone. Imaginez que vous vous connectez à votre compte bancaire - au lieu de taper un mot de passe, vous pourriez recevoir un code à usage unique par SMS ou email. Ou peut-être avez-vous configuré une application d’authentification sur votre téléphone qui génère automatiquement ces codes. Certains services envoient même des notifications push à votre téléphone, vous permettant de simplement taper “Approuver” pour vous connecter. Pour des besoins de sécurité plus élevés, vous pourriez utiliser une clé de sécurité physique qui se branche sur votre appareil, similaire à l’insertion d’une clé numérique.
L’approche “quelque chose que vous êtes” est encore plus simple et vous est probablement déjà familière. Lorsque vous déverrouillez votre smartphone avec votre empreinte digitale ou en regardant l’écran pour la reconnaissance faciale, vous utilisez l’authentification biométrique. Certains systèmes utilisent également la reconnaissance vocale, où prononcer une phrase spécifique peut vérifier votre identité. Ces facteurs biométriques vous sont uniques et sont traités en toute sécurité sur votre appareil.
Quelle est la différence entre l’authentification sans mot de passe et l’authentification multi-facteurs (MFA) ?
L’authentification sans mot de passe et Authentification multi-facteurs (Multi-factor authentication, MFA) sont parfois mentionnées dans des contextes similaires. Par conséquent, il est nécessaire de définir ces deux termes séparément et de comprendre la différence entre eux :
- L’authentification sans mot de passe remplace l’authentification basée sur un mot de passe par d’autres facteurs.
- La MFA fait référence à l’utilisation de deux facteurs d’authentification ou plus pour vérifier l’identité d’un utilisateur.
Les “facteurs” sont sérieusement les trois différents types d’informations d’autorisation que nous avons mentionnés plus tôt. Par exemple, si un utilisateur utilise uniquement une adresse email + OTP lors de l’authentification, il s’agit d’un facteur associé à “quelque chose que l’utilisateur possède”, et nous pouvons considérer que l’authentification de l’utilisateur est sans mot de passe.
Les implémentations courantes de MFA incluent l’utilisation d’un deuxième facteur d’authentification (sans mot de passe) pour renforcer un mot de passe, mais la MFA peut également être complètement sans mot de passe. Par exemple, une application pourrait utiliser une empreinte digitale comme premier facteur d’authentification et une adresse email + OTP comme deuxième facteur d’authentification.
Quelle est la différence entre l’authentification sans mot de passe et le SSO ?
Authentification unique (Single sign-on, SSO) (SSO) et l’authentification sans mot de passe sont deux concepts distincts dans la gestion des identités :
- Le SSO concerne la centralisation de l’authentification des utilisateurs, permettant aux utilisateurs d’accéder à plusieurs applications avec une seule connexion
- L’authentification sans mot de passe se concentre sur la manière dont les utilisateurs prouvent leur identité sans utiliser de mots de passe
Bien qu’ils servent des objectifs différents, ils peuvent fonctionner ensemble.
Par exemple, un système SSO peut utiliser des méthodes sans mot de passe (comme la biométrie ou les clés de sécurité) pour l’authentification. Cette combinaison offre à la fois la commodité du single sign-on et les avantages de sécurité de l’authentification sans mot de passe.