Authentification forte : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
L'authentification forte, ou authentification multifacteur, est une méthode de connexion qui exige au moins deux éléments de nature différente, par exemple un mot de passe et un code reçu sur un téléphone, pour vérifier l'identité d'un utilisateur.
Ce qu'il faut comprendre
Les facteurs combinés appartiennent à des catégories distinctes : ce que l'on sait (mot de passe, code), ce que l'on possède (téléphone, clé de sécurité, carte) et ce que l'on est (empreinte digitale, reconnaissance faciale). Deux mots de passe successifs ne constituent pas une authentification forte, car ils relèvent du même facteur.
Elle protège contre le vol de mots de passe, cause fréquente d'intrusion : même si un mot de passe est dérobé par hameçonnage, l'attaquant ne peut pas se connecter sans le second facteur. La CNIL la recommande pour les accès à distance, les messageries, les comptes administrateurs et les applications contenant des données sensibles.
Le RGPD ne l'impose pas en toutes lettres, mais il exige une sécurité adaptée au risque. Dans certains cas, comme l'accès à des données de santé, elle devient en pratique la norme attendue. Attention : l'usage d'un facteur biométrique implique de traiter une donnée biométrique, soumise à un régime renforcé.
Exemple concret
Une association d'aide à domicile permet à ses coordinatrices de consulter les plannings et les adresses des bénéficiaires depuis chez elles. Après une tentative d'hameçonnage, elle active l'authentification forte sur la messagerie et sur le logiciel de planification : chaque connexion depuis un nouvel appareil exige le mot de passe et un code généré sur le téléphone professionnel.
Textes de référence
- RGPD, art. 32
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
