Bien que les mots de passe soient la forme d’authentification la plus courante, ils ne sont pas la seule option et ne sont pas toujours le meilleur choix. Par exemple, les mots de passe n\u00e9cessitent que chaque personne ait un mot de passe unique et fort pour chaque compte.<\/p>\n\n\n\n
L’authentification bas\u00e9e sur des jetons encode les donn\u00e9es d’authentification dans un jeton. Ce jeton peut \u00eatre envoy\u00e9 \u00e0 d’autres applications, qui lisent les donn\u00e9es d’authentification stock\u00e9es \u00e0 l’int\u00e9rieur et les utilisent pour d\u00e9terminer si un utilisateur est autoris\u00e9 \u00e0 acc\u00e9der \u00e0 un syst\u00e8me.<\/p>\n\n\n\n
Les syst\u00e8mes d’authentification bas\u00e9e sur des jetons d\u00e9composent le processus de gestion des identit\u00e9s et des acc\u00e8s (IAM)<\/a> en deux \u00e9tapes effectu\u00e9es par diff\u00e9rents syst\u00e8mes. L’authentification est effectu\u00e9e par un serveur d’authentification, tandis que l’autorisation est g\u00e9r\u00e9e par chaque application ou syst\u00e8me individuel. Ces syst\u00e8mes peuvent r\u00e9sider au sein de la m\u00eame organisation ou \u00eatre r\u00e9partis entre elles si le syst\u00e8me d’autorisation est configur\u00e9 pour faire confiance \u00e0 l’authentification de l’identit\u00e9 de l’utilisateur par l’autre syst\u00e8me. Se connecter \u00e0 des sites web via un compte de r\u00e9seau social est un exemple d’authentification inter-organisationnelle effectu\u00e9e \u00e0 l’aide de jetons.<\/p>\n\n\n\n Dans la premi\u00e8re \u00e9tape, l’utilisateur prouve son identit\u00e9 au serveur d’authentification via un mot de passe ou d’autres moyens. C’est le seul syst\u00e8me qui re\u00e7oit le mot de passe de l’utilisateur, ce qui offre divers avantages en mati\u00e8re de s\u00e9curit\u00e9 et d’utilisabilit\u00e9. Apr\u00e8s avoir authentifi\u00e9 l’utilisateur, le serveur d’authentification g\u00e9n\u00e8re un jeton contenant des informations sur son identit\u00e9. Ce jeton est ensuite inclus dans une demande \u00e0 une application \u00e0 laquelle l’utilisateur souhaite acc\u00e9der.<\/p>\n\n\n\n Lors de la r\u00e9ception de ce jeton et de la validation de son contenu, l’application peut \u00eatre confiante que l’utilisateur est bien celui qu’il pr\u00e9tend \u00eatre. Sur la base de ces informations, elle peut d\u00e9terminer si l’utilisateur est autoris\u00e9 \u00e0 faire cette demande et fournir\/refuser l’acc\u00e8s \u00e0 la ressource.<\/p>\n\n\n\n Quelques cas d’utilisation courants pour les jetons incluent :<\/p>\n\n\n\n La plupart des sch\u00e9mas d’authentification bas\u00e9s sur des jetons sont mis en \u0153uvre \u00e0 l’aide de JSON Web Tokens (JWT). Ces jetons contiennent trois champs principaux :<\/p>\n\n\n\n Apr\u00e8s avoir v\u00e9rifi\u00e9 l’identit\u00e9 d’un utilisateur, un serveur d’authentification g\u00e9n\u00e8re un JWT qui inclut les donn\u00e9es de l’utilisateur et une date d’expiration du jeton dans la charge utile. L’application recevant ces donn\u00e9es v\u00e9rifiera la signature, s’assurera que le jeton n’a pas expir\u00e9, puis utilisera les informations qu’il contient pour autoriser la demande.<\/p>\n\n\n\n Notez que bien que les JWT soient parmi les jetons les plus courants en usage, ils ne sont pas les seuls. Par exemple, le Security Assertion Markup Language (SAML) est une autre norme courante utilis\u00e9e pour mettre en \u0153uvre le SSO pour les applications d’entreprise.<\/p>\n\n\n\n Un JWT fournit un format d\u00e9fini pour les donn\u00e9es d’authentification, mais ce n’est qu’un format de donn\u00e9es. Les applications ont besoin d’un protocole commun pour comprendre comment cr\u00e9er, envoyer et utiliser ces jetons. Les deux algorithmes bas\u00e9s sur des jetons les plus courants sont OAuth2.0 et OpenID Connect (OIDC).<\/p>\n\n\n\n OAuth 2.0 est un protocole d’autorisation qui repose sur une authentification par jeton pour permettre l’autorisation sans partager les identifiants de l’utilisateur. L’objectif est qu’un utilisateur autorise une application (\u00ab Consommateur \u00bb) \u00e0 effectuer une action sur une autre (\u00ab Fournisseur de services \u00bb) sans fournir les identifiants de l’utilisateur pour que le \u00ab Fournisseur de services \u00bb puisse les utiliser avec le \u00ab Consommateur \u00bb.<\/p>\n\n\n\n Pour ce faire, le Consommateur redirigera l’utilisateur vers le Fournisseur de services, o\u00f9 il s’authentifiera en utilisant son mot de passe habituel pour ce service. Le Fournisseur de services v\u00e9rifie ensuite que l’utilisateur approuve la demande du Consommateur. Si c’est le cas, un jeton d’acc\u00e8s est g\u00e9n\u00e9r\u00e9 que le Consommateur peut utiliser pour acc\u00e9der au compte de l’utilisateur aupr\u00e8s du Fournisseur de services. Cela autorise la demande sans r\u00e9v\u00e9ler le mot de passe de l’utilisateur pour le Fournisseur de services.<\/p>\n\n\n\n OpenID Connect (OIDC) est un protocole d’authentification et d’autorisation construit sur OAuth 2.0. Il ajoute une couche d’identit\u00e9 pour authentifier les utilisateurs, qui stocke les informations d’identit\u00e9 dans des JWT et fournit les capacit\u00e9s d’authentification que OAuth 2.0 n’a pas.<\/p>\n\n\n\n Le cas d’utilisation principal de l’OIDC est de mettre en \u0153uvre le SSO, permettant l’acc\u00e8s \u00e0 plusieurs applications avec une seule demande d’authentification. Le protocole comprend un ensemble de revendications standard pour permettre des \u00e9changes coh\u00e9rents des donn\u00e9es d’identit\u00e9 et de profil des utilisateurs entre les applications.<\/p>\n\n\n\n L’authentification par jeton permet de communiquer de mani\u00e8re s\u00e9curis\u00e9e les informations d’authentification entre les applications, \u00e9liminant ainsi le besoin pour une application d’effectuer sa propre authentification des utilisateurs. Cela offre de nombreux avantages pour les utilisateurs et l’organisation.<\/p>\n\n\n\n Les sch\u00e9mas d’authentification par jeton sont la base du SSO, ce qui permet \u00e0 un utilisateur de s’authentifier une fois et d’acc\u00e9der \u00e0 de nombreuses applications. \u00c9liminer le besoin de se souvenir et de saisir plusieurs mots de passe am\u00e9liore l’efficacit\u00e9 op\u00e9rationnelle et l’exp\u00e9rience utilisateur.<\/p>\n\n\n\n L’authentification par jeton renforce la s\u00e9curit\u00e9 en \u00e9liminant le besoin pour chaque application d’accepter et de g\u00e9rer les mots de passe des utilisateurs. Souvent, les utilisateurs ont des mots de passe faibles ou r\u00e9utilis\u00e9s, et ces mots de passe n’expirent jamais. En utilisant des jetons, une application n’a pas besoin de stocker des informations d’authentification sensibles. De plus, les jetons expirent automatiquement, r\u00e9duisant le temps pendant lequel un attaquant peut abuser des identifiants compromis.<\/p>\n\n\n\n Les jetons \u00e9liminent le besoin pour les serveurs de stocker des informations sur la session existante d’un utilisateur. Cela permet \u00e0 un serveur de prendre en charge plus d’utilisateurs car ils consomment moins de ressources c\u00f4t\u00e9 serveur.<\/p>\n\n\n\n Les JWT et d’autres jetons peuvent transporter une gamme de donn\u00e9es d’identit\u00e9 au-del\u00e0 d’un simple nom d’utilisateur. De plus, les applications peuvent adapter l’autorisation \u00e0 un sc\u00e9nario sp\u00e9cifique, leur permettant de mieux appliquer le principe du moindre privil\u00e8ge (POLP)<\/a> et d’autres principes de confiance z\u00e9ro. Cette combinaison permet aux sch\u00e9mas d’authentification bas\u00e9s sur des jetons de mettre en \u0153uvre des politiques de gestion d’acc\u00e8s tr\u00e8s granulaires.<\/p>\n\n\n\n OAuth 2.0 est un exemple de protocole sp\u00e9cifique qui utilise des jetons d’acc\u00e8s pour mettre en \u0153uvre l’autorisation des utilisateurs. L’authentification bas\u00e9e sur des jetons est plus g\u00e9n\u00e9rale et couvre tout sch\u00e9ma qui utilise des jetons pour l’authentification des utilisateurs.<\/p>\n\n\n\n Une application utilisant l’authentification bas\u00e9e sur des mots de passe stocke les donn\u00e9es d’identification de l’utilisateur et demande \u00e0 un utilisateur de s’authentifier en fournissant son mot de passe pour cette application. Avec l’authentification bas\u00e9e sur des jetons, un serveur d’authentification accepte un mot de passe ou d’autres identifiants et g\u00e9n\u00e8re un jeton attestant de l’identit\u00e9 de l’utilisateur qui est envoy\u00e9 \u00e0 l’application qu’il souhaite acc\u00e9der.<\/p>\n\n\n\n L’authentification bas\u00e9e sur des jetons offre g\u00e9n\u00e9ralement une s\u00e9curit\u00e9 plus forte que l’authentification bas\u00e9e sur des mots de passe, mais elle comporte des risques. Par exemple, un jeton vol\u00e9 peut \u00eatre utilis\u00e9 pour s’authentifier en tant qu’utilisateur l\u00e9gitime, ou la cl\u00e9 priv\u00e9e utilis\u00e9e pour signer num\u00e9riquement les jetons pourrait \u00eatre vol\u00e9e et utilis\u00e9e pour falsifier de faux jetons d’acc\u00e8s.<\/p>\n\n\n\n L’authentification bas\u00e9e sur des jetons dissocie l’authentification et l’autorisation en faisant v\u00e9rifier l’identit\u00e9 d’un utilisateur par un serveur d’authentification, puis en envoyant un jeton attestant de son identit\u00e9 \u00e0 une application. Cette approche pr\u00e9sente divers avantages et constitue la base des protocoles SSO.<\/p>\n\n\n\n L’authentification bas\u00e9e sur des jetons est \u00e9galement centrale dans de nombreux syst\u00e8mes modernes de gestion des identit\u00e9s et des acc\u00e8s (IAM), tels que les capacit\u00e9s de Zero Trust Network Access (ZTNA)<\/a> de Cato SASE Cloud et l’application de gestion Cato (CMA).<\/p>\n\n\n\n\n
Que sont les JSON Web Tokens (JWT) et comment fonctionnent-ils ?<\/h2>\n\n\n\n
\n
Les diff\u00e9rents types d’authentification bas\u00e9e sur des jetons<\/h2>\n\n\n\n
OAuth 2.0<\/h3>\n\n\n\n
OpenID Connect (OIDC)<\/h3>\n\n\n\n
Les Avantages de l’Authentification par Jeton<\/h2>\n\n\n\n
Am\u00e9lioration de l’Exp\u00e9rience Utilisateur<\/h3>\n\n\n\n
S\u00e9curit\u00e9 Renforc\u00e9e<\/h3>\n\n\n\n
Meilleure \u00e9volutivit\u00e9 et efficacit\u00e9<\/h3>\n\n\n\n
Gestion d’acc\u00e8s granulaire<\/h3>\n\n\n\n
Questions fr\u00e9quentes<\/h2>\n\n\n\n
Quelle est la diff\u00e9rence entre OAuth 2.0 et l’authentification bas\u00e9e sur des jetons ?<\/h3>\n\n\n\n
Comment l’authentification bas\u00e9e sur des mots de passe est-elle diff\u00e9rente de l’authentification bas\u00e9e sur des jetons ?<\/h3>\n\n\n\n
Quels sont les inconv\u00e9nients de l’authentification bas\u00e9e sur des jetons ?<\/h3>\n\n\n\n
G\u00e9rer l’authentification bas\u00e9e sur des jetons avec la solution SASE de Cato.<\/h2>\n\n\n\n