En sécurité des systèmes d'information, une authentification forte est une procédure d'identification qui requiert concaténation d'au moins deux éléments ou « facteurs » d'authentification.
Seule la combinaison de ces éléments ou facteurs inviolables et non subtilisables peut assurer une réelle solidité pour une authentification. On considère que ces éléments peuvent être :
Dans la majorité des cas, l'entité est une personne physique - individu - personne morale, mais elle peut être un objet comme par exemple une application web utilisant le protocole SSL, un serveur SSH, un objet de luxe, une marchandise, un animal, etc.
On peut considérer que l'authentification forte est une des fondations essentielles pour garantir :
Cette approche est toutefois remise en cause par la DCSSI dans son référentiel sur l'authentification distante.
On dénombre actuellement trois familles :
Cette technologie permet de s'authentifier avec un mot de passe à usage unique. Elles est basée sur l'utilisation d'un secret partagé (cryptographie symétrique). Il n'est donc pas possible de garantir une véritable non-répudiation avec cette technologie.
Cette technologie est basée sur l'utilisation de la cryptographie asymétrique et l'utilisation d'un challenge. Il est possible de garantir la non-répudiation car uniquement l'identité possède la clé privée.
Cette technologie est basée sur la reconnaissance d'une caractéristique ou d'un comportement unique.
Le mot de passe est actuellement le système le plus couramment utilisé pour identifier un utilisateur. Il n’offre plus le niveau de sécurité requis pour assurer la protection de biens informatiques sensibles. Sa principale faiblesse réside dans la facilité avec laquelle il peut être trouvé, grâce à différentes techniques d’attaque. On recense plusieurs catégories d’attaques informatiques pour obtenir un mot de passe :
L'attaque par force brute n'est pas vraiment une méthode de cassage puisque le principe est applicable à toutes les méthodes. Elle est toutefois intéressante car elle permet de définir le temps maximum que doit prendre une attaque sur une méthode cryptographique. Le but de la cryptographie est de rendre impraticable l'usage de la force brute en augmentant les délais de résistance à cette méthode. En théorie, il suffit que le délai de résistance soit supérieur à la la durée de vie utile de l'information à protéger. Cette durée varie selon l'importance de l'information à protéger.