REPUBLIQUE DU CAMEROUN REPUBLIC OF CAMEROUN

PAIX – TRAVAIL - PATRIE PEACE – WORK - FATHERLAND

Université de Douala University Of Douala
Faculté des sciences Faculty Of Science
Tel : 6 58 32 68 77/ 6 53 33 34 59

Theme :

ÉTUDE COMPARATIVE
DES METHODES
D'AUTHENTIFICATION
RESEAU

Groupe 3

2024 / 2025
 Sommaire
Sommaire..................................................................................................................................2
I. Introduction.......................................................................................................................3
II. Quel est l’intérêt de l’authentification ?.........................................................................3
III. Méthodes d’authentification.......................................................................................3
IV. Authentification basée sur les mots de passe.............................................................3
1. Authentification basée sur les certificats....................................................................4
2. Authentification biométrique......................................................................................5
3. Authentification par jeton...........................................................................................6
4. Authentification multifacteur.....................................................................................6
5. Authentification à 2 facteurs.......................................................................................7
V. Comparaison des méthodes d'authentification..............................................................7
VI. Meilleures pratiques pour la sécurité de l’authentification.....................................9
6. Implémenter l’authentification multifacteur.............................................................9
7. Recourir à l’authentification sans mot de passe........................................................9
8. Activer l’authentification multifacteur basée sur le risque......................................9
9. Donner la priorité à la facilité d’utilisation.............................................................10
10. Utiliser le principe des privilèges minimum........................................................10
11. Supposer une violation de sécurité et effectuer des audits réguliers.................10
VII. Implémentation de l'authentification par mot de passe.........................................10
12. Environnement de Travail....................................................................................10
13. Mise en place et Démarrage et activation du service SSH.................................10
14. Vérification du statut du service SSH..................................................................11
15. Création et authentification de l'utilisateur de test.............................................11
16. Capture du trafic réseau avec Wireshark............................................................12
Simulation de l'attaque par credential stuffing...............................................................12
Sources :..................................................................................................................................13
 I. Introduction
L’authentification est le processus utilisé par les entreprises pour vérifier que seuls les utilisateurs,
services et applications appropriés et dotés des autorisations adéquates peuvent accéder aux
ressources de l’organisation. Il s’agit d’un volet important de la cybersécurité, car la priorité des
acteurs malveillants est d’accéder sans autorisation aux systèmes. Le processus d’authentification
inclut trois étapes majeures :
 Identification : les utilisateurs s’identifient en général à l’aide d’un nom d’utilisateur.

 Authentification : habituellement, les utilisateurs prouvent qu’ils sont bien ceux qu’ils
prétendent être en entrant un mot de passe (Ce que vous savez). Toutefois, pour renforcer la
sécurité, de nombreuses organisations leur demandent également de confirmer leur identité à
l’aide de quelque chose qui leur appartient (ce que vous possédez) ou de quelque chose qu’ils
sont (ce que vous êtes).

 Autorisation : le système vérifie que les utilisateurs sont autorisés à accéder au système
auquel ils cherchent à accéder.

II. Quel est l’intérêt de l’authentification ?

L’authentification tire son importance du fait qu’elle permet aux organisations de protéger leurs
systèmes, données, réseaux, sites web et applications contre les accès non authorisés. Elle aide par
ailleurs les individus à préserver la confidentialité de leurs données personnelles, en leur permettant
de mener leurs activités (opérations bancaires ou investissements...) en ligne avec un risque plus faible
de compromission.

III. Méthodes d’authentification

Dans le cadre de l’authentification moderne, le processus d’authentification est délégué à un système
d’identité distinct fiable, contrairement à l’authentification traditionnelle où chaque système vérifie
les identités lui-même. Le type des méthodes d’authentification utilisées a également changé. La
plupart des applications requièrent un nom d’utilisateur et un mot de passe. Mais alors que les acteurs
malveillants sont devenus plus habiles pour dérober les mots de passe, la communauté de la sécurité a
développé plusieurs nouvelles méthodes pour protéger les identités.

IV. Authentification basée sur les mots de passe

L’authentification basée sur les mots de passe est la forme d’authentification la plus courante. Bon
nombre d’applications et services exigent des utilisateurs qu’ils créent des mots de passe combinant
des chiffres, des lettres et des symboles pour réduire le risque qu’un acteur malveillant les devine.
Toutefois, les mots de passe présentent aussi des défis pour la sécurité et la convivialité. Comme il est
difficile pour les personnes de trouver et mémoriser un mot de passe unique pour chacun de leurs
comptes en ligne, elles ont tendance à réutiliser leurs mots de passe existants. Les attaquants utilisent
des techniques variées pour deviner ou dérober des mots de passe ou persuader les personnes de les
communiquer contre leur gré. Voilà pourquoi les organisations abandonnent les mots de passe pour
adopter d’autres formes d’authentification plus sécurisées.

 Avantages :
 Simplicité : Facile à implémenter et à comprendre pour les utilisateurs.
 Coût faible : Aucun matériel ou infrastructure complexe requis.
 Compatibilité universelle : Utilisé par presque tous les systèmes et applications.
 Inconvénients :
 Mémorisation difficile : Les utilisateurs doivent se souvenir de multiples mots de passe
complexes.
 Réutilisation : Les utilisateurs réutilisent souvent les mêmes mots de passe sur plusieurs
comptes.
 Vulnérabilité aux attaques : Sensible à une variété d'attaques si le mot de passe est faible ou
mal géré.

 Risques :
 Mots de passe faibles ou prévisibles (ex. : "123456", "password").
 Réutilisation des mots de passe sur plusieurs plateformes, augmentant l'impact d'une fuite.
 Stockage inadéquat par les entreprises (ex. : mots de passe non chiffrés).
 Accès direct aux informations / système protégé une fois que le mot de passe est obtenu

 Types d'attaques contre les mots de passe :

 Phishing : Les attaquants trompent les utilisateurs pour qu'ils révèlent leurs mots de passe.
 Attaques par force brute : Essais automatisés de combinaisons de mots de passe.
 Attaques par dictionnaire : Utilisation de listes de mots de passe courants.
 Keylogging : Logiciels malveillants enregistrant les frappes au clavier.
 Credential stuffing : Utilisation de combinaisons identifiant/mot de passe volées sur d'autres
plateformes.

1. Authentification basée sur les certificats

L’authentification basée sur les certificats est une méthode chiffrée qui permet aux appareils et aux
personnes de s’identifier auprès d’autres appareils et systèmes. L’utilisation d’une carte à puce ou
l’envoi par l’appareil d’un employé d’un certificat numérique à un réseau ou serveur sont deux
exemples courants.

 Avantages :
 Sécurité élevée : Utilise la cryptographie (clés publiques/privées) pour une authentification
robuste.
 Difficile à falsifier : Les certificats sont liés à des appareils ou des identités spécifiques.
 Automatisation : Convient aux authentifications machine-à-machine.

 Inconvénients :
 Complexité : Nécessite une infrastructure de gestion des certificats (PKI).
 Coût : Mise en place et maintenance coûteuses (cartes à puce, serveurs de certificats).
 Dépendance matérielle : Perte ou vol d’un appareil peut empêcher l’accès.

 Risques :
 Vol ou compromission de la clé privée.
 Mauvaise gestion des certificats (ex. : certificats expirés ou révoqués non mis à jour).
 Attaques contre l'autorité de certification (CA).
 Types d'attaques :
 Man-in-the-Middle (MitM) : Interception des communications pour voler ou falsifier des
certificats.
 Attaques contre l’autorité de certification : Compromission pour émettre de faux
certificats.
 Vol de clé privée : Extraction de la clé privée d’un appareil compromis.
 Exploitation de certificats expirés : Utilisation de certificats non révoqués correctement.

2. Authentification biométrique
Dans le cadre de l’authentification biométrique, les utilisateurs vérifient leur identité à l’aide de
caractéristiques biologiques. Par exemple, de nombreuses personnes utilisent l’empreinte de leur
pouce ou index pour se connecter sur leur téléphones, et certains ordinateurs scannent le visage ou la
rétine d’une personne pour vérifier son identité. Les données biométriques sont également liées à un
appareil spécifique, de telle sorte que les attaquant ne peuvent pas les utiliser sans accéder à
l’appareil. Ce type d’authentification gagne en popularité car il est facile à utiliser pour les personnes
(elles n’ont rien à mémoriser) et difficile à dérober pour les acteurs malveillants, ce qui en fait une
méthode plus sûre que les mots de passe.

 Avantages :
 Convivialité : Pas besoin de mémoriser quoi que ce soit.
 Sécurité élevée : Difficile de reproduire des caractéristiques biologiques uniques.
 Liaison à l’appareil : Les données biométriques sont souvent stockées localement, réduisant
les risques à distance.

 Inconvénients :
 Coût : Nécessite du matériel spécifique (scanners d’empreintes, caméras faciales).
 Non révocable : Contrairement à un mot de passe, une empreinte ou un visage ne peut pas
être changé.
 Problèmes de confidentialité : Les utilisateurs peuvent craindre la collecte de données
biométriques.

 Risques :
 Stockage non sécurisé des données biométriques (ex. : bases de données piratées).
 Faux positifs ou négatifs (ex. : échec de reconnaissance faciale dans de mauvaises
conditions).
 Vol des données biométriques, qui sont irrévocables.

 Types d'attaques :
 Spoofing biométrique : Utilisation de fausses empreintes ou masques faciaux pour tromper
le système.
 Attaques de rejeu : Réutilisation de données biométriques interceptées.
 Piratage de la base de données : Vol des modèles biométriques stockés.
 Attaques par présentation : Présentation d’images ou de vidéos pour tromper les capteurs.
 3. Authentification par jeton
Dans le cadre de l’authentification par jeton, un appareil et le système génèrent un nouveau code
unique appelé mot de passe à usage unique basé sur le temps toutes les 30 secondes. Si le code
correspond, le système vérifie que l’utilisateur dispose de l’appareil.

 Avantages :
 Sécurité accrue : Les codes changent régulièrement (toutes les 30 secondes), rendant leur
réutilisation difficile.
 Indépendance du réseau : Fonctionne hors ligne pour certains jetons matériels.
 Facile à utiliser : Les utilisateurs n’ont qu’à entrer un code.

 Inconvénients :
 Dépendance matérielle : Perte ou vol du jeton peut bloquer l’accès.
 Coût : Les jetons matériels peuvent être coûteux à déployer.
 Synchronisation : Problèmes si le jeton et le serveur ne sont pas synchronisés.

 Risques :
 Vol du jeton physique.
 Attaques en temps réel si le code est intercepté.
 Dépendance à un appareil ou une application spécifique.

 Types d'attaques :
 Phishing en temps réel : Les attaquants interceptent le code pendant la fenêtre de validité.
 Vol physique : Vol du jeton matériel pour générer des codes.
 Attaques par ingénierie sociale : Tromper l’utilisateur pour qu’il partage le code.
 Compromission de l’application : Piratage de l’application de jeton sur un smartphone.

4. Authentification multifacteur
L’un des meilleurs moyens pour réduire la compromission des comptes consiste à exiger le recours à
plusieurs méthodes d’authentification, lesquelles peuvent inclure une des méthodes précédemment
répertoriées. Une meilleure pratique efficace consiste à exiger deux des éléments suivants :
 Quelque chose que l’utilisateur connaît, généralement un mot de passe.

 Quelque chose qu’il a, par exemple un appareil fiable difficile à dupliquer tel qu’un téléphone
ou une clé matérielle.

 Quelque chose que l’utilisateur est, par exemple une empreinte digitale ou le scan d’un
visage.

Ainsi, de nombreuses organisations demandent la saisie d’un mot de passe (quelque chose que
l’utilisateur connaît) mais envoient aussi un mot de passe à usage unique via SMS à un appareil fiable
(quelque chose que l’utilisateur a) avant d’autoriser l’accès.
 Avantages :
 Sécurité renforcée : Combine plusieurs méthodes, réduisant les risques de compromission.
 Flexibilité : Peut inclure une variété de méthodes (mot de passe, biométrie, jeton, etc.).
 Réduction des risques : Même si une méthode est compromise, l’accès reste protégé.

 Inconvénients :
 Complexité pour l’utilisateur : Peut être perçu comme contraignant (saisie multiple).
 Coût : Déploiement de plusieurs méthodes peut être coûteux.
 Dépendance matérielle : Perte d’un appareil peut bloquer l’accès.

 Risques :
 Compromission simultanée de plusieurs facteurs (ex. : mot de passe + téléphone volé).
 Mauvaise implémentation (ex. : SMS pour OTP, qui est vulnérable).
 Fatigue des utilisateurs, conduisant à des comportements risqués (ex. : approbations hâtives).

 Types d'attaques :
 Phishing multifactoriel : Attaques ciblant plusieurs facteurs (ex. : mot de passe + OTP).
 Attaques MitM : Interception des communications pour voler plusieurs facteurs.
 Compromission de l’appareil : Vol d’un téléphone utilisé pour plusieurs facteurs.
 Ingénierie sociale : Manipulation pour obtenir plusieurs facteurs d’authentification.

5. Authentification à 2 facteurs
L’authentification à 2 facteurs est un type d’authentification multifacteur nécessitant deux formes
d’authentification.
Bien que l’authentification et l’autorisation soient souvent utilisées de manière interchangeable, il
s’agit de deux concepts liés mais distincts. L’authentification vérifie que l’utilisateur qui se connecte
est bien celui qu’il prétend être, alors que l’autorisation vérifie qu’il dispose des autorisations
appropriées pour accéder aux informations souhaitées. Par exemple, un membre du service
Ressources humaines peut avoir accès à des systèmes sensibles (par exemple, paie ou dossiers des
employés) que les autres ne peuvent pas consulter. L’authentification et l’autorisation sont essentielles
pour améliorer la productivité et protéger les données sensibles, la propriété intellectuelle et la
confidentialité.

V. Comparaison des méthodes d'authentification

Critère Mot de passe Jeton (dont JWT) Biométrie

Types - Simples - Jetons physiques - Empreintes digitales

Complexes (cartes, clés USB) Reconnaissance
Phrases de passe Jetons logiciels faciale
(TOTP, HOTP) Scan d'iris
JWT (JSON Web Reconnaissance
Tokens) vocale
Robustesse ⭐⭐☆☆☆ ⭐⭐⭐⭐☆ ⭐⭐⭐⭐⭐
Facilité ⭐⭐⭐☆☆ ⭐⭐⭐☆☆ ⭐⭐⭐⭐⭐
d'utilisation
Attaques - Force brute - Vol physique (jetons - Spoof/présentation
courantes Dictionnaire matériels) (photos, masques 3D)
Pulvérisation de Interception de SMS Attaques par
mot de passe (OTP) rémanence
Phishing Attaques de rejeu Compromission des
Keylogging Pour JWT: injection templates
Fuites de bases de de jetons, biométriques
données manipulation Contournement des
d'algorithme, attaques capteurs
de confusion de clés
Statistiques - 81% des - Les JWT mal - Taux de faux
significatives violations configurés constituent positifs: 0,1-1,5%
impliquent des 40% des vulnérabilités Taux de faux
mots de passe d'API négatifs: 0,5-3%
faibles/volés L'authentification 2FA 30% d'augmentation
59% des réduit les risques de d'adoption annuelle
utilisateurs piratage de 99,9% Temps de
réutilisent le même 22% des organisations reconnaissance: 1-3
mot de passe utilisent des JWT sans secondes
13 secondes en vérifier les signatures
moyenne pour
craquer un mot de
passe de 6
caractères
Coût Faible Moyen Élevé
d'implémentation
Coût de Faible Moyen Moyen à élevé
maintenance
Points critiques - Les gestionnaires - Les jetons physiques - Les solutions
de mots de passe réduisent les attaques biométriques premium
augmentent la de phishing de 76% atteignent 99,9% de
sécurité de 90% JWT sans chiffrement précision
65% des expose les données 46% des utilisateurs
entreprises sensibles préfèrent la biométrie
signalent des 30% des JWT aux mots de passe
incidents liés à des utilisent l'algorithme Impossibilité de
mots de passe "none" ou des clés changer ses données
compromis symmétriques faibles biométriques
compromises
Conformité aux Variable selon la Conforme à NIST, Conforme pour
 normes complexité FIDO2, WebAuthnl'authentification forte
(SCA)
Recommandé Accès à faible Applications web, Environnements
pour risque (avec MFA) API, authentification nécessitant haute
entre services sécurité et facilité
d'usage

VI. Meilleures pratiques pour la sécurité de l’authentification

La compromission de comptes étant une façon extrêmement courante pour les attaquants d’accéder
sans autorisation aux ressources d’une entreprise, il est important d’instituer une sécurité forte de
l’authentification. Voici quelques mesures que vous pouvez prendre pour protéger votre organisation :

1. Implémenter l’authentification multifacteur

La mesure la plus importante que vous pouvez prendre pour réduire votre risque de compromission de
comptes est d’activer l’authentification multifacteur et d’exiger au moins deux facteurs
d’authentification. Il est bien plus difficile pour les attaquants de détourner plusieurs méthodes
d’authentification, notamment si l’une d’elles utilise des données biométriques ou quelque chose que
l’utilisateur a en sa possession tel qu’un appareil. Pour simplifier le processus autant que possible
pour les employés, les clients et les partenaires, vous pouvez leur laisser le choix entre différents
facteurs. Il est toutefois important de noter que toutes les méthodes d’authentification ne se valent pas.
Certaines offrent un niveau de sécurité supérieur. Par exemple, si la réception d’un SMS est mieux
que rien, une notification Push est bien plus sécurisée.

2. Recourir à l’authentification sans mot de passe

Lorsque vous configurez l’authentification multifacteur, vous pouvez même choisir de limiter
l’utilisation des mots de passe afin d’encourager les personnes à utiliser plusieurs méthodes
d’authentification, telles qu’un code PIN et un procédé biométrique. La réduction de l’utilisation des
mots de passe et le recours à l’authentification sans mot de passe simplifieront le processus de
connexion et limiteront votre risque de compromission de comptes.

3. Activer l’authentification multifacteur basée sur le risque

Certains événements d’authentification sont des indicateurs d’une compromission, par exemple
lorsqu’un employé tente d’accéder à votre réseau à partir d’un nouvel appareil ou d’un emplacement
inhabituel. Sans être atypiques, d’autres événements de connexion peuvent présenter un risque plus
élevé, par exemple lorsqu’un professionnel des ressources humaines doit accéder aux informations
d’identification personnelle d’un employé. Pour minimiser le risque, configurez votre solution
de gestion des identités et accès (IAM) pour exiger deux facteurs d’authentification au minimum
lorsqu’elle détecte ces types d’événements.
 4. Donner la priorité à la facilité d’utilisation
Une sécurité efficace nécessite l’adhésion des employés et autres parties prenantes. Les stratégies de
sécurité peuvent parfois empêcher les personnes de s’engager dans des activités en ligne risquées,
mais si les stratégies sont trop contraignantes, les personnes trouveront une solution de
contournement. Les meilleures solutions tiennent compte du comportement humain réaliste. Déployez
des fonctionnalités telles que la réinitialisation de mot de passe en libre service pour éliminer la
nécessité pour les personnes de contacter le support technique lorsqu’elles oublient un mot de passe.
Cela peut également les encourager à choisir un mot de passe fort en sachant qu’il sera aisé de le
réinitialiser si elles l’oublient plus tard. Laisser les personnes choisir la méthode d’autorisation
qu’elles préfèrent est une autre façon de faciliter pour elles le processus de connexion.

5. Utiliser le principe des privilèges minimum

Limitez le nombre de comptes privilégiés sur la base des rôles et donnez aux personnes la quantité
minimale de privilèges nécessaire pour mener à bien leurs tâches. L’établissement du contrôle d’accès
permet de s’assurer qu’un nombre plus restreint de personnes peut accéder à vos données et systèmes
les plus critiques. Lorsqu’une personne a besoin d’effectuer une tâche sensible, utilisez la gestion des
accès privilégiés, telle que l’activation juste à temps avec des durées définies, afin de réduire
davantage votre niveau de risque. Cela aide aussi d’exiger que les activités administratives soient
effectuées uniquement sur des appareils hautement sécurisés, qui sont distincts des ordinateurs que les
personnes utilisent pour leurs tâches quotidiennes.

6. Supposer une violation de sécurité et effectuer des audits réguliers

Dans de nombreuses organisations, les rôles et la situation d’emploi changent régulièrement. Les
employés peuvent quitter l’entreprise ou changer de service. Les partenaires changent d’un projet à
l’autre. Il peut s’agir d’un problème lorsque les règles d’accès n’évoluent pas au même rythme. Il est
important de s’assurer que les personnes ne conservent pas l’accès aux systèmes et fichiers dont elles
n’ont plus besoin pour leur travail. Pour réduire le risque qu’un attaquant mettent la main sur des
informations sensibles, utilisez une solution de gouvernance des identités pour vous aider à auditer
vos comptes et rôles de manière uniformisée. Ces outils vous aident également à vous assurer que les
personnes ont seulement accès aux éléments utiles et que les comptes des personnes qui ont quitté
l’organisation ne sont plus actifs.

VII. Implémentation de l'authentification par mot de passe

1. Environnement de Travail

 Système d'exploitation : Kali Linux

 Serveur cible : Machine virtuelle ou serveur local avec le service SSH activé
 Outils utilisés :Wireshark, Hydra

2. Mise en place et Démarrage et activation du service SSH

Démarrez le service SSH et configurez-le pour qu'il se lance automatiquement au démarrage du

système
 sudo systemctl start ssh
sudo systemctl enable ssh

Cela démarre le service SSH et l'active pour les futurs redémarrages.

3. Vérification du statut du service SSH

Pour vérifier que le service SSH fonctionne correctement, utilisez la commande suivante

sudo systemctl status ssh

Cette commande affiche l'état du service SSH. Si le service est actif, vous devriez voir une sortie
indiquant qu'il est "active (running)".

Pour vérifier si l'authentification par mot de passe est activée, éditez le fichier de configuration SSH

sudo nano /etc/ssh/sshd_config

Recherchez la ligne suivante :

PasswordAuthentication yes
Si cette ligne est commentée (précédée d'un #), décommentez-la en supprimant le #. Si elle est définie
sur no, modifiez-la pour yes afin d'activer l'authentification par mot de passe.

4. Création et authentification de l'utilisateur de test

 Création de l'utilisateur testuser :

sudo adduser testuser
sudo passwd testuser
Cette commande crée un nouvel utilisateur nommé testuser et lui attribue un mot de passe.

 Vérification de l'authentification SSH :

testuser@localhost
 5. Capture du trafic réseau avec Wireshark

 Démarrage de la capture :
sudo wireshark
 Application du filtre pour capturer les requêtes SSH :
[Link] == 22

Ce filtre permet de capturer uniquement le trafic SSH, facilitant l'analyse des échanges lors des
tentatives de connexion.

Simulation de l'attaque par credential stuffing

 Création de l’userlist
echo -e "alice\njean\ntestuser" > [Link]
 Création du fichier [Link]
De manière similaire, pour créer le fichier [Link] avec les mots de passe spécifiés, utilisez :
echo -e "abz14\n2024@6\nIvana@" > [Link]

 Utilisation de Hydra pour tester la robustesse du mot de passe :

hydra -L users .txt -P [Link] ssh://[Link] -vv

Sources :

Wikipédia
Fortinet : [Link]
Microsoft : [Link]
[Link]
[Link]
 Membres du groupe
Dzeuguet Dgnidjedji Hubert Cyrille 21S561217
Djuikem Madeleine Ivana 22S74031
Dongmo Tsopmo Anicel 20S42494
Dongmo Fotso Ronel Anelson 22S74041