Authentification électronique
Qu'est-ce que l'authentification électronique ?
L'authentification électronique est le processus consistant à vérifier, par des moyens électroniques, qu'un utilisateur, une organisation, un appareil ou un message numérique est associé à l'identité ou à la source qu'il revendique. Dans le commerce électronique et la logistique, elle permet d'établir qui accède à un compte marchand, soumet des instructions d'expédition, se connecte à un système d'entreprise ou approuve une transaction électronique. L'authentification fournit des éléments probants sur l'identité ou l'origine ; elle n'établit pas, à elle seule, qu'une commande est légitime, que les marchandises correspondent à une description ou qu'un envoi a été livré.
Le terme revêt des significations proches mais distinctes en matière de sécurité de l'information et de droit du commerce électronique. Dans les systèmes d'identité numérique, l'authentification signifie généralement vérifier qu'un demandeur contrôle un authentificateur associé à un compte. Dans les flux de travail liés aux documents électroniques, elle peut désigner plus largement l'établissement de l'origine ou de l'authenticité d'un document, parfois au moyen de signatures électroniques ou de méthodes cryptographiques. Le sens à retenir dépend donc de ce qui est authentifié et du cadre technique ou juridique applicable.
Rôle dans le commerce électronique et la logistique
L'authentification électronique intervient aux points où les personnes et les systèmes échangent des instructions, accèdent à des informations ou approuvent des actions. Elle soutient les relations de confiance entourant une commande plutôt que le déplacement physique des marchandises elles-mêmes. Un marchand, un exploitant d'entrepôt, un transporteur, un courtier en douane et un client peuvent chacun interagir avec différents systèmes d'authentification au cours d'une même transaction.
Par exemple, un employé d'entrepôt peut s'authentifier avant d'accéder à une application de gestion des stocks. Le logiciel d'un marchand peut s'authentifier lors de la demande d'étiquettes d'expédition via une interface de programmation d'applications, ou API. Un représentant d'entreprise peut utiliser une signature électronique lors de l'approbation d'un document commercial. Ces activités impliquent des éléments probants et des contrôles différents, même si elles peuvent toutes faire partie d'un flux de travail authentifié électroniquement.
| Contexte professionnel | Ce qui peut être authentifié | Ce que l'authentification n'établit pas |
|---|---|---|
| Accès au compte marchand | Le contrôle d'un authentificateur associé au compte | Que toute action effectuée via le compte est commercialement légitime |
| Accès à l'application de l'entrepôt | Le compte de l'employé ou l'appareil se connectant au système | Qu'un décompte des stocks ou un résultat de prélèvement est exact |
| Connexion à l'API d'expédition | L'application ou l'organisation présentant des identifiants acceptés | Que les détails de l'envoi correspondent au colis physique |
| Document commercial électronique | La source revendiquée ou l'identité du signataire, selon le mécanisme | Que chaque déclaration du document est vraie |
| Interaction du client lors de la livraison | Le contrôle d'un compte, d'un appareil ou d'un code requis par le flux de travail | Tous les faits nécessaires pour déterminer la livraison, la propriété ou la responsabilité |
Il s'agit d'applications illustratives et non d'un ensemble universel d'exigences. La méthode appropriée dépend des conséquences d'un accès non autorisé, des parties concernées et des exigences contractuelles ou réglementaires applicables.
Fonctionnement de l'authentification électronique
1. Établissement du compte ou de la relation de confiance
Pour qu'un événement d'authentification soit pertinent, un système doit disposer d'une base permettant de reconnaître le demandeur. Cela peut impliquer la création d'un compte, la vérification de preuves d'identité, l'enregistrement d'une organisation ou la délivrance d'identifiants à une application logicielle. La vérification de l'identité et l'authentification sont deux activités distinctes : la vérification de l'identité évalue qui est le demandeur, tandis que l'authentification vérifie ensuite le contrôle d'un authentificateur associé à cette identité ou à ce compte.
Tout compte commercial n'est pas nécessairement lié à une identité juridique vérifiée. Un système peut seulement établir que le même titulaire de compte est revenu. Cette distinction est importante lorsqu'une entreprise a besoin de preuves concernant l'identité ou l'autorité d'une personne à représenter une société, plutôt que de la simple continuité de l'accès au compte.
2. Association d'un authentificateur
Un authentificateur est associé au compte ou à l'identité. Il peut s'agir d'un mot de passe, d'une clé cryptographique ou d'un appareil utilisé pour générer des réponses d'authentification. Le processus d'inscription et d'association est important, car un mécanisme d'authentification fort offre une protection limitée si un attaquant peut enregistrer son propre authentificateur sur le compte d'une autre personne.
3. Présentation et vérification des éléments probants
Lorsqu'un accès ou une approbation est demandé, le demandeur fournit des éléments probants via le protocole d'authentification sélectionné. Le vérificateur contrôle ces éléments. Selon la méthode, cela peut impliquer la vérification d'une valeur dérivée d'un mot de passe, la validation d'une réponse à usage unique ou la vérification d'une signature cryptographique sur un défi. Un protocole défi-réponse bien conçu peut démontrer le contrôle d'une clé secrète sans transmettre la clé elle-même.
4. Application des règles d'autorisation
Une authentification réussie est suivie d'une décision distincte concernant les autorisations. Un employé d'entrepôt peut être autorisé à consulter les tâches de prélèvement, mais pas à modifier les informations de paiement. Une intégration d'expédition peut être autorisée à créer des étiquettes, mais pas à gérer les utilisateurs. L'authentification identifie le compte ou le principal concerné ; l'autorisation détermine les actions que ce principal peut effectuer.
5. Gestion des sessions et des changements
Après l'authentification, un système peut maintenir une session plutôt que d'exiger une nouvelle connexion pour chaque action. La protection des sessions, la révocation des identifiants, la récupération des comptes et le remplacement des authentificateurs restent des éléments importants du processus global. Une action sensible, telle que la modification de la destination d'un remboursement, peut justifier une nouvelle authentification même lorsqu'une session est déjà active.
Facteurs et mécanismes d'authentification
Pour les utilisateurs humains, les facteurs d'authentification sont généralement décrits comme quelque chose qu'une personne connaît, possède ou est. Ces catégories décrivent les éléments probants utilisés ; elles ne déterminent pas automatiquement la sécurité d'une mise en œuvre complète. Les connexions de machine à machine utilisent des mécanismes tels que des secrets partagés, des clés cryptographiques et des certificats, mais ne doivent pas être considérées comme identiques aux flux de connexion humains.
| Facteur ou mécanisme | Exemples | Limitation importante |
|---|---|---|
| Facteur de connaissance | Mot de passe ou code PIN | Les secrets peuvent être devinés, divulgués ou récupérés par hameçonnage. |
| Facteur de possession | Clé de sécurité ou appareil authentificateur enregistré | La protection dépend du protocole, de la sécurité de l'appareil et du processus de récupération. |
| Caractéristique biométrique | Empreinte digitale ou reconnaissance faciale utilisée pour activer un authentificateur | La correspondance biométrique est probabiliste et nécessite des mesures de protection appropriées. |
| Identifiant machine | Secret API, clé privée ou certificat client | Un identifiant volé peut permettre à un autre système d'usurper l'application autorisée. |
L'authentification multifacteur combine des facteurs d'authentification distincts. Deux mots de passe ne constituent pas deux facteurs différents. De même, un flux de travail comportant plusieurs écrans n'est pas nécessairement une authentification multifacteur. La question pertinente est de savoir si le processus exige des formes indépendantes d'éléments probants, et non combien d'étapes l'utilisateur voit.
La résistance au hameçonnage est une autre propriété distincte. Une méthode peut impliquer plusieurs facteurs tout en permettant à un attaquant de relayer ou de capturer les éléments probants d'authentification. Les recommandations de NIST relatives à l'identité numérique distinguent les méthodes d'authentification selon leurs propriétés et leurs exigences de niveau d'assurance, plutôt que de traiter toutes les méthodes multifacteurs comme interchangeables.
Termes connexes et distinctions importantes
| Terme | Signification | Relation avec l'authentification électronique |
|---|---|---|
| Identification | Présentation d'un identifiant, tel qu'un nom de compte | Indique quelle identité est revendiquée ; ne prouve pas cette revendication. |
| Vérification de l'identité | Évaluation des éléments probants pour établir l'identité d'un demandeur | Peut établir l'identité à laquelle les authentificateurs seront ensuite associés. |
| Autorisation | Détermination des actions et des accès autorisés | Utilise une identité authentifiée ou d'autres paramètres de politique pour prendre des décisions d'accès. |
| Signature électronique | Données électroniques utilisées en relation avec la signature d'un document | Peut identifier un signataire et indiquer une approbation ; les définitions et exigences juridiques varient. |
| Signature numérique | Mécanisme cryptographique utilisant une clé privée et une clé publique correspondante | Peut contribuer à l'authentification de l'origine et à la détection des modifications des données signées. |
| Chiffrement | Transformation des informations pour protéger leur confidentialité | N'établit pas, à lui seul, l'identité de la partie communicante. |
| Authentification du produit | Vérification de l'authenticité d'un article physique | Concerne les marchandises elles-mêmes, et non simplement l'accès à un compte ou l'origine d'un message. |
Une signature électronique et un événement d'authentification électronique peuvent se produire ensemble, mais ils ont des objectifs différents. La signature peut exprimer l'approbation d'un document ou d'une transaction particulière. La connexion à un compte établit un accès conformément aux règles d'authentification de ce compte. Une simple connexion ne démontre pas nécessairement que l'utilisateur a approuvé un document précis.
Une signature numérique doit également être interprétée dans un cadre de confiance. Une vérification cryptographique réussie montre que la signature correspond à une clé particulière et aux données signées. Relier cette clé à une personne, une organisation ou une autorité nommée nécessite des éléments probants supplémentaires, tels qu'un certificat de confiance et des procédures d'enregistrement appropriées.
Documents transfrontaliers et portée juridique
Dans le commerce transfrontalier, l'authentification électronique peut faciliter les approbations d'achat, les instructions d'expédition, les déclarations douanières et autres documents électroniques. Toutefois, la vérification technique et la reconnaissance juridique sont deux questions distinctes. Un document peut réussir une vérification technique de signature sans satisfaire à toutes les exigences applicables à sa transaction particulière.
La Loi type de la CNUDCI sur le commerce électronique traite des documents électroniques et des équivalents fonctionnels des exigences fondées sur le papier. La Loi type de la CNUDCI sur les signatures électroniques fournit un cadre concernant les signatures électroniques et leur fiabilité. Il s'agit de lois types destinées à faciliter l'élaboration législative ; elles ne constituent pas automatiquement des règles contraignantes pour chaque transaction internationale.
Pour un document commercial donné, les questions pertinentes incluent notamment l'acceptation du format électronique par l'autorité destinataire, l'autorité du signataire pour agir, les exigences de signature applicables et la possibilité de conserver et de reproduire le document conformément aux exigences. L'authentification ne remplace pas l'examen douanier, n'établit pas le classement tarifaire et ne certifie pas l'exactitude d'une facture.
Évaluation pratique et limites des éléments probants
L'évaluation d'un flux de travail d'authentification nécessite plus que la simple vérification de la présence d'un mot de passe ou d'un code de vérification. Les questions suivantes permettent de définir les éléments probants réellement fournis par le processus :
- Qui ou quoi est authentifié ? Distinguez une personne, un compte, une organisation, une application, un appareil et la source d'un document.
- Comment l'identité revendiquée a-t-elle été établie ? Un compte enregistré avec une adresse e-mail et un représentant d'entreprise dont l'identité a été vérifiée fournissent des éléments probants différents.
- Quelle action est couverte ? L'accès à une page de suivi ne doit pas être confondu avec l'autorisation de modifier une adresse de livraison ou une destination de paiement.
- À quoi le mécanisme résiste-t-il ? Tenez compte du hameçonnage, de la réutilisation, du vol d'identifiants et de l'inscription non autorisée, plutôt que de vous fier uniquement au nombre d'étapes de connexion.
- Comment les identifiants sont-ils récupérés ou remplacés ? Une procédure de récupération faible peut compromettre une authentification courante plus robuste.
- L'accès peut-il être révoqué ? Les employés partis et les intégrations abandonnées ne doivent pas conserver un accès inutile.
- Quels éléments probants sont conservés ? Les enregistrements doivent distinguer l'authentification, l'autorisation, l'approbation du document et les actions commerciales ultérieures.
Les journaux d'authentification peuvent contribuer à une enquête, mais ils ne prouvent pas automatiquement qu'un être humain particulier a effectué une action. Les comptes partagés, les appareils compromis, les sessions volées et les accès délégués peuvent compliquer l'attribution. De même, la saisie par un client d'un code de livraison fournit les éléments probants définis par le flux de livraison concerné, et non une garantie illimitée concernant l'identité juridique du destinataire ou l'état des marchandises.
FAQ
Que signifie l'authentification électronique dans le commerce électronique ?
Elle consiste à vérifier des éléments électroniques associés à une identité ou une source revendiquée, par exemple en vérifiant la connexion d'un marchand ou les identifiants d'une application. Elle permet un accès contrôlé, mais ne valide pas indépendamment l'achat ou l'envoi sous-jacent.
L'authentification électronique est-elle identique à une signature électronique ?
Non. L'authentification vérifie une identité ou une source revendiquée. Une signature électronique concerne la signature d'un document et peut indiquer une approbation. Une transaction peut utiliser les deux, mais l'une n'établit pas automatiquement l'autre.
L'authentification prouve-t-elle qu'un envoi a été livré ?
Non. Elle peut fournir des éléments probants concernant un compte, un appareil ou une personne impliquée dans une interaction de livraison. La livraison elle-même nécessite des éléments probants pertinents pour l'envoi et le processus de livraison applicable.
L'authentification électronique rend-elle un document commercial juridiquement valable partout ?
Non. La reconnaissance juridique dépend du droit applicable, des exigences relatives au document, de l'autorité destinataire et des circonstances de la transaction. L'authentification technique seule ne permet pas de résoudre ces questions.
Sources
- NIST SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management — Concepts d'authentification, facteurs, gestion des authentificateurs, résistance au hameçonnage et considérations relatives aux sessions.
- NIST SP 800-63A-4: Digital Identity Guidelines — Identity Proofing and Enrollment — Distinction entre l'établissement d'une identité et l'authentification ultérieure d'un compte.
- UNCITRAL Model Law on Electronic Commerce — Documents électroniques, équivalence fonctionnelle et contexte législatif du commerce électronique.
- UNCITRAL Model Law on Electronic Signatures — Concepts de signature électronique, fiabilité et distinction entre un cadre législatif type et le droit national applicable.
