Leçon 17 : gestion des identités et des accès (IAM)

Dans la leçon précédente, on a ouvert la boîte noire du chiffrement. On passe maintenant à l'autre face de la même pièce : comment sait-on même qui essaie d'accéder à l'information ? L'IAM (gestion des identités et des accès) est le cadre qui garantit que seules les personnes autorisées obtiennent l

En bref : l'IAM répond à une seule question — qui tu es et ce que tu as le droit de faire. Le modèle AAA la décompose en authentification (prouver l'identité), autorisation (déterminer ce qui est permis) et traçabilité (enregistrer ce qui s'est passé), le MFA combinant deux types de preuve différents : quelque chose que tu sais, que tu as, ou que tu es. L'identité traverse un cycle de vie — arrivée, changement de rôle et départ — et des outils comme le SSO et le PAM rendent cette gestion possible à grande échelle.

IAM et le modèle AAA: L'IAM est un cadre à la fois processuel et technologique garantissant que seuls les utilisateurs autorisés obtiennent l'accès aux ressources, au bon moment et avec les bonnes permissions — la 'porte' centrale maintenant que le réseau lui-même n'est plus fermé. Tout système IAM repose sur trois composants : l'authentification (prouver l'identité), l'autorisation (déterminer ce qui est permis, généralement selon le rôle), et la traçabilité (un enregistrement immuable de ce qui a réellement été fait).
Le paradoxe de l'accès: La tension permanente dans toute organisation : le besoin métier exige un accès rapide et sans friction, tandis que le besoin de sécurité exige des barrières (mots de passe, authentification à deux facteurs, approbations). Plus on augmente la sécurité, plus on nuit à la commodité ; et si on facilite la vie des utilisateurs, on expose l'organisation au risque. Le rôle de l'IAM est de trouver le juste milieu entre les deux.
Les trois facteurs d'authentification: Quelque chose que tu sais (Know — mot de passe, code PIN, questions de sécurité dépassées et faciles à deviner), quelque chose que tu as (Have — téléphone avec SMS/Push, Soft/Hard Token, clé FIDO, carte à puce, OTP valide pendant 60 secondes), et quelque chose que tu es (Are — empreinte digitale, reconnaissance faciale, biométrie comportementale). Le MFA signifie combiner obligatoirement au moins deux facteurs de types différents — et bloque environ 99,9 % des attaques de prise de contrôle de compte.
Les défis de la biométrie: Erreurs d'identification : le Faux Positif (identification erronée qui bloque un utilisateur légitime — par exemple un employé qui se connecte depuis un hôtel en vacances et se voit signalé comme 'connexion depuis un lieu inhabituel') et le Faux Négatif (non-identification d'un véritable attaquant). Et aussi : contrairement à un mot de passe, on ne peut pas 'changer' une empreinte digitale volée — la donnée biométrique est irréversible.
Cycle de vie de l'identité : JML: Joiners (arrivants) : intégration d'un nouvel employé et création de son identité numérique (Provisioning — généralement automatique à partir des données RH), puis traduction de son rôle en permissions techniques spécifiques selon le principe du besoin d'en connaître (Assignment). Movers (mobilité) : changement de rôle exigeant une mise à jour des permissions — ajout des nouvelles et suppression des anciennes. Leavers (départs) : déconnexion immédiate et complète de tous les accès (De-Provisioning).
Le risque des Movers et la suppression des accès: Quand un employé change de rôle et reçoit de nouvelles permissions sans que les anciennes ne soient supprimées, il accumule un pouvoir excessif — et peut se retrouver avec des permissions contradictoires (par exemple, à la fois créer un fournisseur et approuver un paiement en sa faveur), contrairement au principe de séparation des tâches (SoD). La solution : révoquer toutes les anciennes permissions avant d'accorder les nouvelles. Au départ, les comptes qui restent actifs ('comptes zombies') constituent une faille de sécurité grave — un 'Kill Switch' est nécessaire pour déconnecter instantanément de tous les systèmes en une seule action.
SSO et fédération d'identités: SSO (Single Sign-On) : une seule authentification auprès d'un fournisseur d'identité central (IdP) accorde l'accès à tous les systèmes de l'organisation — améliore l'expérience utilisateur et réduit la charge du support, mais crée un point de défaillance unique (d'où le MFA obligatoire). Fédération : des protocoles standards (SAML, OIDC) permettent à une organisation d'établir des relations de confiance avec des services tiers (comme Zoom ou Salesforce), de sorte qu'un employé s'y connecte avec la même identité organisationnelle, sans compte séparé.
PAM : gestion des super-utilisateurs: Alors que l'IAM classique gère tous les employés, le PAM se concentre uniquement sur les super-utilisateurs (administrateurs système, sécurité informatique) détenant les 'clés du royaume'. Des mots de passe forts sont conservés dans un coffre-fort numérique et ne sont même pas connus de l'utilisateur lui-même ; quand un travail sur un serveur est nécessaire, le mot de passe est 'emprunté' (Checkout) pour une courte durée, chaque action est enregistrée, et immédiatement après, le coffre-fort change automatiquement le mot de passe (Rotation) — de sorte que celui que l'utilisateur détenait ne vaut plus rien.
Zero Trust approfondi et identité machine: Le principe : 'ne jamais faire confiance, toujours vérifier' — car être physiquement connecté au réseau du bureau n'accorde aucune confiance automatique, et la vérification se poursuit en arrière-plan tout au long de l'activité, pas seulement à la connexion. En pratique : vérification de l'état de santé de l'appareil et de la localisation avant chaque accès, et micro-segmentation empêchant le mouvement latéral. Identité machine : les entités non humaines aussi (comptes de service entre applications) ont besoin d'une gestion rigoureuse des secrets — elles ont tendance à être moins surveillées et à détenir des permissions trop élevées.
IAM dans le cloud, IDaaS, conformité et avenir de l'IAM: IDaaS (Identity as a Service) : un fournisseur externe (comme Okta) gère les identités via trois acteurs — l'utilisateur, la ressource (Service Provider), et le fournisseur d'identité (Identity Provider). Responsabilité partagée pour l'IAM dans le cloud : le client définit la politique, crée les utilisateurs et détermine les permissions ; le fournisseur sécurise l'infrastructure. Conformité : le RGPD accorde un 'droit à l'oubli', et la séparation des tâches (SoD) est requise pour l'audit financier. Avenir de l'IAM : le CIAM (gestion des identités clients), l'identité auto-souveraine (Self-Sovereign Identity, décentralisée et sous le contrôle de l'utilisateur), et l'intelligence artificielle pour détecter les anomalies et recommander le nettoyage des permissions.