Pour assurer la sécurité des données stockées dans les systèmes informatiques, il est essentiel de contrôler qui a accès au réseau. Vous empêchez ainsi les personnes non autorisées d’opérer au sein du réseau. Dans un système informatique multi-utilisateurs, chaque utilisateur se voit attribuer un code d’utilisateur unique, que le système utilise pour contrôler son utilisation des ressources et la durée de sa session.
Comment fonctionne ce processus ? Comment l’accès aux réseaux peut-il être contrôlé ?
Introduction au contrôle des sessions sur les ordinateurs
Pour protéger l’intégrité, la confidentialité et la facilité d’utilisation des données, il est nécessaire de contrôler l’accès au système informatique, c’est-à-dire d’empêcher toute personne non autorisée de travailler dans le système.
Une session est le temps que l’utilisateur passe sur le système. Le réseau vérifie les connexions au système informatique au début de la session.
Chacun des utilisateurs bénéficiant d’un système informatique multi-utilisateurs possède un code d’utilisateur que le système lui attribue. Ce code permet d’analyser quel utilisateur utilise quelle(s) ressource(s) et pendant combien de temps. Ce code est également utile pour conserver les droits d’exploitation, les informations d’audit et les statistiques, ainsi que les informations de comptage liées à l’utilisateur. Cependant, le contrôle des utilisateurs ne se limite pas à tester le code utilisateur que le système d’exploitation utilise lors de la connexion. Le système génère généralement des codes à l’aide d’une logique assez simple, ce qui n’est ni confidentiel ni sûr.
Si cela vous semble un peu confus, prenez plutôt l’exemple d’une école. Supposons que le système informatique de cette école génère les codes d’utilisateur des élèves en ajoutant un nombre à trois chiffres dans l’ordre alphabétique du nom de famille, après le code de la classe à laquelle ils se rapportent. Dans ce cas, n’importe quel élève peut facilement deviner le code de son ami.
En plus du code de l’utilisateur, vous devez utiliser une deuxième information spécifique à l’utilisateur. Il existe différentes manières de vérifier si la personne qui souhaite démarrer une session en entrant son code en est le véritable propriétaire.
On peut les classer en trois catégories, de la plus simple à la plus complexe : les contrôles par mot de passe, les contrôles par carte d’identité et les contrôles physiques.
Contrôle par mot de passe
L’outil le plus courant pour authentifier les utilisateurs qui souhaitent se connecter est l’utilisation d’un mot de passe. Lorsque l’utilisateur tente de se connecter en entrant son code d’utilisateur, le système d’exploitation l’invite à entrer un mot qui fait office de mot de passe. Le système d’exploitation compare le mot de passe saisi par l’utilisateur avec celui enregistré dans le système. S’il y a correspondance, la session démarre.
Le système d’exploitation détermine le mot de passe lors de l’enregistrement de l’utilisateur dans le système et le transmet à l’utilisateur. Toutefois, l’utilisateur peut généralement modifier ce mot de passe librement à tout moment. Les systèmes d’exploitation stockent les mots de passe sous forme cryptée sur le système, afin d’empêcher le vol direct des clés détenues en clair.
Les utilisateurs préfèrent souvent choisir des mots de passe avec des noms propres facilement mémorisables. Il est ainsi plus facile pour les autres de deviner ces combinaisons secrètes. Quelqu’un qui tente d’ouvrir une session avec le code d’utilisateur d’une autre personne peut réussir à accéder au système en essayant une série de mots de passe différents sur le terminal, comme le nom d’un chien ou une date de naissance.
Les systèmes d’exploitation mettent en œuvre diverses mesures pour empêcher de telles tentatives de devinettes de mots de passe. Par exemple, il y a souvent une limite au nombre de mots de passe que les utilisateurs peuvent entrer. Après un certain nombre de tentatives, si le mot de passe correct ne peut toujours pas être saisi, le terminal concerné est verrouillé pendant une période donnée. Pour compliquer davantage la devinette du mot de passe, il est possible d’utiliser plusieurs mots de passe. Soit l’utilisateur saisit ces mots de passe consécutivement au début de la session, soit le système les demande de manière aléatoire à l’utilisateur travaillant sur le terminal pendant le fonctionnement. Cela permet de resserrer les mailles du filet pour attraper les utilisateurs non autorisés.
Cependant, ces contrôles peuvent aussi être gênants. C’est pourquoi, dans les systèmes où des contrôles rigoureux sont nécessaires, au lieu de compliquer le système de mots de passe, les organisations passent à des cartes d’identité spéciales ou à des contrôles basés sur des propriétés physiques.
Contrôle basé sur la carte d’identité
L’utilisation de cartes d’identité est une méthode d’authentification plus fiable que le contrôle par mot de passe. Chaque utilisateur possède une carte d’identité qui peut être lue par le système ; ces cartes contiennent généralement une bande magnétique où sont stockées les informations relatives à l’identité de l’utilisateur. Il existe également des cartes à puce, dans lesquelles les données d’identité sont intégrées de manière sécurisée dans la carte elle-même. Pour accéder aux systèmes informatiques, les utilisateurs commencent généralement leur session en utilisant un lecteur de carte intégré à un terminal pour scanner leur carte.
Pour réduire le risque de vol ou de perte, les entreprises utilisent souvent les cartes d’identité en conjonction avec des mots de passe. Lors de la lecture de la carte, le système invite le titulaire de la carte à saisir son mot de passe ; ensuite, le système compare le mot de passe saisi avec le mot de passe réel stocké sur la carte. Si les deux correspondent, la session démarre.
Un exemple de cette authentification basée sur la carte d’identité est le système bancaire électronique, où les guichets automatiques servent d’unités terminales spéciales. Ils utilisent des cartes d’identité pour renforcer la sécurité et vérifier l’identité des utilisateurs.
Contrôle basé sur les propriétés physiques
Pour assurer la vérification de l’identité, il faut s’appuyer sur des informations inimitables. Dans ce cas, au lieu de fournir aux utilisateurs des cartes d’identité et des mots de passe personnalisés, le système peut avoir recours à des données biométriques telles que les empreintes digitales, les photos, la voix et les rétines, qui diffèrent intrinsèquement d’une personne à l’autre.
Naturellement, les processus de vérification basés sur ce type d’informations nécessitent l’utilisation de dispositifs d’entrée spécialisés, généralement coûteux. Par exemple, dans les systèmes où la vérification repose sur les images faciales des utilisateurs, il est essentiel que le réseau capture rapidement l’image actuelle de la personne qui tente d’entrer dans le système à l’aide d’une caméra et prenne une décision instantanée en la comparant à l’image stockée dans le système.
Les systèmes de reconnaissance vocale et visuelle nécessitent également un équipement spécial (c’est-à-dire coûteux !), car ils doivent maintenir une vitesse de traitement élevée. Souvent, ces coûts constituent le principal obstacle pour les systèmes qui utiliseront des mécanismes de vérification basés sur les propriétés physiques.
Importance du contrôle d’accès
Pourquoi faut-il contrôler étroitement l’accès aux ordinateurs ? Parce que les systèmes stockent un grand nombre de données sensibles importantes ! En outre, le contrôle d’accès permet non seulement de protéger les actifs critiques, mais aussi de maintenir la conformité avec les exigences réglementaires et les normes industrielles, en favorisant une culture de confiance et de responsabilité. Il est essentiel de reconnaître l’importance du contrôle d’accès et d’en faire une priorité pour favoriser un environnement informatique sûr, tant pour les particuliers que pour les entreprises.