RGPD : Authentification multifacteur (MFA) - Historique des versions

Administrateur : /* Comment respecter les obligations de protection des données personnelles ? */

2025-04-18T14:42:13Z

Comment respecter les obligations de protection des données personnelles ?

← Version précédente		Version du 18 avril 2025 à 16:42
Ligne 17 :		Ligne 17 :
	<u><big>L’authentification multifacteur doit, comme tout traitement de données à caractère personnelle, respecter le RGPD</big></u>. À ce titre, il est nécessaire de mener préalablement à la mise en place d’une authentification multifacteur les actions suivantes, développées dans les sections ci-après :		<u><big>L’authentification multifacteur doit, comme tout traitement de données à caractère personnelle, respecter le RGPD</big></u>. À ce titre, il est nécessaire de mener préalablement à la mise en place d’une authentification multifacteur les actions suivantes, développées dans les sections ci-après :

	* ~~3.1. évaluer~~ l’opportunité de mettre en place une authentification multifacteur ;		* Evaluer l’opportunité de mettre en place une authentification multifacteur ;
	* ~~3.2. justifier~~ d’une base légale pour le traitement d’authentification multifacteur ;		* Justifier d’une base légale pour le traitement d’authentification multifacteur ;
	* ~~3.3. identifier~~ une exception permettant l’usage du facteur d’inhérence le cas échéant ;		* Identifier une exception permettant l’usage du facteur d’inhérence le cas échéant ;
	* ~~3.4. choisir~~ la solution en prenant en compte les risques relatifs aux personnes concernées ;		* Choisir la solution en prenant en compte les risques relatifs aux personnes concernées ;
	* ~~3.5. qualifier~~ les acteurs et préciser leurs obligations ;		* Qualifier les acteurs et préciser leurs obligations ;
	* ~~3.6. minimiser~~ la collecte de données ;		* Minimiser la collecte de données ;
	* ~~3.7. définir~~ les modalités de conservation des données ;		* Définir les modalités de conservation des données ;
	* ~~3.8. documenter~~ et encadrer les potentiels transferts de données ;		* Documenter et encadrer les potentiels transferts de données ;
	* ~~3.9. prévoir~~ l’exercice des droits des personnes concernées ;		* Prévoir l’exercice des droits des personnes concernées ;
	* ~~3.10.sécuriser~~ l’authentification multifacteur.		* Sécuriser l’authentification multifacteur.

	== Liens ==		== Liens ==

Administrateur le 18 avril 2025 à 14:40

2025-04-18T14:40:51Z

← Version précédente		Version du 18 avril 2025 à 16:40
Ligne 15 :		Ligne 15 :

	== Comment respecter les obligations de protection des données personnelles ? ==		== Comment respecter les obligations de protection des données personnelles ? ==
	L’authentification multifacteur doit, comme tout traitement de données à caractère personnelle, respecter le RGPD. À ce titre, il est nécessaire de mener préalablement à la mise en place d’une authentification multifacteur les actions suivantes, développées dans les sections ci-après :		<u><big>L’authentification multifacteur doit, comme tout traitement de données à caractère personnelle, respecter le RGPD</big></u>. À ce titre, il est nécessaire de mener préalablement à la mise en place d’une authentification multifacteur les actions suivantes, développées dans les sections ci-après :

	* 3.1. évaluer l’opportunité de mettre en place une authentification multifacteur ;		* 3.1. évaluer l’opportunité de mettre en place une authentification multifacteur ;

Administrateur le 18 avril 2025 à 14:40

2025-04-18T14:40:16Z

@@ Ligne 13 : / Ligne 13 : @@
 ** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;
 ** Ciologique, par exemple l’ADN, le sang, etc.
 == Liens ==

Administrateur le 18 avril 2025 à 14:30

2025-04-18T14:30:25Z

← Version précédente		Version du 18 avril 2025 à 16:30
Ligne 18 :		Ligne 18 :

	https://cyber.gouv.fr/publications/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe		https://cyber.gouv.fr/publications/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe

			https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32014R0910

			https://esante.gouv.fr/produits-services/pgssi-s/corpus-documentaire
	[[Catégorie:RGPD]]		[[Catégorie:RGPD]]
	[[Catégorie:Securite]]		[[Catégorie:Securite]]

Administrateur le 18 avril 2025 à 14:27

2025-04-18T14:27:53Z

← Version précédente		Version du 18 avril 2025 à 16:27
Ligne 16 :		Ligne 16 :
	== Liens ==		== Liens ==
	https://www.cnil.fr/sites/cnil/files/2025-03/recommandation_relative_a_l_authentification_multifacteur.pdf		https://www.cnil.fr/sites/cnil/files/2025-03/recommandation_relative_a_l_authentification_multifacteur.pdf

			https://cyber.gouv.fr/publications/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe
	[[Catégorie:RGPD]]		[[Catégorie:RGPD]]
	[[Catégorie:Securite]]		[[Catégorie:Securite]]

Administrateur le 18 avril 2025 à 14:08

2025-04-18T14:08:01Z

← Version précédente		Version du 18 avril 2025 à 16:08
Ligne 4 :		Ligne 4 :
	Une authentification multifacteur, généralement abrégée par MFA (''pour multi-factor authentication en anglais''), a pour caractéristique de s’appuyer sur plusieurs preuves, appelées facteurs d’authentification, appartenant à au moins deux des trois catégories suivantes :		Une authentification multifacteur, généralement abrégée par MFA (''pour multi-factor authentication en anglais''), a pour caractéristique de s’appuyer sur plusieurs preuves, appelées facteurs d’authentification, appartenant à au moins deux des trois catégories suivantes :

	* <u>Un facteur de connaissance</u> ('''''ce que la personne sait''''') : un secret à mémoriser, par exemple une phrase de passe (''passphrase en anglais''), un mot de passe ou un code confidentiel, plus communément appelé code PIN (''Personal Identification Number en anglais'') ;		* <u><big>Un facteur de connaissance</big></u> ('''''ce que la personne sait''''') : un secret à mémoriser, par exemple une phrase de passe (''passphrase en anglais''), un mot de passe ou un code confidentiel, plus communément appelé code PIN (''Personal Identification Number en anglais'') ;
	* <u>Un facteur de possession</u> ('''''ce que la personne a''''') : un élément secret non mémorisable, tel qu’une clé cryptographique, permettant de prendre part à des protocoles d’authentification (''par exemple ceux faisant intervenir un mot de passe à usage unique, généralement nommés protocoles OTP pour onetime password en anglais'') et contenu dans un objet physique unique qui idéalement protège cet élément d’extractions. Il peut s’agir, concrètement :		* <u><big>Un facteur de possession</big></u> ('''''ce que la personne a''''') : un élément secret non mémorisable, tel qu’une clé cryptographique, permettant de prendre part à des protocoles d’authentification (''par exemple ceux faisant intervenir un mot de passe à usage unique, généralement nommés protocoles OTP pour onetime password en anglais'') et contenu dans un objet physique unique qui idéalement protège cet élément d’extractions. Il peut s’agir, concrètement :
	** D’un jeton matériel (''hard token en anglais'') à savoir un dispositif matériel dédié, idéalement muni d’un composant de sécurité, fourni par le vérifieur (''voir annexe''), tel qu’une carte à puce, une clé USB d’authentification, un authentifieur OTP (''composant matériel muni d’un écran affichant un code à usage unique renouvelé régulièrement''), une calculette OTP, etc. ;		** D’un jeton matériel (''hard token en anglais'') à savoir un dispositif matériel dédié, idéalement muni d’un composant de sécurité, fourni par le vérifieur (''voir annexe''), tel qu’une carte à puce, une clé USB d’authentification, un authentifieur OTP (''composant matériel muni d’un écran affichant un code à usage unique renouvelé régulièrement''), une calculette OTP, etc. ;
	** Ou d’un jeton logiciel lié (''device-bounded soft token en anglais'') reposant sur une application associée à un appareil enrôlé. Ce jeton logiciel ne devrait pouvoir être actif que sur un seul et unique appareil, idéalement équipé d’un composant de sécurité intégré, ou a minima être sécurisé en termes de confidentialité et d’intégrité1		** Ou d’un jeton logiciel lié (''device-bounded soft token en anglais'') reposant sur une application associée à un appareil enrôlé. Ce jeton logiciel ne devrait pouvoir être actif que sur un seul et unique appareil, idéalement équipé d’un composant de sécurité intégré, ou a minima être sécurisé en termes de confidentialité et d’intégrité1

	* <u>Un facteur d’inhérence</u> parfois dit, par abus de langage, facteur biométrique ('''''ce que la personne est ou fait''''') une caractéristique physique indissociable d’une personne qui peut être :		* <u><big>Un facteur d’inhérence</big></u> parfois dit, par abus de langage, facteur biométrique ('''''ce que la personne est ou fait''''') une caractéristique physique indissociable d’une personne qui peut être :
	** Morphologique, par exemple une empreinte digitale, une empreinte rétinienne, la structure du visage, etc. ;		** Morphologique, par exemple une empreinte digitale, une empreinte rétinienne, la structure du visage, etc. ;
	** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;		** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;
Ligne 18 :		Ligne 18 :
	[[Catégorie:RGPD]]		[[Catégorie:RGPD]]
	[[Catégorie:Securite]]		[[Catégorie:Securite]]


			‎<html>
			<a href="https://www.compteurdevisite.com" title="compteur web gratuit sans pub"><img src="https://counter6.optistats.ovh/private/compteurdevisite.php?c=b4epghealnwlf7wuq7gn3ygll9aywrfx" border="0" title="compteur web gratuit sans pub" alt="compteur web gratuit sans pub"></a>
			‎</html>

			‎ <html>
			<script src='https://storage.ko-fi.com/cdn/scripts/overlay-widget.js'></script>
			<script>
			kofiWidgetOverlay.draw('yakakliker', {
			'type': 'floating-chat',
			'floating-chat.donateButton.text': 'Café',
			'floating-chat.donateButton.background-color': '#00b9fe',
			'floating-chat.donateButton.text-color': '#fff'
			});
			</script>
			‎</html>

Administrateur le 18 avril 2025 à 14:07

2025-04-18T14:07:13Z

← Version précédente		Version du 18 avril 2025 à 16:07
Ligne 4 :		Ligne 4 :
	Une authentification multifacteur, généralement abrégée par MFA (''pour multi-factor authentication en anglais''), a pour caractéristique de s’appuyer sur plusieurs preuves, appelées facteurs d’authentification, appartenant à au moins deux des trois catégories suivantes :		Une authentification multifacteur, généralement abrégée par MFA (''pour multi-factor authentication en anglais''), a pour caractéristique de s’appuyer sur plusieurs preuves, appelées facteurs d’authentification, appartenant à au moins deux des trois catégories suivantes :

	* Un facteur de connaissance ('''''ce que la personne sait''''') : un secret à mémoriser, par exemple une phrase de passe (''passphrase en anglais''), un mot de passe ou un code confidentiel, plus communément appelé code PIN (''Personal Identification Number en anglais'') ;		* <u>Un facteur de connaissance</u> ('''''ce que la personne sait''''') : un secret à mémoriser, par exemple une phrase de passe (''passphrase en anglais''), un mot de passe ou un code confidentiel, plus communément appelé code PIN (''Personal Identification Number en anglais'') ;
	* Un facteur de possession ('''''ce que la personne a''''') : un élément secret non mémorisable, tel qu’une clé cryptographique, permettant de prendre part à des protocoles d’authentification (''par exemple ceux faisant intervenir un mot de passe à usage unique, généralement nommés protocoles OTP pour onetime password en anglais'') et contenu dans un objet physique unique qui idéalement protège cet élément d’extractions. Il peut s’agir, concrètement :		* <u>Un facteur de possession</u> ('''''ce que la personne a''''') : un élément secret non mémorisable, tel qu’une clé cryptographique, permettant de prendre part à des protocoles d’authentification (''par exemple ceux faisant intervenir un mot de passe à usage unique, généralement nommés protocoles OTP pour onetime password en anglais'') et contenu dans un objet physique unique qui idéalement protège cet élément d’extractions. Il peut s’agir, concrètement :
	** D’un jeton matériel (''hard token en anglais'') à savoir un dispositif matériel dédié, idéalement muni d’un composant de sécurité, fourni par le vérifieur (''voir annexe''), tel qu’une carte à puce, une clé USB d’authentification, un authentifieur OTP (''composant matériel muni d’un écran affichant un code à usage unique renouvelé régulièrement''), une calculette OTP, etc. ;		** D’un jeton matériel (''hard token en anglais'') à savoir un dispositif matériel dédié, idéalement muni d’un composant de sécurité, fourni par le vérifieur (''voir annexe''), tel qu’une carte à puce, une clé USB d’authentification, un authentifieur OTP (''composant matériel muni d’un écran affichant un code à usage unique renouvelé régulièrement''), une calculette OTP, etc. ;
	** Ou d’un jeton logiciel lié (''device-bounded soft token en anglais'') reposant sur une application associée à un appareil enrôlé. Ce jeton logiciel ne devrait pouvoir être actif que sur un seul et unique appareil, idéalement équipé d’un composant de sécurité intégré, ou a minima être sécurisé en termes de confidentialité et d’intégrité1		** Ou d’un jeton logiciel lié (''device-bounded soft token en anglais'') reposant sur une application associée à un appareil enrôlé. Ce jeton logiciel ne devrait pouvoir être actif que sur un seul et unique appareil, idéalement équipé d’un composant de sécurité intégré, ou a minima être sécurisé en termes de confidentialité et d’intégrité1

	* Un facteur d’inhérence parfois dit, par abus de langage, facteur biométrique ('''''ce que la personne est ou fait''''') une caractéristique physique indissociable d’une personne qui peut être :		* <u>Un facteur d’inhérence</u> parfois dit, par abus de langage, facteur biométrique ('''''ce que la personne est ou fait''''') une caractéristique physique indissociable d’une personne qui peut être :
	** Morphologique, par exemple une empreinte digitale, une empreinte rétinienne, la structure du visage, etc. ;		** Morphologique, par exemple une empreinte digitale, une empreinte rétinienne, la structure du visage, etc. ;
	** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;		** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;

Administrateur le 18 avril 2025 à 14:05

2025-04-18T14:05:51Z

← Version précédente		Version du 18 avril 2025 à 16:05
Ligne 1 :		Ligne 1 :
	== Définition ==		== Définition ==
	L’authentification d’un utilisateur a pour objet de vérifier la preuve de son identité avant de lui donner l’accès aux ressources d’un système d’information (ordinateur, partage réseau, site web, application mobile, etc.).		L’authentification d’un utilisateur a pour objet de vérifier la preuve de son identité avant de lui donner l’accès aux ressources d’un système d’information (''ordinateur, partage réseau, site web, application mobile, etc''.).

	Une authentification multifacteur, généralement abrégée par MFA (pour multi-factor authentication en anglais), a pour caractéristique de s’appuyer sur plusieurs preuves, appelées facteurs d’authentification, appartenant à au moins deux des trois catégories suivantes :		Une authentification multifacteur, généralement abrégée par MFA (''pour multi-factor authentication en anglais''), a pour caractéristique de s’appuyer sur plusieurs preuves, appelées facteurs d’authentification, appartenant à au moins deux des trois catégories suivantes :

	* Un facteur de connaissance (ce que la personne sait) : un secret à mémoriser, par exemple une phrase de passe (passphrase en anglais), un mot de passe ou un code confidentiel, plus communément appelé code PIN (Personal Identification Number en anglais) ;		* Un facteur de connaissance ('''''ce que la personne sait''''') : un secret à mémoriser, par exemple une phrase de passe (''passphrase en anglais''), un mot de passe ou un code confidentiel, plus communément appelé code PIN (''Personal Identification Number en anglais'') ;
	* Un facteur de possession (ce que la personne a) : un élément secret non mémorisable, tel qu’une clé cryptographique, permettant de prendre part à des protocoles d’authentification (par exemple ceux faisant intervenir un mot de passe à usage unique, généralement nommés protocoles OTP pour onetime password en anglais ~~tel que définis en annexe I~~) et contenu dans un objet physique unique qui idéalement protège cet élément d’extractions. Il peut s’agir, concrètement :		* Un facteur de possession ('''''ce que la personne a''''') : un élément secret non mémorisable, tel qu’une clé cryptographique, permettant de prendre part à des protocoles d’authentification (''par exemple ceux faisant intervenir un mot de passe à usage unique, généralement nommés protocoles OTP pour onetime password en anglais'') et contenu dans un objet physique unique qui idéalement protège cet élément d’extractions. Il peut s’agir, concrètement :
	** D’un jeton matériel (hard token en anglais) à savoir un dispositif matériel dédié, idéalement muni d’un composant de sécurité ~~(voir annexe)~~, fourni par le vérifieur (voir annexe), tel qu’une carte à puce, une clé USB d’authentification, un authentifieur OTP (composant matériel muni d’un écran affichant un code à usage unique renouvelé régulièrement), une calculette OTP, etc. ;		** D’un jeton matériel (''hard token en anglais'') à savoir un dispositif matériel dédié, idéalement muni d’un composant de sécurité, fourni par le vérifieur (''voir annexe''), tel qu’une carte à puce, une clé USB d’authentification, un authentifieur OTP (''composant matériel muni d’un écran affichant un code à usage unique renouvelé régulièrement''), une calculette OTP, etc. ;
	** Ou d’un jeton logiciel lié (device-bounded soft token en anglais) reposant sur une application associée à un appareil enrôlé ~~(voir annexe)~~. Ce jeton logiciel ne devrait pouvoir être actif que sur un seul et unique appareil, idéalement équipé d’un composant de sécurité intégré, ou a minima être sécurisé en termes de confidentialité et d’intégrité1		** Ou d’un jeton logiciel lié (''device-bounded soft token en anglais'') reposant sur une application associée à un appareil enrôlé. Ce jeton logiciel ne devrait pouvoir être actif que sur un seul et unique appareil, idéalement équipé d’un composant de sécurité intégré, ou a minima être sécurisé en termes de confidentialité et d’intégrité1

	* Un facteur d’inhérence parfois dit, par abus de langage, facteur biométrique (ce que la personne est ou fait) une caractéristique physique indissociable d’une personne qui peut être :		* Un facteur d’inhérence parfois dit, par abus de langage, facteur biométrique ('''''ce que la personne est ou fait''''') une caractéristique physique indissociable d’une personne qui peut être :
	** Morphologique, par exemple une empreinte digitale, une empreinte rétinienne, la structure du visage, etc. ;		** Morphologique, par exemple une empreinte digitale, une empreinte rétinienne, la structure du visage, etc. ;
	** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;		** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;

Administrateur le 18 avril 2025 à 14:02

2025-04-18T14:02:26Z

← Version précédente		Version du 18 avril 2025 à 16:02
Ligne 1 :		Ligne 1 :
			== Définition ==
			L’authentification d’un utilisateur a pour objet de vérifier la preuve de son identité avant de lui donner l’accès aux ressources d’un système d’information (ordinateur, partage réseau, site web, application mobile, etc.).

			Une authentification multifacteur, généralement abrégée par MFA (pour multi-factor authentication en anglais), a pour caractéristique de s’appuyer sur plusieurs preuves, appelées facteurs d’authentification, appartenant à au moins deux des trois catégories suivantes :

			* Un facteur de connaissance (ce que la personne sait) : un secret à mémoriser, par exemple une phrase de passe (passphrase en anglais), un mot de passe ou un code confidentiel, plus communément appelé code PIN (Personal Identification Number en anglais) ;
			* Un facteur de possession (ce que la personne a) : un élément secret non mémorisable, tel qu’une clé cryptographique, permettant de prendre part à des protocoles d’authentification (par exemple ceux faisant intervenir un mot de passe à usage unique, généralement nommés protocoles OTP pour onetime password en anglais tel que définis en annexe I) et contenu dans un objet physique unique qui idéalement protège cet élément d’extractions. Il peut s’agir, concrètement :
			** D’un jeton matériel (hard token en anglais) à savoir un dispositif matériel dédié, idéalement muni d’un composant de sécurité (voir annexe), fourni par le vérifieur (voir annexe), tel qu’une carte à puce, une clé USB d’authentification, un authentifieur OTP (composant matériel muni d’un écran affichant un code à usage unique renouvelé régulièrement), une calculette OTP, etc. ;
			** Ou d’un jeton logiciel lié (device-bounded soft token en anglais) reposant sur une application associée à un appareil enrôlé (voir annexe). Ce jeton logiciel ne devrait pouvoir être actif que sur un seul et unique appareil, idéalement équipé d’un composant de sécurité intégré, ou a minima être sécurisé en termes de confidentialité et d’intégrité1

			* Un facteur d’inhérence parfois dit, par abus de langage, facteur biométrique (ce que la personne est ou fait) une caractéristique physique indissociable d’une personne qui peut être :
			** Morphologique, par exemple une empreinte digitale, une empreinte rétinienne, la structure du visage, etc. ;
			** Comportementale, par exemple la frappe au clavier, la voix, la démarche ou encore l’écriture ;
			** Ciologique, par exemple l’ADN, le sang, etc.

	== Liens ==		== Liens ==

Administrateur le 18 avril 2025 à 13:55

2025-04-18T13:55:56Z

← Version précédente		Version du 18 avril 2025 à 15:55
Ligne 3 :		Ligne 3 :
	== Liens ==		== Liens ==
	https://www.cnil.fr/sites/cnil/files/2025-03/recommandation_relative_a_l_authentification_multifacteur.pdf		https://www.cnil.fr/sites/cnil/files/2025-03/recommandation_relative_a_l_authentification_multifacteur.pdf
			[[Catégorie:RGPD]]
			[[Catégorie:Securite]]

RGPD : Authentification multifacteur (MFA) - Historique des versions

Administrateur : /* Comment respecter les obligations de protection des données personnelles ? */

Administrateur le 18 avril 2025 à 14:40

Administrateur le 18 avril 2025 à 14:40

Administrateur le 18 avril 2025 à 14:30

Administrateur le 18 avril 2025 à 14:27

Administrateur le 18 avril 2025 à 14:08

Administrateur le 18 avril 2025 à 14:07

Administrateur le 18 avril 2025 à 14:05

Administrateur le 18 avril 2025 à 14:02

Administrateur le 18 avril 2025 à 13:55

Administrateur : /* Comment respecter les obligations de protection des données personnelles ? */