Authentification et habilitation avec OpenID

Aujourd’hui OpenID a été adopté par tous les grands acteurs du web tels Google, Facebook, Salesforce, ou encore Microsoft, ainsi que par toute organisation souhaitant mettre en œuvre une fédération d’identités centralisée. Voyons plus en détails les principes et concepts sur lesquels repose ce protocole, comment on le met en place, et quelles sont les technologies utilisées.

Authentification classique par mot de passe

L’une des problématiques soulevées par la multitude des services disponibles est certainement la multiplication des comptes utilisateurs. Pour utiliser ces applications, il est en effet généralement nécessaire de s’authentifier. Or, la solution la plus courante pour justifier de son identité reste encore aujourd’hui l’authentification par mot de passe. Dans ce cas de figure, l’utilisateur s’identifie avec un identifiant (nom, adresse électronique, pseudonyme…) puis prouve son identité en fournissant le mot de passe associé pour se connecter. Ce sécurité informatique est fait d’un schéma par mot de passe est simple et facile à déployer. Il présente néanmoins plusieurs inconvénients de taille. Tout d’abord, il faut bien choisir son mot de passe pour qu’il ne soit pas prédictible facilement. Cependant, cela n’est pas suffisant, car il arrive que les fournisseurs de service ne protègent pas correctement votre mot de passe et que ce précieux sésame se retrouve dans la nature. Pour éviter qu’une telle compromission affecte l’ensemble de votre activité numérique, il est donc nécessaire de ne pas réutiliser le même secret sur des services différents.

L’authentification unique

Heureusement, une autre méthode est disponible pour l’authentification des utilisateurs auprès des services auxquels on souhaite se connecter : l’authentification unique. L’avantage de ce schéma est que l’utilisateur n’a plus qu’à gérer qu’un seul compte, auprès de son fournisseur d’identité. Il peut donc choisir un mot de passe robuste, et en théorie mieux maîtriser les informations personnelles qu’il accepte de transmettre aux fournisseurs de services.