Fédération d'identité

Définition

La fédération d'identité est un modèle d'architecture permettant à un utilisateur authentifié auprès d'un domaine de confiance, appelé fournisseur d'identité, d'accéder à des ressources ou services gérés par une autre organisation, appelée fournisseur de services, sans avoir à créer ni gérer un compte distinct pour chaque application. Ce modèle repose sur l'établissement d'une relation de confiance technique et contractuelle entre les deux parties, matérialisée par l'échange de jetons ou d'assertions d'authentification signées cryptographiquement, via des protocoles standardisés comme SAML, OAuth 2.0 ou OpenID Connect. La fédération d'identité est au cœur des architectures d'authentification unique fédérée (SSO fédéré), très répandues dans les environnements SaaS d'entreprise, les partenariats interorganisationnels et les écosystèmes d'administration électronique. Elle simplifie la gestion des identités en centralisant l'authentification chez un fournisseur d'identité unique, réduisant le nombre de mots de passe à retenir et donc la surface d'attaque liée à la réutilisation d'identifiants. Elle facilite également l'application du principe du moindre privilège et la révocation immédiate des accès en cas de départ d'un collaborateur. La sécurisation d'une architecture fédérée nécessite une attention particulière portée à la protection du fournisseur d'identité lui-même, cible privilégiée d'attaquants, et à la validation stricte des jetons contre les techniques de falsification abordées dans la tactique Credential Access de MITRE ATT&CK.