MFA Authentification multi-facteurs.

Ce qui compte comme facteur, et pourquoi cela importe

L'authentification multifacteur exige deux preuves d'identité ou plus, issues de catégories différentes, de sorte que la compromission de l'une ne livre pas le compte à un attaquant. Les trois catégories classiques sont la connaissance (quelque chose que vous savez, comme un mot de passe ou un code PIN), la possession (quelque chose que vous avez, comme un téléphone, une clé de sécurité ou une carte à puce) et l'inhérence (quelque chose que vous êtes, comme une empreinte digitale ou un visage). Le mot déterminant ici est différentes.

Deux mots de passe ne constituent pas une authentification multifacteur, car ils relèvent de la même catégorie et tombent face aux mêmes attaques. Un mot de passe associé à un code provenant d'un appareil distinct, oui, car un attaquant doit désormais déjouer deux contrôles indépendants à la fois.

C'est aussi là que se rejoignent la MFA et la gestion des identités. La MFA ne renforce que l'étape d'authentification, le moment où un utilisateur prouve qui il est. Elle ne dit rien sur ce que cet utilisateur est ensuite autorisé à faire, ce qui relève de l'autorisation, ni sur le provisionnement, le déprovisionnement ou les revues d'accès. Considérez la MFA comme une couche durcie au sein d'un programme IAM plus large, et non comme un substitut au moindre privilège ou au nettoyage des comptes orphelins.

Toutes les MFA ne se valent pas

L'observation la plus importante du praticien est que la MFA s'inscrit sur un spectre de robustesse, et la différence n'est pas cosmétique. Les codes à usage unique par SMS et par e-mail valent mieux qu'un mot de passe seul, mais ils sont hameçonnables : une fausse page de connexion convaincante demande simplement à la victime de saisir le code, et un attaquant le relaie en temps réel. Le SIM swapping aggrave encore le cas du SMS.

Les approbations par notification push ajoutent une simple validation, mais elles invitent à la fatigue MFA, où un attaquant qui détient déjà le mot de passe inonde l'utilisateur d'invites d'approbation jusqu'à ce qu'un utilisateur fatigué en accepte une. Les formes robustes sont des facteurs de possession liés au site légitime : les clés de sécurité matérielles et les passkeys reposant sur FIDO2 et WebAuthn. Parce que la justificatif est cryptographiquement liée au véritable domaine, elle ne livre rien à une page qui imite l'original. C'est cette propriété que l'on désigne par MFA résistante à l'hameçonnage.

Contexte réglementaire et normatif

La MFA est passée d'une recommandation à une attente dans l'ensemble de la réglementation européenne en cybersécurité. NIS 2 impose aux entités essentielles et importantes d'adopter des mesures d'hygiène informatique et de contrôle d'accès, l'authentification multifacteur ou continue étant explicitement mentionnée pour la sécurité des accès. DORA impose des attentes comparables au secteur financier, où l'authentification forte protège les fonctions critiques et l'accès à distance.

Les deux cadres penchent vers l'extrémité forte du spectre plutôt que de considérer n'importe quelle MFA comme suffisante. La même orientation apparaît dans les recommandations du NIST, qui privilégient les authentificateurs résistants à l'hameçonnage pour les accès à forte valeur, et dans des cadres de référence tels qu'ISO/IEC 27001 et les CIS Controls, qui font de la MFA une mesure de protection fondamentale du contrôle d'accès.

Ce que les praticiens font réellement, c'est échelonner le déploiement selon le risque. Ils protègent d'abord les comptes privilégiés et administratifs, puis l'accès à distance et exposé à Internet, puis l'ensemble des utilisateurs, et ils choisissent des méthodes résistantes à l'hameçonnage partout où l'impact d'une compromission est élevé. Ils planifient soigneusement la récupération et l'enrôlement, car la perte de facteurs représente un coût opérationnel réel, et ils surveillent les schémas de fatigue et de contournement. Bien menée, la MFA retire discrètement toute valeur à un mot de passe volé. Menée comme une case à cocher, elle procure un faux sentiment de sécurité tandis que le canal hameçonnable reste ouvert.