Authentification multifacteur

Authentification multifacteur (MFA) exige que les utilisateurs prouvent leur identité avec au moins deux facteurs indépendants appartenant à des catégories différentes. Même si un facteur est compromis (par exemple, un mot de passe volé), le compte reste protégé.

Facteurs d’authentification :

• Quelque chose que vous connaissez — mot de passe, PIN, question de sécurité
• Quelque chose que vous possédez — téléphone, jeton matériel, carte à puce
• Quelque chose que vous êtes — empreinte digitale, visage, voix (données biométriques)

La véritable MFA utilise au moins deux catégories différentes — pas deux mots de passe.

TOTP génère un code à 6 chiffres qui change toutes les 30 secondes à l’aide d’un secret partagé et de l’heure actuelle (RFC 6238). Applications : Google Authenticator, Authy, Microsoft Authenticator.

Le TOTP est protégé contre les attaques par rejeu, mais reste vulnérable à l’hameçonnage en temps réel.

Les OTP par SMS sont pratiques, mais présentent des faiblesses importantes :

• Substitution de SIM — l’attaquant manipule l’opérateur pour transférer le numéro de la victime
• Attaques SS7 — interception étatique des SMS au niveau des télécommunications
• Hameçonnage en temps réel — l’attaquant relaie instantanément l’OTP de la victime vers le site ciblé

Les OTP par SMS sont préférables à l’absence de MFA, mais constituent la forme la plus faible.

Les clés de sécurité matérielles (YubiKey, Google Titan) utilisent la cryptographie à clé publique. L’appareil signe un défi lié au site concerné, ce qui les rend résistantes à l’hameçonnage — elles ne fonctionnent pas sur de faux sites.

C’est la référence absolue en matière de MFA.

L’application d’authentification envoie une notification : « Approuver la connexion depuis New York ? » L’utilisateur appuie sur « Approuver » ou « Refuser ». Cette méthode est pratique, mais vulnérable aux attaques par fatigue liée à la MFA — les attaquants envoient des demandes d’approbation répétées jusqu’à ce qu’un utilisateur fatigué en approuve une par inadvertance.

Également appelé bombardement de notifications : l’attaquant possède le mot de passe et envoie des dizaines de notifications de MFA, en espérant que l’utilisateur en approuve une par frustration ou par confusion. Contre-mesure : exiger une correspondance de numéro dans la notification (l’utilisateur doit saisir un code affiché sur l’écran de connexion).

Les clés d’accès (FIDO2/WebAuthn) combinent « quelque chose que vous possédez » (clé de l’appareil) et « quelque chose que vous êtes » (déverrouillage biométrique) en un seul identifiant résistant à l’hameçonnage. Aucun mot de passe n’est nécessaire. Elles sont prises en charge par les principales plateformes.

Les plateformes d’identité modernes prennent en charge l’accès conditionnel : n’exiger la MFA que lorsque les indicateurs de risque le justifient (emplacement inhabituel, nouvel appareil, ressource sensible). L’authentification renforcée améliore l’expérience utilisateur tout en maintenant la sécurité.

Les attaquants contournent la MFA grâce aux techniques suivantes :

• Hameçonnage en temps réel (AiTM) — un serveur mandataire intercepte le cookie de session après la MFA
• Substitution de SIM — intercepter les codes envoyés par SMS
• Fatigue liée à la MFA — envoyer des notifications répétées
• Ingénierie sociale visant le service d’assistance — désactiver la MFA au moyen d’une demande d’assistance

Lors de la mise en œuvre de la MFA :

• Exigez par défaut la MFA pour tous les utilisateurs
• Proposez plusieurs options de MFA, mais rendez les clés matérielles et le TOTP disponibles
• Sensibilisez les utilisateurs à la fatigue liée à la MFA — s’ils n’ont pas commencé une connexion, ils doivent refuser la notification
• Surveillez les journaux d’authentification afin de détecter les schémas de contournement de la MFA

Quelle méthode de MFA est résistante à l’hameçonnage parce qu’elle lie cryptographiquement l’authentification au site concerné ?

La MFA exige deux facteurs appartenant à des catégories différentes (connaissance, possession, identité). Les applications TOTP sont efficaces ; les clés matérielles (FIDO2) sont les meilleures, car elles résistent à l’hameçonnage. Les OTP par SMS sont les plus faibles et sont vulnérables à la substitution de SIM. Les attaques par fatigue liée à la MFA envoient des notifications répétées ; la correspondance de numéro permet de les limiter. Les clés d’accès combinent matériel et données biométriques en un identifiant unique et fluide.