Authentification multifacteur (MFA)
Découvrez comment l’authentification multifacteur s’intègre aux flux OIDC pour ajouter une couche de sécurité supplémentaire à l’authentification des utilisateurs.
Authentification multifacteur (MFA) est une leçon OAuth2 & OpenID Connect Deep Dive gratuite sur CoddyKit. Ceci est la leçon 3 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage OAuth2 & OpenID Connect Deep Dive, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours OAuth2 & OpenID Connect Deep Dive comprend 4 leçons au total.
Certaines parties de cette leçon n'ont pas encore été traduites et s'affichent en anglais.
What is Multi-Factor Authentication?
Multi-Factor Authentication (MFA) adds an extra layer of security to user accounts beyond just a password.
Instead of relying on a single piece of evidence (like "something you know"), MFA requires two or more verification methods from different categories.
The "Factors" of MFA
MFA typically combines factors from these categories:
- Something you know: A password or PIN.
- Something you have: A phone, hardware token, or authenticator app.
- Something you are: A fingerprint, face scan, or voice recognition.
Using multiple factors makes it much harder for unauthorized users to gain access.
Why MFA in OIDC?
OpenID Connect (OIDC) itself doesn't perform MFA. Instead, it acts as a secure way for an Identity Provider (IdP) to tell your application whether a user authenticated with MFA.
Your application can then use this information to make informed authorization decisions.
Introducing ACR Values
In OIDC, "Authentication Context Class References" (ACR values) are used to specify how a user was authenticated.
These are unique identifiers that represent different levels or methods of authentication, including whether MFA was used.
Requesting a Specific ACR Level
When your application initiates an OIDC authorization request, it can include the acr_values parameter.
This parameter tells the Identity Provider that your application prefers or requires a specific authentication context, such as MFA.
Example: Requesting MFA
Here's a simplified example of an OIDC authorization URL requesting an MFA context. The specific acr_values like "mfa" or "https://acr.example.com/mfa" depend on the Identity Provider's configuration.
public class Main {
public static void main(String[] args) {
String authUrl = "https://idp.example.com/authorize?"
+ "response_type=code"
+ "&client_id=my_client_app"
+ "&redirect_uri=https://app.example.com/callback"
+ "&scope=openid%20profile"
+ "&acr_values=mfa";
System.out.println("Authorization URL:\n" + authUrl);
}
}Receiving MFA Status in the ID Token
After successful authentication, the Identity Provider returns an ID Token to your application. This token contains various claims about the user and their authentication session.
The acr claim within the ID Token indicates the actual authentication context class reference that was satisfied.
Example: Decoding an ID Token with 'acr'
Let's imagine an ID Token payload after a user authenticated with MFA. The acr claim would be present, confirming the authentication method used.
In a real application, you would decode and validate the JWT to read this claim.
public class Main {
public static void main(String[] args) {
// Example of a decoded ID Token payload
// In a real app, you'd parse a JWT.
String idTokenPayload = "{\n \"iss\": \"https://idp.example.com\",\n \"sub\": \"user123\",\n \"aud\": \"my_client_app\",\n \"exp\": 1678886400,\n \"iat\": 1678882800,\n \"auth_time\": 1678882700,\n \"acr\": \"mfa\",\n \"amr\": [\"pwd\", \"otp\"]\n}";
System.out.println("Simulated ID Token Payload:\n" + idTokenPayload);
}
}Enforcing MFA-Based Policies
Once your application receives and validates the ID Token, it can check the acr claim.
Based on this, you can implement conditional access policies. For example, if a user tries to access sensitive data, and the acr claim doesn't indicate MFA, you might deny access or prompt for re-authentication.
Quick Check
Which OIDC parameter is used by a client application to request that a user authenticates with Multi-Factor Authentication?
Recap: MFA & OIDC
We've learned that MFA adds critical security layers by requiring multiple authentication factors.
OIDC doesn't perform MFA itself, but it provides a standardized way (via acr_values in requests and the acr claim in ID Tokens) for applications to request and receive information about the authentication context, enabling robust, MFA-aware security policies.
Questions Fréquemment Posées
La leçon « Authentification multifacteur (MFA) » est-elle gratuite ?
Oui — le texte complet de « Authentification multifacteur (MFA) » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours OAuth2 & OpenID Connect Deep Dive, passe à CoddyKit PRO. Le cours OAuth2 & OpenID Connect Deep Dive comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Authentification multifacteur (MFA) » ?
Découvrez comment l’authentification multifacteur s’intègre aux flux OIDC pour ajouter une couche de sécurité supplémentaire à l’authentification des utilisateurs. Tu pratiques OAuth2 & OpenID Connect Deep Dive avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer OAuth2 & OpenID Connect Deep Dive ?
Aucune expérience préalable n'est requise. OAuth2 & OpenID Connect Deep Dive sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 3 sur 4.
Combien de temps prend la leçon « Authentification multifacteur (MFA) » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon OAuth2 & OpenID Connect Deep Dive ?
Oui. Chaque leçon OAuth2 & OpenID Connect Deep Dive inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Intégration avec les fournisseurs d’identité
- Sécurité des microservices et des passerelles d’API
- Authentification multifacteur (MFA)
- Authentification unique entre applications