Définition simple
MFA ajoute une protection au mot de passe, par exemple une validation sur téléphone ou une clé de sécurité.
Définition technique
Les facteurs peuvent relever de la connaissance, de la possession ou de la biométrie. Les méthodes résistantes au phishing, comme FIDO2 et les passkeys, sont plus robustes que les codes SMS.
- Utilisateur Demande une connexion
- 1er facteur Mot de passe, par exemple
- 2e facteur Clé, appareil ou biométrie
- Service d’identité Valide la combinaison
- Accès accordé Selon la politique
Deux mots de passe ne constituent pas deux facteurs distincts. Les passkeys FIDO2 résistantes au phishing peuvent aussi permettre une connexion sans mot de passe.
À quoi cela sert ?
Protéger les comptes administrateurs, le cloud, le VPN et les accès distants.
Exemple concret
Après le mot de passe, l’utilisateur confirme la connexion dans une application d’authentification.
Problèmes fréquents
- Fatigue MFA provoquée par des demandes répétées
- Téléphone perdu sans méthode de secours
- SMS interceptable
- Comptes de service incompatibles
La différence entre deux étapes et deux facteurs
Le MFA combine des preuves de catégories différentes : ce que l’on sait (mot de passe ou code mémorisé), ce que l’on possède (clé de sécurité ou appareil lié au compte) et ce que l’on est (caractéristique biométrique). Saisir successivement deux mots de passe n’apporte donc pas deux facteurs indépendants. À l’inverse, un mot de passe et une clé FIDO2 représentent deux catégories distinctes. La biométrie utilisée pour déverrouiller une passkey participe souvent au contrôle local de l’authentificateur, et ne signifie pas nécessairement qu’une empreinte est envoyée au serveur.
Les passkeys peuvent aussi mettre en œuvre une authentification sans mot de passe, avec une preuve cryptographique liée au site ou à l’application.
Pourquoi toutes les méthodes MFA ne se valent pas
- Code SMS : simple à déployer, mais vulnérable au phishing et à certaines attaques sur le numéro mobile.
- Code TOTP d’application : fonctionne souvent sans connexion mobile, mais un utilisateur peut encore communiquer le code sur un faux site.
- Notification push : pratique, mais les sollicitations répétées peuvent provoquer une fatigue MFA ; le number matching améliore le contexte.
- Clé de sécurité FIDO2 ou passkey : l’authentification cryptographique liée à l’origine du site résiste mieux au phishing classique.
- Compte de secours et récupération : ils doivent être protégés et contrôlés ; un mécanisme de récupération trop facile contourne les avantages du MFA.
Les limites du MFA dans une entreprise
Le MFA diminue le risque d’utilisation d’identifiants volés, mais ne garantit pas la sécurité d’une session déjà compromise. Des attaques peuvent voler des cookies de session, abuser d’un accès déjà approuvé ou exploiter un appareil infecté. La gestion des sessions, les restrictions d’accès conditionnel et la surveillance des connexions anormales restent donc importantes.
Un déploiement efficace tient compte des administrateurs, des comptes de service, des applications anciennes et des utilisateurs sans smartphone. L’objectif n’est pas de multiplier les demandes, mais de proposer une méthode robuste, utilisable et une récupération d’accès bien encadrée.
Termes associés
Concepts associés
À retenir : le MFA combine des facteurs distincts. Les méthodes FIDO2 et passkeys résistantes au phishing offrent une protection généralement supérieure aux codes SMS.
À consulter : MFA Fatigue.