Authentification, AAA et MFA

Définition

L'authentification vérifie qui vous êtes, l'autorisation détermine ce que vous pouvez faire, la comptabilité (accounting) enregistre ce que vous avez fait. Le modèle AAA réunit ces trois fonctions, souvent via un serveur RADIUS ou TACACS+. La MFA (authentification multifacteur) exige plusieurs preuves d'identité de catégories différentes.

Les facteurs d'authentification

Quelque chose que vous savez : un mot de passe, un PIN. Quelque chose que vous avez : un téléphone, une clé de sécurité. Quelque chose que vous êtes : une empreinte, un visage. Combiner deux facteurs de catégories différentes rend le vol d'un seul facteur insuffisant.

Le modèle AAA

L'authentification vérifie l'identité, par exemple avec un mot de passe et un nom d'utilisateur. L'autorisation applique les droits : un employé accède à la paie, un autre non. La comptabilité journalise les connexions et les actions pour l'audit. RADIUS (ports 1812 et 1813) et TACACS+ (port 49) centralisent ces fonctions pour les équipements réseau.

La MFA en pratique

Le TOTP (RFC 6238) génère un code à 6 chiffres valable 30 secondes, calculé depuis un secret partagé. La notification push demande une validation sur le téléphone. FIDO2 utilise une clé matérielle : la clé privée reste dans le dispositif, la clé publique sur le serveur, et la confirmation par empreinte débloque la clé.

Pourquoi la MFA protège

Un mot de passe volé par phishing ne suffit plus si le second facteur est exigé. Le TOTP résiste mieux que les SMS, détournables par SIM swapping. Les clés FIDO2 résistent au phishing car elles ne répondent qu'au site légitime. La MFA protège les comptes même quand le mot de passe fuit.

Le juste équilibre

Chaque facteur ajoute une friction. Les comptes sensibles, comme l'administration, exigent une MFA forte. Les comptes à faible risque peuvent se contenter d'un facteur. L'organisation choisit le niveau de MFA selon la sensibilité des ressources.