Authentification multifacteur (MFA)
Définition
L'authentification multifacteur exige au moins deux preuves d'identité de catégories différentes : un mot de passe (ce que l'on sait), un téléphone ou une clé (ce que l'on a), une empreinte ou un visage (ce que l'on est). Combiner deux facteurs bloque la majorité des vols de comptes, car un mot de passe volé ne suffit plus. Les méthodes courantes sont les codes TOTP, les notifications push et les clés de sécurité FIDO2.
Le facteur TOTP
TOTP (Time-based One-Time mot de passe) génère un code à six chiffres qui change toutes les 30 secondes. L'application d'authentification, comme Microsoft Authenticator ou Google Authenticator, calcule le code à partir d'une clé secrète et de l'heure. Le serveur vérifie le code saisi avec la même clé. Un code expiré ou déjà utilisé est refusé.
Chez un client, un employé se connecte à Microsoft 365 avec son mot de passe, puis l'application affiche un code à six chiffres. Le code change toutes les 30 secondes. Si l'horloge du téléphone dérive, les codes sont refusés et la synchronisation de l'heure corrige le problème.
La notification push
La notification push remplace la saisie d'un code. L'utilisateur se connecte avec son mot de passe, reçoit une notification sur son téléphone et valide avec un geste ou un chiffre affiché. La méthode est plus rapide que le TOTP et évite de recopier un code. Microsoft Authenticator et Duo proposent ce mode.
Les clés de sécurité et FIDO2
Une clé de sécurité est un petit dispositif USB ou NFC qui s'insère dans le poste lors de la connexion. FIDO2 est le standard qui relie la clé au site web via une authentification par chiffrement, sans transmettre de secret réutilisable. La clé résiste au phishing : elle ne répond qu'au site légitime pour lequel elle a été enregistrée.
Un utilisateur du service financier reçoit une clé YubiKey. À la connexion, il tape son mot de passe, insère la clé et touche le bouton. Même si un faux site récupère son mot de passe, l'attaque échoue car la clé refuse de s'authentifier sur le faux domaine.
Les facteurs à ne pas confondre
Un code reçu par SMS reste un facteur "ce que l'on a", mais plus faible : une carte SIM volée ou une attaque de portage de numéro peut l'intercepter. C'est pourquoi les recommandations de sécurité privilégient les applications TOTP, les push et les clés FIDO2 par rapport au SMS.
La gestion des comptes bloqués
Quand un utilisateur perd son téléphone, son accès MFA est bloqué. Le helpdesk vérifie son identité par un autre moyen, puis enregistre un nouvel appareil ou fournit des codes de secours. Les codes de secours, imprimés et rangés, permettent de se connecter pendant la transition.