Dans le monde numérique, un utilisateur doit souvent s’authentifier pour accéder à des services ou à des données. En règle générale, l’authentification a lieu après la saisie de l’identifiant et du mot de passe. Autrefois, cela suffisait ; mais avec la hausse de la cybercriminalité, la protection des accès exige toujours plus d’actions de la part de l’utilisateur.

Quels facteurs un mécanisme d’authentification doit-il comporter pour être efficace ?

• Connaissance (quelque chose que seul l’utilisateur sait),
• Possession (quelque chose que seul l’utilisateur possède),
• Inhérence (quelque chose que seul l’utilisateur est).

Le facteur de connaissance est le premier et le plus important du processus d’authentification. Il peut s’agir d’un mot de passe ou d’un code PIN. Si le nom d’utilisateur n’est pas forcément une information secrète (comme les pseudos sur les réseaux sociaux ou les adresses e-mail réutilisées comme identifiants), le mot de passe ou le PIN doit être une information connue d’un seul utilisateur. C’est pourquoi le couple « identifiant + mot de passe » ne constitue au fond qu’une authentification à un facteur.

La possession implique un objet physique ou une information dont l’utilisateur doit disposer pour réussir l’authentification. L’exemple le plus connu est la clé d’une serrure. Dans le monde numérique, la possession peut aussi être prouvée par un jeton de sécurité (séparé ou relié à l’appareil de l’utilisateur) ou par un jeton logiciel (stocké dans une application d’authentification) ; le SMS en est un autre exemple.

Le facteur d’inhérence correspond aux caractéristiques biométriques de l’utilisateur : empreinte digitale ou palmaire, visage, iris ou rétine, voix.

Les systèmes d’authentification peuvent aussi prendre en compte d’autres facteurs, par exemple la localisation et le comportement (dynamique de frappe, mouvements de la souris ou caractéristiques tactiles, analyse de la signature, etc.).

Il est évident que l’utilisation de deux facteurs d’authentification ou plus augmente nettement la sécurité. Certains facteurs résistent toutefois moins bien aux attaques que d’autres.

La plus grande menace pour la 2FA/MFA est le phishing. L’utilisateur peut être attiré sur un faux site et invité à y saisir ses identifiants et un second facteur. Des attaques combinées sont également possibles : l’appareil de l’utilisateur est d’abord infecté par un malware qui vole ses identifiants, puis l’attaquant recourt au phishing ou à d’autres techniques d’ingénierie sociale pour contourner la 2FA/MFA. Le seul moyen de réduire ce risque est d’être informé et vigilant.

Comme nous l’avons dit, la MFA n’est pas une solution miracle, mais elle renforce considérablement la protection des comptes et réduit le risque de piratage. Quel second facteur offre alors la meilleure protection possible ?

Les experts en cybersécurité de notre entreprise recommandent les appareils U2F (USB ou NFC) comme second facteur le plus fiable. De nombreux utilisateurs trouvent toutefois cette méthode trop contraignante et moins pratique.

Viennent donc en deuxième position les applications d’authentification. Elles génèrent des mots de passe à usage unique basés sur le temps (TOTP), généralement des codes à 6 chiffres valables 30 secondes. Certaines applications proposent des méthodes supplémentaires comme les notifications push (qui utilisent aussi la géolocalisation), la biométrie, etc. Pour les services web, l’authentification par notification push ou biométrie est plus avantageuse et plus simple que les mots de passe à usage unique, mais moins répandue, alors que l’authentification biométrique est très courante dans les applications mobiles.

Les codes à usage unique envoyés par SMS ou e-mail restent courants, mais sont moins fiables. Si vous pouvez les éviter, utilisez l’une des méthodes ci-dessus.

Les jetons matériels séparés (dongles ou clés matérielles) générant des mots de passe à usage unique existent toujours, même s’ils sont moins attrayants que les applications d’authentification en termes de convivialité.

En résumé, l’authentification par simple couple identifiant/mot de passe appartient peu à peu au passé. Pour suivre l’évolution technologique et ne pas mettre leurs données en danger, les utilisateurs doivent recourir à la 2FA/MFA et être conscients des cybermenaces actuelles.

Liens utiles :

PassSecurium™ gestionnaire de mots de passe (Android, iOS)

AccessSecurium™ – application d’authentification TOTP (Android, iOS)

Autres sources utilisées dans l’article :

• MFA
• 2FA/3FA/MFA
• Authentication factor