Pourquoi les bonnes pratiques MFA doivent être actualisées

Les attaquants utilisant l’IA pour intensifier le phishing, le vol d’identifiants, l’usurpation d’identité et l’ingénierie sociale plus rapidement et de manière plus convaincante que jamais, il devient essentiel de comprendre les limites des stratégies d’authentification multifacteur (MFA) héritées, construites autour des mots de passe et de seconds facteurs standardisés. Dans cet environnement, les bonnes pratiques MFA ne consistent plus simplement à ajouter une étape supplémentaire lors de la connexion. Elles consistent à appliquer une authentification plus forte et plus adaptative, capable de résister aux attaques modernes, de réduire les frictions inutiles et d’instaurer la confiance à chaque interaction utilisateur critique.

La MFA bloque toujours la très grande majorité des compromissions basées sur les mots de passe, mais l’IA a augmenté le taux de réussite des attaques visant les couches humaines et de session ; la MFA résistante au phishing et l’accès conditionnel constituent donc désormais la véritable norme.

Ce document explique comment les bonnes pratiques MFA évoluent en réponse aux menaces pilotées par l’IA. Il compare les méthodes d’authentification les plus courantes aujourd’hui, précise dans quels cas chaque approche apporte le plus de valeur et décrit comment les organisations peuvent combiner une authentification résistante au phishing, des signaux contextuels et des capacités modernes telles que la biométrie et la vérification basée sur l’appareil afin d’améliorer à la fois la sécurité et la facilité d’utilisation. Il montre également comment ces décisions contribuent à une approche plus large de la Verified Trust, dans laquelle la confiance est continuellement renforcée plutôt que présumée une fois lors de la connexion.

Ce que les bonnes pratiques MFA modernes doivent prendre en compte

Traditionnellement, les mécanismes ou facteurs d’authentification ont été classés dans l’un des trois groupes suivants :

1. Quelque chose que vous savez (par exemple, un mot de passe ou un code PIN).
2. Quelque chose que vous possédez (par exemple, un téléphone mobile ou un jeton).
3. Quelque chose que vous êtes (par exemple, une empreinte digitale ou d’autres données biométriques).

Ces trois catégories d’authentification sont les plus fréquemment utilisées. Vous pouvez également rencontrer des classifications supplémentaires, telles que quelque chose que vous faites, un lieu où vous vous trouvez ou le temps, mais gardez à l’esprit qu’il s’agit essentiellement d’éléments ou de sous-facteurs des trois catégories principales existantes. Par exemple, la localisation ou le lieu où vous vous trouvez (GPS) est lié à un appareil ou à un objet connecté en votre possession, ce qui revient en définitive à quelque chose que vous possédez.

Lorsque les facteurs d’authentification ont été introduits, ils apportaient un niveau d’assurance supplémentaire quant au fait que l’utilisateur était bien celui qu’il prétendait être. Mais aucun facteur n’est infaillible à lui seul, car chaque type de facteur (et chaque mécanisme d’authentification relevant de ce facteur) présente ses propres forces et faiblesses. Pour empêcher les acteurs malveillants d’exploiter ces faiblesses, les entreprises ont commencé à adopter l’authentification à deux facteurs (2FA), dans laquelle un utilisateur doit fournir deux facteurs différents pour s’authentifier. L’objectif était d’obliger un attaquant à compromettre deux canaux différents pour prendre le contrôle d’un compte, et ce mécanisme a représenté une amélioration massive de la sécurité par rapport aux méthodes d’authentification précédentes.

Malheureusement, les attaquants ne sont pas restés immobiles et ont inventé diverses façons de compromettre plusieurs facteurs. Avant d’expliquer comment contrer ces attaques, remettons ces nouveaux risques en perspective. La 2FA — toute 2FA, même mot de passe+SMS — est tellement plus sûre qu’un identifiant/mot de passe que, si vous ne l’avez pas mise en œuvre, vous devriez arrêter de lire ce document et le faire immédiatement. L’utilisation de la 2FA plutôt que de l’authentification à facteur unique (SFA) constitue un prérequis minimal pour l’authentification dans l’environnement actuel, car elle accroît sensiblement l’effort nécessaire pour l’attaquant et son taux de compromission est bien inférieur à celui de l’authentification SFA/basée uniquement sur un mot de passe.

Mais une fois qu’un niveau de protection de base est en place, il est temps de faire évoluer votre réflexion de la 2FA vers la MFA. Techniquement, MFA signifie simplement "authentification multifacteur" et, en théorie, cela pourrait n’être que la même 2FA que vous utilisez déjà. Cela peut également impliquer trois, quatre ou en réalité n’importe quel nombre de facteurs, choisis parmi les trois catégories de base.

Ce qui compte, c’est que les bonnes pratiques MFA modernes répondent à cinq priorités :

1. Résistance au phishing piloté par l’IA, au vol d’identifiants, à l’usurpation d’identité et à l’ingénierie sociale
2. Faible friction pour les utilisateurs légitimes
3. Réponses adaptatives basées sur le contexte, l’appareil et le risque
4. Protection lors de l’authentification, de l’enrôlement, de la récupération et des transactions à forte valeur
5. Vérification à plus haut niveau d’assurance lorsque le risque augmente

De plus en plus, les organisations adoptent également des approches de vérification préservant la confidentialité, telles que la biométrie à divulgation nulle de connaissance, dans le cadre d’un modèle plus large de Verified Trust qui évalue en continu le niveau de confiance dans l’identité, l’appareil, le comportement et l’intention d’un utilisateur, plutôt que de présumer cette confiance après une seule connexion.

Comparaison des bonnes pratiques MFA : forces et faiblesses

Ce que vous savez : facteurs de connaissance

Les facteurs de connaissance tels que les mots de passe, les codes PIN et les questions de sécurité apparaissent encore dans de nombreux parcours d’authentification, mais ils ne sont plus suffisamment solides pour, à eux seuls, constituer la base des bonnes pratiques MFA. Cela ne signifie pas que les organisations peuvent éliminer les mots de passe du jour au lendemain. Cela signifie que les bonnes pratiques MFA modernes doivent traiter les facteurs de connaissance comme un point de départ, puis les renforcer avec des méthodes résistantes au phishing, des signaux liés aux appareils, des politiques adaptatives et une vérification renforcée lorsque le risque augmente.

Pour la plupart des organisations, l’objectif n’est pas simplement de remplacer immédiatement tous les mots de passe. Il s’agit de réduire la dépendance aux facteurs de connaissance dans les moments les plus critiques, notamment lors de la connexion, de l’authentification renforcée, de la récupération de compte et des actions à forte valeur. Les stratégies MFA les plus robustes associent facilité d’utilisation et niveau d’assurance plus élevé en maintenant un accès courant à faible friction tout en exigeant une vérification supplémentaire lorsque le contexte ou le risque évolue.

Mots de passe

Les mots de passe sont le facteur de connaissance le plus courant — et ils sont notoirement risqués. Souvent, le problème ne vient pas des mots de passe eux-mêmes, mais plutôt des pratiques des utilisateurs en matière de mots de passe. Les mots de passe longs, générés aléatoirement et à usage unique sont extrêmement sûrs, mais ils sont aussi difficiles à mémoriser. C’est là qu’interviennent les mauvaises pratiques, comme l’utilisation de mots de passe faciles à deviner tels que "123456" ou "letmein".

Les mauvaises pratiques incluent également l’utilisation du même mot de passe ou d’autres informations fondées sur la connaissance sur plusieurs sites, ce qui accroît encore davantage les risques. Même si un site dispose d’une excellente sécurité, celle-ci n’est solide qu’à la hauteur du système le plus faible lorsque des identifiants utilisés sur d’autres sites sont compromis. En outre, la réutilisation, le phishing, le credential stuffing et l’ingénierie sociale assistée par l’IA les ont rendus plus faciles à voler et à exploiter à grande échelle.

Les identifiants volés finissent souvent sur le dark web pour être revendus, où ils peuvent être obtenus par des attaquants. Cela a conduit à l’essor des prises de contrôle de comptes via des attaques par botnet, dans lesquelles des listes volées de noms d’utilisateur et de mots de passe sont rejouées contre des sites web à la recherche de correspondances. Les attaquants n’ont pas besoin de réussir très souvent, car même un taux de réussite de 2 % signifie que, dans un système comptant 1,000 utilisateurs, un attaquant peut être en mesure de compromettre 20 comptes. Afin d’améliorer la sécurité des mots de passe, une bonne pratique consiste à vérifier les mots de passe nouveaux ou mis à jour par rapport à une liste de mots de passe connus comme volés ou compromis.

La manière dont une entreprise gère les mots de passe est également importante. Même le mot de passe le plus difficile à deviner peut être vulnérable s’il n’est pas haché avec une valeur d’amorçage privée, stocké de façon centralisée et dissimulé au système sur lequel l’utilisateur se connecte. Lorsque les mots de passe sont transférés ou stockés en clair, le risque qu’ils soient volés et utilisés pour une prise de contrôle de compte augmente. Et cela ne concerne pas uniquement les mots de passe. Tout facteur fondé sur la connaissance stocké augmente l’exposition, c’est pourquoi les stratégies MFA les plus solides orientent le niveau d’assurance vers des méthodes résistantes au phishing, le contexte de l’appareil, la biométrie et la vérification adaptative.

Facilité d’utilisation des mots de passe

Les mots de passe restent courants, mais les bonnes pratiques MFA modernes les considèrent comme une base fragile, car le phishing, la réutilisation, le credential stuffing et l’ingénierie sociale assistée par l’IA les ont rendus plus faciles à compromettre à grande échelle. Les mots de passe simples et faciles à retenir sont pratiques, mais, en plus des attaques de credential stuffing mentionnées ci-dessus, ils sont vulnérables aux attaques par force brute à l’aide de dictionnaires ou de listes de mots de passe courants. Les mots de passe longs sont plus sûrs, mais deviennent moins pratiques, surtout s’ils doivent être mis à jour fréquemment. Ce manque de facilité d’utilisation peut entraîner une augmentation des réinitialisations de mots de passe, des appels au support, du partage de mots de passe entre sites ainsi que d’autres problèmes d’ergonomie et de friction utilisateur que nous avons mentionnés au début de ce document.

PIN

Un PIN est une version plus courte d’un facteur de connaissance. Il est généralement composé uniquement de chiffres et comporte entre 4 et 6 chiffres. Il est évident qu’un PIN à 4 ou 6 chiffres est beaucoup plus vulnérable aux attaques par force brute qu’un mot de passe, car il n’existe respectivement que 10,000 ou 1,000,000 combinaisons possibles. En tant que tel, un PIN serait un mauvais choix comme facteur unique protégeant un site web et ne devrait jamais être stocké dans un emplacement central. Mais si le PIN est utilisé uniquement pour déverrouiller une application mobile, il faudrait beaucoup de temps à quelqu’un pour le forcer par force brute. Si un verrouillage intervient après un certain nombre de saisies incorrectes, ou si des délais croissants sont appliqués entre chaque tentative suivante, la sécurité est encore renforcée.

Les PIN sont relativement simples à mettre en œuvre, mais leur valeur en matière de sécurité dépend fortement du fait qu’ils soient utilisés localement sur un appareil de confiance et protégés par des limites de tentatives ou des verrouillages. Les PIN peuvent offrir une expérience utilisateur rapide et familière, mais la seule facilité d’utilisation ne suffit plus à justifier leur emploi comme facteur significatif dans des parcours d’authentification à risque plus élevé. Cependant, les PIN constituent en général un premier facteur solide, stocké uniquement en local, dans un scénario multifacteur à faible risque.

KBA

Une autre manière courante de confirmer l’identité d’une personne consiste à utiliser l’authentification fondée sur la connaissance (KBA), qui oblige les consommateurs à fournir des réponses à des questions qu’un attaquant, en théorie, ne connaîtrait pas. Le KBA ne devrait plus être considéré comme largement interchangeable avec les mots de passe et, s’il est utilisé, il devrait être limité à des scénarios de récupération ciblés ou à des cas particuliers, appuyés par des signaux plus forts. Il existe deux types de KBA : les réponses partagées et le KBA dynamique. Avec les réponses partagées, l’organisation fournit une liste de questions et l’utilisateur donne la réponse dans le cadre d’un processus d’inscription. Lorsqu’on lui pose la question, l’utilisateur doit fournir la bonne réponse. En général, si l’utilisateur saisit une mauvaise réponse, une autre question lui est posée, car poser plusieurs fois la même question pourrait permettre à un attaquant de deviner trop facilement la réponse. Le problème est que, que le KBA repose sur des réponses partagées ou sur des questions dynamiques, les réponses sont souvent faciles à trouver, à déduire ou à obtenir par ingénierie sociale à partir d’informations publiques, de données issues de violations et de recherches assistées par l’IA.

Le KBA dynamique peut être moins prévisible que les questions à réponses partagées, mais il peine toujours à fournir un niveau d’assurance durable dans un environnement de menaces marqué par une exposition massive des données et une fraude automatisée. La difficulté de cette méthode est qu’il est compliqué de trouver des questions qui ne relèvent pas à la fois de la connaissance publique et qui soient raisonnablement faciles à renseigner. Par exemple, demander à quelqu’un de se souvenir du montant exact de sa mensualité de prêt immobilier il y a deux renégociations a peu de chances d’aboutir à une expérience client positive.

Sécurité du KBA

Le KBA n’est plus une option d’authentification moderne solide, car les données publiques, les données issues de violations et l’ingénierie sociale assistée par l’IA rendent de nombreuses réponses plus faciles à découvrir ou à déduire. De nombreuses questions KBA reposent sur des informations que des criminels peuvent facilement trouver sur les réseaux sociaux ou via d’autres sources publiques en s’appuyant sur l’IA. Et comme les réponses KBA sont stockées de manière centralisée, elles doivent être chiffrées et ne jamais être transmises en clair pendant l’authentification.

Facilité d’utilisation du KBA

Du point de vue de la facilité d’utilisation, il est courant qu’un consommateur échoue à son propre questionnaire KBA, ce qui entraîne une expérience client négative. Bien que le KBA puisse encore être disponible sur plusieurs canaux, sa large disponibilité ne suffit plus à justifier son utilisation comme signal de confiance significatif et, s’il est utilisé, il devrait être limité à des scénarios de récupération ciblés ou à des cas particuliers appuyés par des signaux plus forts ou des méthodes d’authentification renforcée. Ainsi, le KBA peut avoir sa place dans des scénarios tels que la récupération de compte.

Ce que vous possédez : facteurs de possession

Les facteurs de possession ne sont efficaces que lorsque les organisations prévoient également la perte d’appareil, le changement d’appareil et la récupération sans affaiblir le parcours global d’authentification. Comme ces situations sont fréquentes, tout système utilisant un facteur de possession doit disposer d’un plan de secours. Un grand cabinet de conseil indique par exemple qu’un jour donné, entre plusieurs centaines et plus d’un millier d’employés perdent leur téléphone ou oublient de l’apporter au travail. Comme l’entreprise a des exigences de sécurité strictes pour l’accès aux applications sensibles, cela se traduit par des centaines, voire des milliers, d’appels quotidiens au centre de support afin de valider manuellement l’employé et de délivrer des identifiants temporaires.

Sécurité des facteurs de possession

Les facteurs de possession peuvent offrir une sécurité élevée, mais leur efficacité dépend de la méthode, car les OTP, les notifications push et d’autres facteurs fondés sur l’appareil peuvent toujours être exposés au phishing, aux attaques par relais, à la lassitude d’approbation ou à la compromission de l’appareil.

Facilité d’utilisation des facteurs de possession

Du point de vue de la facilité d’utilisation, les facteurs de possession sont bien notés. Répondre à une notification push sur son téléphone, brancher un authentificateur FIDO sur un port USB ou cliquer sur un lien temporaire dans un e-mail sont autant d’actions relativement pratiques. Le meilleur choix dépend du scénario concerné.

Jetons matériels RSA et OATH

Les jetons RSA et OATH sont de petits dispositifs matériels que leur propriétaire transporte pour autoriser l’accès à un service réseau. L’appareil peut prendre la forme d’une carte à puce, ou être intégré à un objet facile à transporter comme un porte-clés ou une clé USB. L’appareil lui-même contient un algorithme (une horloge ou un compteur) et un enregistrement de graine servant à calculer le nombre pseudo-aléatoire, et les utilisateurs saisissent ce nombre pour prouver qu’ils possèdent le jeton. Le serveur qui authentifie l’utilisateur doit également disposer d’une copie de l’enregistrement de graine de chaque porte-clés, de l’algorithme utilisé et de l’heure correcte. Certains jetons matériels sont équipés d’une interface USB, et ces jetons sont insérés dans le port USB du PC. Lorsque l’utilisateur doit s’authentifier, il appuie sur une touche du dispositif, qui génère un OTP et émule un clavier pour envoyer le code d’accès au serveur, comme si l’utilisateur l’avait saisi manuellement.

Jetons d’authentification FIDO matériels

Les jetons FIDO matériels sont également de petits dispositifs matériels. Ils peuvent communiquer avec votre ordinateur via USB, Near Field Communication (NFC) ou Bluetooth Low Energy (BLE). Très efficaces contre les attaques de phishing, l’authentification FIDO exige que l’utilisateur enregistre l’authentificateur pour chaque site web auprès duquel il souhaite s’authentifier. L’authentificateur génère une paire unique de clés publique/privée pour un site web spécifique et renvoie la clé publique à ce site web. L’authentification n’est autorisée que via TLS, et la clé est liée au domaine du site web. Par conséquent, si l’utilisateur est ensuite piégé sur un faux site web, la demande d’authentification échouera puisque l’attaquant ne provient pas du domaine du site web enregistré. La prise en charge de FIDO est désormais largement disponible sur les principaux navigateurs, systèmes d’exploitation et plateformes d’appareils, ce qui a supprimé une grande partie des frictions de compatibilité qui ralentissaient autrefois son adoption.

Le coût des authentificateurs FIDO a traditionnellement constitué un frein, et les entreprises n’exigent et ne distribuent généralement des authentificateurs FIDO qu’à certains groupes de personnes et pour les applications ayant les besoins de sécurité les plus élevés. Mais les grandes plateformes mobiles d’Android et Apple intègrent la prise en charge des authentificateurs FIDO logiciels, qui reposent sur des logiciels et peuvent exploiter les capacités biométriques du téléphone, telles que l’empreinte digitale ou la reconnaissance faciale. Comme l’utilisation de ces authentificateurs n’entraîne aucun coût supplémentaire, l’adoption à grande échelle de l’authentification FIDO est beaucoup plus réalisable sur le plan économique. Les authentificateurs FIDO logiciels sont abordés ci-dessous dans la section consacrée à l’authentification biométrique.

Mots de passe à usage unique (OTP)

Les OTP restent largement utilisés car ils sont flexibles et familiers, mais les bonnes pratiques MFA modernes les considèrent comme une option orientée commodité plutôt que comme la forme d’authentification la plus forte. Cette méthode permet de vérifier le contrôle d’un canal de distribution ou d’un appareil, mais elle n’apporte pas à elle seule une forte assurance que la bonne personne est présente. Ils sont également limités dans le temps, et les serveurs peuvent restreindre le nombre de tentatives dont dispose un utilisateur pour saisir le bon OTP. Ils peuvent réduire le succès de la réutilisation de mots de passe et du credential stuffing, mais ils restent vulnérables au phishing, aux attaques par relais et à l’interception en temps réel.

Les OTP peuvent toujours être interceptés ou rejoués via des proxys de phishing en temps réel, c’est pourquoi les bonnes pratiques MFA modernes accordent de plus en plus la priorité à des méthodes résistantes au phishing pour les accès à risque plus élevé. Les proxys de phishing permettent aux attaquants de mettre en place des sites de phishing avec des noms de domaine similaires à ceux de vrais sites web. Ces sites ressemblent au véritable site puisqu’ils relaient effectivement le trafic vers et depuis le site légitime, et peuvent inspecter et modifier en temps réel toute information qu’ils souhaitent. Un utilisateur convaincu qu’un site de phishing est légitime saisira l’OTP sur ce site, qui pourra alors utiliser le code OTP pour se connecter en temps réel au site légitime. La robustesse d’un OTP dépend moins du code lui-même que de la sécurité du canal de distribution, de l’appareil et du parcours global d’authentification. Nous aborderons les considérations de sécurité propres aux différentes méthodes OTP dans les sections individuelles ci-dessous, en commençant par les jetons logiciels.

Application OTP / jetons logiciels

Les jetons logiciels constituent une variante purement logicielle des jetons RSA/OATH. Ils utilisent la même interface que les jetons matériels, de sorte qu’une seule implémentation côté serveur peut exploiter à la fois les jetons matériels et logiciels. Le logiciel fournit une série continue d’OTP et peut fonctionner comme application mobile ou de bureau.

En matière de sécurité, dans la pratique, les jetons logiciels sont moins vulnérables à la perte que les jetons matériels. Les utilisateurs mobiles sont plus susceptibles de perdre un jeton matériel à usage unique que d’oublier ou de perdre leur téléphone, et lorsqu’ils perdent un téléphone, ils sont plus susceptibles de signaler la perte et le jeton logiciel peut être désactivé. Les jetons logiciels sont également plus faciles et moins coûteux à distribuer que les jetons matériels, qui doivent être expédiés.

Notification push

Les notifications push peuvent fournir un second facteur à faible friction, mais les bonnes pratiques MFA modernes doivent tenir compte de la lassitude d’approbation, du bombardement de sollicitations et du risque que des utilisateurs approuvent des demandes frauduleuses. Les capacités des applications peuvent varier considérablement.

La MFA basée sur des notifications push est facile à utiliser, mais elle doit être conçue pour résister au bombardement de notifications et aux validations accidentelles grâce à un contexte renforcé, à la correspondance de nombres ou à des signaux de vérification supplémentaires. Les utilisateurs sont souvent tellement submergés par les demandes de notification qu’ils finissent simplement par toutes les approuver. Cette tendance joue en faveur des hackers qui ont compromis le premier facteur lors d’un processus de connexion, car ils savent qu’un certain pourcentage d’utilisateurs fournira le second facteur au nom de l’attaquant lorsqu’ils reçoivent une notification push.

OTP par SMS

L’OTP par SMS reste largement disponible, mais il est désormais préférable de le considérer comme une solution de secours à plus faible niveau d’assurance en raison des risques de SIM swapping, de portage de numéro et de phishing. Bien que l’option OTP par SMS présente l’avantage de ne pas exiger que l’utilisateur possède un smartphone moderne compatible avec les applications mobiles, elle comporte plusieurs inconvénients liés au portage de numéro et au SIM swapping. Cette pratique est devenue suffisamment répandue pour que le NIST déconseille désormais l’usage des SMS. Ainsi, même s’il est judicieux de proposer l’OTP par SMS aux consommateurs pour des accès moins critiques en matière de sécurité, les organisations doivent évaluer si son niveau de sécurité est suffisant pour des connexions d’entreprise à plus forte valeur.

OTP par appel vocal

Une méthode de distribution d’OTP consiste à passer un appel téléphonique vers un numéro déjà associé à un utilisateur. Cette méthode est très accessible, car elle ne nécessite qu’un téléphone. Elle fonctionne en l’absence de téléphone mobile, ou via une ligne fixe lorsqu’il n’y a pas de couverture cellulaire. Mais du point de vue de la sécurité, elle est vulnérable au SIM swapping sur un appareil mobile, ou à des abus potentiels si le téléphone est partagé entre plusieurs personnes.

OTP par e-mail

L’OTP transmis par e-mail constitue un second facteur viable. Il perd des points en matière d’utilisabilité, car il oblige l’utilisateur à basculer vers son application de messagerie depuis l’application à laquelle il tentait de s’authentifier, puis à mémoriser le code OTP ou à le copier-coller dans l’application d’authentification. En raison de ces limites, l’OTP basé sur l’e-mail est généralement utilisé pour réinitialiser des mots de passe oubliés, lorsque l’utilisateur peut prouver qu’il est propriétaire du compte e-mail en répondant à un lien à durée limitée contenu dans l’e-mail.

Du point de vue de la sécurité, l’e-mail n’est sécurisé qu’à la hauteur des identifiants utilisés pour y accéder. Vous ne devez jamais autoriser l’e-mail comme mécanisme de secours pour plusieurs facteurs MFA. Supposons, par exemple, que vous autorisiez l’OTP par e-mail comme solution de secours pour un mot de passe oublié, ainsi que comme option de secours pour un appareil perdu, alors que l’e-mail n’est protégé que par un seul facteur. Dans ce cas, vous n’auriez pas une véritable authentification multifacteur, puisque l’attaquant n’aurait qu’un seul élément à compromettre (le compte e-mail) pour accéder au compte de l’utilisateur.

Ce que vous êtes : facteurs biométriques

Les facteurs biométriques restent populaires, car ils peuvent associer une sécurité élevée à une faible friction, d’autant plus que des approches plus récentes comme la biométrie à divulgation nulle de connaissance permettent d’ajouter une authentification biométrique respectueuse de la vie privée ainsi qu’une revérification à des moments critiques comme la connexion, l’authentification renforcée, l’approbation de transaction et la récupération de compte. Les lecteurs d’empreintes digitales sont désormais standard sur presque tous les smartphones et ordinateurs portables. Windows Hello offre une intégration avec les dispositifs biométriques, tandis que des appareils plus récents comme l’iPhone X et le Microsoft Surface Book 2 proposent des fonctions intégrées de reconnaissance faciale. Ces capacités fournies par la plateforme peuvent être facilement exploitées dans le cadre d’un flux d’authentification.

Sécurité biométrique

Les données biométriques peuvent offrir un haut niveau d’assurance, mais les bonnes pratiques modernes en matière de MFA dépendent de plus en plus de la manière dont la vérification biométrique est mise en œuvre, protégée et combinée avec des signaux de l’appareil et du contexte. La vérification par empreinte digitale peut être très précise, mais la question la plus importante aujourd’hui est de savoir si le flux biométrique peut résister à l’usurpation, à la compromission de l’appareil et aux attaques de présentation dans des conditions réelles. La technologie de reconnaissance faciale a également fait d’énormes progrès en précision, mais les déploiements modernes doivent prendre en compte l’usurpation renforcée par l’IA et l’usurpation d’identité assistée par deepfake grâce à une détection de présence robuste et à des contrôles de vérification de niveau d’assurance supérieur.

La biométrie présente toutefois certaines faiblesses. Du point de vue de la sécurité, si la donnée biométrique est liée à un appareil, par exemple, elle est alors soumise aux mêmes problèmes d’oubli d’appareil qu’un facteur de possession. Le stockage de la donnée biométrique sur un serveur central élimine ce problème, mais vous devez manipuler ce type de données avec précaution, car elles sont considérées comme des informations personnellement identifiables (PII) par des réglementations telles que le GDPR et le CCPA. De nombreuses organisations explorent des approches respectueuses de la vie privée comme la biométrie à divulgation nulle de connaissance, dans lesquelles les informations biométriques ne sont jamais stockées sous une forme récupérable ou reconstructible, afin de satisfaire ou de dépasser les exigences de conformité réglementaire. Aux États-Unis, le Texas, l’Illinois et l’État de Washington ont adopté des lois concernant la collecte et le partage des informations biométriques, et plusieurs autres États ont proposé des réglementations similaires.

Utilisabilité de la biométrie

Les problèmes d’utilisabilité liés à la biométrie varient aussi fortement selon le cas d’usage. Par exemple, un lecteur d’empreintes digitales serait un mauvais choix pour vérifier des patients dans une clinique de vaccination contre la grippe. De même, la reconnaissance faciale n’est pas fiable si l’éclairage ne peut pas être contrôlé. Une étude portant sur des distributeurs automatiques équipés de reconnaissance faciale a montré que la précision chutait fortement l’après-midi pour les machines placées face à des fenêtres exposées à l’ouest, car le reflet du soleil couchant sur ces fenêtres surexposait complètement les images de reconnaissance faciale.

Biométrie et authentificateur FIDO de plateforme

FIDO reste l’une des défenses les plus solides contre le phishing, car les authentificateurs sont liés à des domaines de confiance et ne peuvent pas être facilement rejoués via des sites ressemblants ou des proxys de phishing en temps réel.

Les authentificateurs FIDO de plateforme sont désormais intégrés aux principaux systèmes d’exploitation et appareils, ce qui a considérablement réduit les frictions de déploiement et amélioré l’accessibilité. L’utilisateur enregistre l’authentificateur FIDO sur les sites web qui prennent en charge la norme WebAuthn via le navigateur. Lorsque le site web demande une authentification, l’utilisateur s’authentifie sur le téléphone comme il le fait habituellement : avec un code PIN, une empreinte digitale ou la reconnaissance faciale. Cela offre une combinaison puissante de sécurité et de simplicité d’utilisation. Apple prend en charge l’utilisation d’authentificateurs FIDO externes (jetons FIDO physiques) pour s’authentifier via WebAuthn auprès d’applications basées sur le navigateur exécutées sur Mac et iPhone via Bluetooth Low Energy ou USB. Apple, Google et Microsoft prennent désormais en charge des expériences FIDO basées sur la plateforme qui permettent aux utilisateurs de s’authentifier avec des données biométriques intégrées telles que Face ID, Touch ID ou des données biométriques natives de l’appareil dans les applications et navigateurs compatibles. Cela permet aux utilisateurs de se connecter à des sites web prenant en charge la norme WebAuthn.

FIDO est devenu une option d’authentification largement pratique et résistante au phishing, à la fois pour les cas d’usage des collaborateurs et des clients, grâce à une meilleure prise en charge par les plateformes et à des expériences utilisateur plus fluides.

Comment choisir les bonnes méthodes MFA

Choisir les mécanismes MFA les mieux adaptés à votre situation particulière exige de trouver le bon équilibre entre sécurité, utilisabilité et coût. Le tableau ci-dessous tente de résumer les points forts et les points faibles des différents mécanismes MFA.

Comment l’Adaptive MFA renforce la sécurité

Nous avons beaucoup parlé des catégories d’authentification et des différents mécanismes au sein de ces catégories. Le MFA moderne ne consiste plus seulement à collecter des facteurs lors de la connexion ; il s’agit d’appliquer le bon niveau de confiance au bon moment. En combinant le MFA avec des signaux de contexte, d’appareil, de comportement et de transaction, les organisations peuvent évoluer vers un modèle plus large de Verified Trust qui adapte l’authentification au risque de chaque interaction. Le principe consiste à évaluer dynamiquement le risque d’une opération donnée en fonction de :

1. Le statut d’authentification actuel de l’utilisateur
2. Le risque associé à la ressource concernée
3. Le contexte de la demande

Cela permet d’offrir une meilleure facilité d’utilisation et un plus grand confort aux utilisateurs en évitant des facteurs d’authentification supplémentaires lorsque le risque est faible, par exemple lorsqu’un utilisateur se connecte sur un appareil géré depuis une adresse IP fréquemment utilisée, à la même heure de la journée que celle à laquelle il se connecte habituellement.

L’Adaptive MFA utilise des signaux contextuels pour détecter lorsque le comportement, la posture de l’appareil ou les détails d’une transaction sortent de la norme, puis renforce la vérification uniquement lorsque le niveau de confiance diminue. Cela peut être le cas, par exemple, lorsque des utilisateurs se connectent pour la première fois depuis un appareil non géré, se connectent depuis San Francisco une heure après s’être connectés depuis Paris, se connectent depuis une adresse IP ayant une mauvaise réputation IP, ou tentent d’effectuer une transaction de plus de 100,000 $. Dans ces moments-là, les organisations peuvent augmenter le niveau d’assurance avec une vérification supplémentaire adaptée au risque, sans imposer à chaque utilisateur le même niveau de friction.

Comme le montre l’image ci-dessous, pour obtenir l’accès à une ressource, un utilisateur s’authentifie à l’aide d’un facteur tel qu’un mot de passe. Au moment de l’authentification, le système collecte et vérifie également des signaux d’authentification. Ce n’est que si ces vérifications détectent un élément inattendu et anormal que l’utilisateur est invité à s’authentifier avec un deuxième facteur avant que l’accès ne soit accordé. Et si le risque est trop élevé, votre politique d’authentification peut décider de ne pas autoriser l’accès du tout, ou de ne l’autoriser qu’avec des privilèges réduits.

Le MFA de renforcement fondé sur le risque est déclenché par un contexte ou un comportement atypique et anormal. Ce n’est que lorsque le contexte collecté via le premier facteur d’authentification indique quelque chose d’inattendu qu’un deuxième facteur d’authentification est demandé avant que l’accès ne soit accordé.

Les bonnes pratiques du MFA moderne reposent sur davantage que de simples facteurs statiques, en utilisant des signaux contextuels et de risque pour évaluer en continu le niveau de confiance accordé à un utilisateur, un appareil et une session.

Recommandations de bonnes pratiques pour un MFA moderne

Il est clair que les organisations doivent continuer à évoluer au-delà des approches centrées sur le mot de passe et du MFA hérité. Dans l’environnement de menace actuel, le 2FA de base reste le minimum, mais les bonnes pratiques du MFA moderne exigent de plus en plus une authentification résistante au phishing, des politiques adaptatives et une vérification renforcée lorsque le risque augmente. Sur la base de notre évaluation des technologies actuelles et émergentes, ainsi que de nos échanges avec des clients, des partenaires et d’autres parties prenantes, nous formulons les recommandations suivantes :

1. Donnez la priorité à l’authentification résistante au phishing. À mesure que les attaques de phishing et d’usurpation d’identité pilotées par l’IA deviennent plus convaincantes et plus évolutives, les organisations doivent aller au-delà des stratégies dépendantes des OTP et adopter une authentification basée sur FIDO, des expériences passkey et des authentificateurs de plateforme partout où cela est possible.
2. Utilisez l’authentification biométrique lorsqu’elle améliore de manière significative à la fois le niveau d’assurance et l’expérience utilisateur, en particulier lorsqu’elle est associée à FIDO ou à d’autres méthodes résistantes au phishing. Des approches respectueuses de la confidentialité, telles que la biométrie à divulgation nulle de connaissance, peuvent également aider les organisations à renforcer les parcours de connexion, de renforcement d’authentification, d’approbation des transactions et de récupération sans accroître la dépendance à l’égard de secrets stockés de manière centralisée ou de données biométriques reconstructibles.
3. Proposez plusieurs options d’authentification, mais toutes les options ne doivent pas offrir le même niveau de confiance. Les stratégies MFA les plus solides offrent aux utilisateurs des parcours flexibles pour l’accès et la récupération, tout en réservant les méthodes à plus haut niveau d’assurance aux interactions les plus risquées.
4. Veillez à ce que les parcours de récupération n’affaiblissent pas le niveau d’assurance. Si les utilisateurs peuvent réinitialiser ou récupérer plusieurs facteurs via le même canal à faible niveau d’assurance, vous avez en pratique ramené le MFA à un point de défaillance unique.
5. Tenez compte des scénarios sans mobile et des scénarios d’accès contraint. Fournissez des options d’authentification qui fonctionnent toujours lorsque les utilisateurs ne disposent pas d’un accès mobile fiable, ne peuvent pas recevoir de messages ou opèrent dans des environnements hors ligne ou restreints.
6. Utilisez des politiques Adaptive MFA pour évaluer en temps réel le contexte, l’appareil, le comportement et le risque lié à la transaction. Cela fait évoluer la MFA vers un modèle plus large de confiance vérifiée, dans lequel les organisations réduisent les frictions inutiles pour les activités à faible risque et n’augmentent le niveau d’assurance que lorsque la confiance dans l’utilisateur, l’appareil ou l’intention change.

La prévention de la fraude va au-delà de la MFA

Découvrez comment pérenniser l’ensemble de votre stratégie de sécurité. Obtenez le guide ultime de la prévention de la fraude en ligne.

¹ Harvard Business Review, L’IA va accroître le nombre — et la qualité — des attaques de phishing

Chez Ping Identity, nous rendons possible la confiance à chaque instant numérique, pour les clients, les employés, les partenaires et les identités non humaines. Que vous sécurisiez des millions d’utilisateurs, luttiez contre la fraude, simplifiiez l’accès des tiers ou adoptiez une approche sans mot de passe, instaurer la confiance ne devrait pas vous ralentir. Notre plateforme d’identité de niveau entreprise est conçue pour l’évolutivité, la rapidité et la flexibilité, et fonctionne de manière transparente avec vos environnements cloud, hybrides et sur site existants. Nous vous aidons à adopter l’IA et l’automatisation en toute confiance grâce à Runtime Identity, afin que vous puissiez vérifier en continu l’identité, le contexte et l’intention de chaque agent d’IA et contrôler ses actions en temps réel. Avec Ping, toutes les expériences numériques commencent par la confiance. Pour en savoir plus, rendez-vous sur pingidentity.com.