Authentification multifacteur (MFA)
MFA · 2FA · A2F · double authentification · authentification à deux facteurs · multi-factor authentication · two-factor authentication
Connexion qui exige au moins deux preuves d’identité de natures différentes (ce que vous savez, ce que vous possédez, ce que vous êtes), pour qu’un mot de passe volé ne suffise plus.
En pratique
Le second facteur peut être un code reçu par SMS, un code généré par une application, une notification à valider, une clé de sécurité physique ou une passkey. Tous ne se valent pas : le SMS peut être détourné (échange frauduleux de carte SIM), et codes comme notifications peuvent être relayés par une fausse page de connexion ou obtenus à l’usure (« fatigue MFA »). Les méthodes résistantes à l’hameçonnage (phishing), clés FIDO2 et passkeys, sont liées au vrai site et bloquent ces relais. L’ANSSI recommande l’authentification multifacteur, en privilégiant les facteurs de possession.
Cas réel : en septembre 2022, un attaquant qui disposait du mot de passe d’un prestataire d’Uber, probablement acheté après l’infection de son ordinateur personnel, a multiplié les demandes de validation jusqu’à ce que le prestataire en accepte une. Il a ensuite pu atteindre d’autres comptes internes (source : Uber, 19 septembre 2022).
Comment s’en protéger
- Activer la MFA en priorité sur la messagerie, le VPN, les accès d’administration et les outils cloud.
- Préférer les passkeys ou les clés FIDO2 ; à défaut, une application avec saisie d’un code de correspondance.
- Alerter en cas de rafale de demandes et apprendre aux équipes à refuser toute demande qu’elles n’ont pas initiée.
