MFA : Multi-Factor Authentication
Sécurité
MFA : Multi-Factor Authentication. « Authentification multifacteur », par analogie avec le coffre de banque qui exige à la fois la clé du client et le code de l'employé : voler l'un ne suffit pas.
Des facteurs de natures différentes : On combine ce que l'on sait (un mot de passe), ce que l'on possède (un téléphone, une clé de sécurité) et ce que l'on est (une empreinte). Deux mots de passe ne font pas deux facteurs : ils tombent ensemble au premier hameçonnage réussi.
Tous les seconds facteurs ne se valent pas : Un code reçu par message court ou lu dans une application peut être recopié par un faux site qui le relaie en temps réel. Une clé de sécurité ou une clé d'accès liée au nom du site refuse de répondre ailleurs que chez le vrai site : c'est ce qui la rend résistante à l'hameçonnage.
La fatigue des notifications : Les validations par simple appui sur « Approuver » peuvent être noyées sous des demandes répétées jusqu'à ce que l'utilisateur cède pour avoir la paix. Afficher un code à recopier ou le contexte de la connexion rend cette usure beaucoup moins rentable.
Le maillon de la récupération : Une authentification forte ne vaut que ce que vaut sa procédure de secours : si un appel au support suffit à réinitialiser le second facteur, c'est ce guichet que l'attaquant visera, pas la porte blindée.
Ce qui arrive si on s'en passe
Sans second facteur, un mot de passe volé suffit : récupéré par hameçonnage, réutilisé depuis une fuite d'un autre service ou deviné par essais massifs, il ouvre le compte sans autre obstacle, depuis n'importe où. Les attaques par réutilisation d'identifiants deviennent rentables à grande échelle, et un compte à privilèges compromis de cette façon donne directement la main sur les systèmes qu'il administre. Rien ne distingue alors la connexion de l'attaquant de celle du titulaire : l'intrusion passe pour une activité normale jusqu'à ce que ses effets apparaissent.
Explication de la marmotte
Pour entrer dans un compte, on demande en général un mot de passe. Le problème, c'est qu'un mot de passe peut être deviné, volé ou recopié. L'idée ici est de demander une deuxième preuve, d'une autre sorte : par exemple un objet que l'on a dans la poche, comme son téléphone ou une petite clé, ou bien son empreinte de doigt. Un voleur qui connaît le mot de passe reste alors bloqué devant la porte, parce qu'il lui manque l'objet ou le doigt. C'est comme une porte d'immeuble qui demande à la fois un code et un badge.
Où ce terme est utilisé
- RDP exposé sur Internet : risques, durcissement et détection (12 occurrences)
- Comment contrer le spear phishing et la fraude au président (9 occurrences)
- Mot de passe partagé en équipe et risques réels (9 occurrences)
- Détecter l’impossible travel sur les connexions (8 occurrences)
- Exécuter un threat hunting à partir d'une hypothèse (8 occurrences)
- Pourquoi le VPN ne remplace pas le périmètre (8 occurrences)
- Comment former contre le phishing sans culpabiliser (7 occurrences)
- Principes de sécurité, identité et cryptographie utile au réseau (7 occurrences)
- Authentifier les personnes et les services (5 occurrences)
- Calculer le coût total de possession d'un contrôle de sécurité (5 occurrences)