Qu’est-ce que l’authentification multi-facteurs (MFA) ?

L’authentification multi-facteurs (MFA) utilise deux ou plusieurs types différents d’authentification pour vérifier l’identité d’un utilisateur. Elle a été créée à l’origine pour rendre plus difficile l’accès à un compte pour un attaquant s’il a deviné le mot de passe de l’utilisateur ou s’il a été exposé lors d’une violation de données.

Aujourd’hui, la MFA est omniprésente, utilisée pour sécuriser à la fois les comptes professionnels et personnels. La combinaison d’un mot de passe et d’un mot de passe à usage unique (OTP) envoyé à un smartphone ou généré par une application d’authentification est l’approche la plus courante pour mettre en œuvre la MFA. Cependant, de nombreuses options existent, offrant souvent une sécurité renforcée. Par exemple, les biométries sont considérées comme le type d’authentification le plus fort.

L’importance de la MFA

La MFA a été inventée pour remédier aux lacunes de l’authentification traditionnelle basée sur les mots de passe. En théorie, les utilisateurs devraient avoir un mot de passe unique et fort pour chaque compte. En pratique, de nombreux mots de passe sont faciles à deviner, ce qui permet aux attaquants de compromettre des comptes importants.

La MFA contribue à rendre les attaques de prise de contrôle de compte plus difficiles en exigeant que l’attaquant compromette plusieurs couches d’authentification. Elle réduit l’efficacité des devinettes de mots de passe et peut diminuer la vulnérabilité d’un utilisateur aux attaques de phishing. L’amélioration de la sécurité des comptes qui en résulte est la raison pour laquelle la MFA est exigée par de nombreuses réglementations en matière de sécurité et pour les comptes à haut risque, tels que ceux des institutions bancaires.

Quels sont les facteurs d’authentification MFA ?

La MFA tire son nom du fait qu’elle exige qu’un utilisateur fournisse plusieurs facteurs d’authentification pour accéder à son compte. Ces facteurs d’authentification proviennent de deux catégories ou plus.

Quelque chose que vous savez

Les facteurs d’authentification basés sur la connaissance incluent les mots de passe, les phrases de passe, les codes PIN et les questions de sécurité. Idéalement, ceux-ci devraient être uniques et générés aléatoirement ou être quelque chose connu uniquement de l’utilisateur légitime.

Cependant, les utilisateurs ont tendance à réutiliser des mots de passe ou à choisir des mots de passe facilement mémorisables en raison du grand nombre de comptes en ligne. Cela a suscité une tendance vers l’authentification sans mot de passe, qui évite ces facteurs basés sur la connaissance pour améliorer la sécurité et l’utilisabilité.

Quelque chose que vous avez

Les facteurs d’authentification basés sur la possession valident l’identité d’un utilisateur en fonction de sa possession d’un appareil particulier, tel qu’un smartphone, un ordinateur portable, une carte intelligente ou un jeton matériel. L’exemple le plus courant de cela est une application d’authentification qui génère des OTP. Une autre option est des certificats numériques stockés sur un appareil, une carte intelligente ou un jeton matériel.

Quelque chose que vous êtes

Les facteurs d’authentification biométriques utilisent les caractéristiques uniques d’un utilisateur pour l’identifier. Les exemples courants incluent la reconnaissance des empreintes digitales, faciale ou vocale.

Bien que les caractéristiques physiques soient plus couramment utilisées, il est également possible d’utiliser des traits comportementaux uniques pour l’authentification. Certains exemples incluent la modélisation de la démarche de l’utilisateur, des motifs de frappe ou la façon dont il utilise un smartphone.

Les biométries sont les plus sécurisées des trois types les plus courants de facteurs d’authentification. Cependant, elles font également face à des préoccupations importantes en matière de confidentialité et de sécurité, car elles nécessitent le stockage d’informations personnellement identifiables (PII) et ne peuvent pas être modifiées en cas de violation.

Autres facteurs d’authentification

Bien que ces trois types de facteurs d’authentification soient les choix les plus courants pour la mise en œuvre de l’AMF, ils ne sont pas les seules options. Un système d’authentification peut utiliser tout ce qui est unique à un utilisateur pour l’identifier. Par exemple, certains systèmes peuvent utiliser « quelque part où vous êtes » comme facteur, en utilisant la géolocalisation ou les adresses IP comme partie du processus de vérification d’identité.

Mécanismes d’authentification courants de l’AMF

Certains facteurs d’authentification sont plus courants que d’autres, en particulier pour les comptes en ligne.

Mot de passe

Les mots de passe sont la méthode la plus courante utilisée par les personnes pour prouver leur identité en ligne. Cela devrait impliquer un mot de passe long, aléatoire et unique à un compte particulier. Cependant, de nombreux utilisateurs choisissent des mots de passe faibles, compromettant ainsi la sécurité de leur compte. C’est l’une des principales raisons pour lesquelles l’authentification multifactorielle (MFA) a été inventée et le moteur derrière l’authentification sans mot de passe.

Mots de passe à usage unique (OTP)

Les OTP sont des codes à usage unique utilisés comme partie d’un facteur d’authentification « quelque chose que vous avez ». Typiquement, ces codes sont générés par une application d’authentification ou envoyés à un appareil par message texte (bien que cela soit peu sécurisé).

Les applications d’authentification utilisent plusieurs schémas différents pour générer des OTP en synchronisation avec un serveur d’authentification. Dans les deux cas, l’application et le serveur se synchronisent lors de la création du compte, souvent en faisant scanner un code QR par l’utilisateur. À partir de là, les OTP basés sur le temps (TOTP) génèrent un nouvel OTP à intervalles fixes, tandis que les OTP basés sur HMAC (HOTP) génèrent un nouveau code uniquement après une authentification réussie.

Notifications Push

Les notifications push sont une autre méthode courante d’implémentation de l’authentification « quelque chose que vous avez » en utilisant un smartphone ou une tablette. Ces systèmes envoient une notification à l’appareil, et l’utilisateur peut ouvrir la notification et vérifier qu’il était la personne qui a tenté de se connecter. Les notifications push peuvent également être utilisées pour livrer un OTP à un appareil.

Jetons matériels

Les jetons matériels comme les Yubikeys sont une autre forme d’authentification « quelque chose que vous avez ». Ces dispositifs peuvent générer des OTP ou des signatures numériques pour prouver l’identité d’un utilisateur. Étant donné qu’ils sont des dispositifs autonomes avec des défenses anti-manipulation intégrées, ils sont considérés comme plus sécurisés que les applications d’authentification et des systèmes similaires.

Scanners biométriques

Les scanners biométriques incluent divers systèmes pour reconnaître les empreintes digitales, les visages, les voix ou d’autres caractéristiques uniques. La biométrie est la forme d’authentification la plus sécurisée et est devenue plus courante avec la croissance des smartphones équipés de caméras intégrées et de scanners d’empreintes digitales.

Comment fonctionne la MFA ?

La MFA utilise plusieurs facteurs d’authentification pour contrôler l’accès à un système. Cela peut être divisé en quatre étapes principales :

1. Identification de l’utilisateur : L’identification détermine quel compte l’utilisateur tente d’accéder. Cela se fait via un nom d’utilisateur ou une adresse e-mail.
2. Authentification primaire : Les systèmes MFA demandent généralement des facteurs d’authentification en plusieurs étapes. La plupart des systèmes demanderont un mot de passe comme facteur d’authentification primaire.
3. Authentification secondaire : Ensuite, l’utilisateur sera invité à fournir un second facteur d’authentification, tel qu’un OTP. Ceci peut être généré par une application ou envoyé à l’utilisateur sur demande.
4. Vérification et accès : Le serveur d’authentification vérifie que les facteurs fournis sont corrects. Si c’est le cas, il vérifie que l’utilisateur est autorisé à faire la demande et accorde ou refuse l’accès en conséquence.

Défis et considérations pour l’utilisation de la MFA

La MFA peut améliorer considérablement la sécurité des comptes en réduisant le risque d’attaques de prise de contrôle de compte. Cependant, elle comporte des défis et des considérations importantes, notamment :

• Expérience utilisateur La MFA introduit des étapes supplémentaires dans le processus d’authentification des utilisateurs, ce qui peut créer des frictions et dégrader l’expérience utilisateur. Une alternative consiste à utiliser l’authentification par étapes, qui nécessite uniquement des facteurs d’authentification supplémentaires pour les actions à risque élevé.
• Frais de mise en œuvre: Certains logiciels existants peuvent avoir une fonctionnalité d’authentification intégrée qui suppose que l’authentification traditionnelle basée sur un mot de passe sera utilisée. La mise en œuvre de l’AMF peut nécessiter des réécritures logicielles significatives.
• Exigences d’infrastructure: Certaines formes d’AMF peuvent nécessiter l’accès à certains matériels, tels que des smartphones, des scanners d’empreintes digitales ou des lecteurs de cartes à puce. De plus, l’entreprise peut avoir besoin d’une infrastructure en place pour envoyer des OTP aux utilisateurs.

Meilleures pratiques pour la mise en œuvre de l’AMF

Certaines meilleures pratiques pour une mise en œuvre de l’AMF incluent :

• Mettre en œuvre l’AMF pour toutes les applications d’entreprise.
• Choisir des facteurs d’authentification plus sécurisés lorsque cela est possible.
• Éduquer les utilisateurs sur l’AMF et ses avantages.
• Concevoir l’AMF pour répondre aux exigences de conformité.
• Utiliser l’authentification par étapes ou adaptative pour équilibrer convivialité et sécurité.
• Déployer l’AMF par étapes pour simplifier le dépannage et réduire les temps d’arrêt.
• Utiliser des mises en œuvre et des protocoles standard lorsque cela est possible.

Questions fréquentes

Quelle est l’option d’AMF la plus sécurisée ?

L’authentification biométrique est l’option la plus sécurisée pour l’authentification car elle est la plus difficile à dupliquer. Cependant, elle peut également être difficile à mettre en œuvre en raison de préoccupations liées à la vie privée et à la sécurité.

Quelles sont les technologies qui propulsent l’AMF ?

L’authentification multi-facteurs (MFA) est alimentée par plusieurs technologies avancées qui renforcent la sécurité tout en équilibrant l’expérience utilisateur. Voici quelques exemples :

• Reconnaissance d’empreintes digitales: Utilisée sur les smartphones, les ordinateurs portables et les dispositifs de clé de sécurité pour la vérification d’identité.
• Reconnaissance faciale: Le Face ID d’Apple, Windows Hello et des solutions similaires utilisent la cartographie faciale alimentée par l’IA.
• Applications d’authentification (TOTP): Google Authenticator, Microsoft Authenticator et Authy génèrent des codes sensibles au temps.
• Clés d’accès (norme FIDO2): Permet aux utilisateurs de se connecter en utilisant des biométries ou des codes PIN au lieu de mots de passe.
• Liens magiques: Envoie un lien limité dans le temps par e-mail ou SMS pour l’authentification sans mot de passe.
• Authentification par code QR: Les utilisateurs scannent un code QR avec leur application mobile pour vérifier leur identité.

Il existe plusieurs autres options, mais elles pointent toutes vers diverses options de MFA disponibles pour une authentification et une sécurité renforcées.

Quel est un exemple d’authentification à 3 facteurs ?

L’authentification à trois facteurs utilise généralement un de chaque type principal de facteurs d’authentification. Cela pourrait inclure un mot de passe (« quelque chose que vous savez »), un OTP (« quelque chose que vous avez ») et la reconnaissance faciale (« quelque chose que vous êtes »).

Quelle est la différence entre l’authentification et la MFA ?

Essentiellement, elles sont similaires en ce sens qu’elles nécessitent un nom d’utilisateur et un mot de passe pour l’authentification. MFA va un pas plus loin en exigeant une vérification supplémentaire de l’identité d’un utilisateur. Cela nécessite un deuxième ou un troisième type d’authentification tel qu’un OTP généré par un smartphone ou une application d’authentification, un code QR ou des biométries, pour n’en nommer que quelques-uns.

Tirez parti de MFA avec Cato Networks

Une gestion d’accès robuste est essentielle à un programme de cybersécurité solide. Sans la capacité de prouver de manière concluante l’identité d’un utilisateur, il est impossible de différencier les tentatives et actions d’accès légitimes et non autorisées. MFA peut améliorer la capacité d’une organisation à authentifier à la fois les clients et les employés en réduisant le risque d’attaques de prise de contrôle de compte.

Cato aide les organisations à sécuriser l’accès à distance à leurs systèmes et applications en offrant MFA par défaut pour des solutions d’accès à distance sécurisées. Pour en savoir plus sur l’amélioration de la sécurité réseau de votre organisation avec Cato SASE Cloud et comment la mise en œuvre de MFA peut aider votre organisation à atteindre la conformité et les objectifs de Zero Trust, inscrivez-vous pour une démo gratuite.