Résumé
Toutes les méthodes d’authentification ne se valent pas : les mots de passe et les codes SMS présentent d’importantes vulnérabilités, tandis que la biométrie et les clés physiques offrent une protection plus robuste, bien qu’imparfaite. Les entreprises doivent adopter une stratégie d’authentification multifacteur (MFA) adaptative qui évalue les signaux de risque contextuels, tels que l’emplacement réseau et la localisation géographique, afin de sélectionner dynamiquement la combinaison la plus appropriée de facteurs d’authentification pour chaque demande de connexion.
Fonctionnement des méthodes d’authentification et des niveaux de risque
Toutes sortes d’applications, qu’elles soient utilisées dans le cadre de votre travail ou dans d’autres activités quotidiennes, permettent aux utilisateurs d’accéder à un service par authentification. Selon la sensibilité des informations qui transitent par l’application, différents types de méthodes d’authentification sont requis, chacun correspondant à un niveau de risque spécifique.
À une époque où les brèches de données se multiplient, les identifiants composés d’un nom d’utilisateur et d’un mot de passe ne suffisent plus à authentifier l’accès. Les entreprises doivent plutôt combiner plusieurs facteurs d’authentification, tout en gardant à l’esprit que chaque facteur présente des atouts et des limites qui lui sont propres.
Quels sont les principaux types de facteurs d’authentification ?
Chaque type d’authentification est appelé un facteur. Ils servent à vérifier l’identité d’un utilisateur et à bloquer l’accès à toute personne qui n’est pas celle qu’elle prétend être. Ces facteurs sont répartis en trois groupes, allant de ceux qui offrent le niveau d’assurance le plus faible à ceux qui offrent le niveau d’assurance le plus élevé.
- Facteurs de connaissance : éléments connus de l’utilisateur ou de l’utilisatrice, comme les mots de passe ou les réponses aux questions de sécurité.
- Facteurs de possession : éléments que la personne utilisatrice possède, notamment les codes SMS, les mots de passe à usage unique (OTP) envoyés par e-mail et les notifications push.
- Facteurs biométriques : éléments propres à la personne utilisatrice, comme la reconnaissance d’empreintes digitales ou l’authentification faciale.
Même si ces facteurs peuvent sembler suffisamment sécurisés individuellement, il existe des considérations de sécurité à prendre en compte avant de choisir lesquels utiliser pour protéger les ressources et les données de votre entreprise.
Quel est le niveau de sécurité des différents facteurs d’authentification ?
Lors de la mise en place d’un outil de vérification de l’identité des utilisateurs, il est important de comprendre que certains facteurs d’authentification sont plus robustes que d’autres, et que ceux que vous considérez comme les plus sûrs peuvent en réalité être faciles à compromettre.
Pourquoi les facteurs courants sont plus vulnérables qu’il n’y paraît
| Type de facteur | Exemples | Faiblesse majeure |
|---|---|---|
| Facteurs de connaissance | Mots de passe, questions de sécurité | Les questions de sécurité sont faciles à deviner pour les attaquants et difficiles à mémoriser pour les utilisateurs, comme l’a montré une vaste étude sur la récupération de comptes menée chez Google. |
| Facteurs de possession | Codes SMS, OTP par e-mail, notifications push, clés USB physiques, applications d’authentificateur mobile | Les codes SMS peuvent être interceptés ; des clés physiques ou des appareils peuvent être perdus ou volés, ce qui compromet la vérification de l’identité dès qu’un attaquant parvient à y accéder. |
| Facteurs de biométrie | Scan d’empreintes digitales, authentification faciale | Il est possible de relever des empreintes digitales à l’aide d’un morceau de ruban adhésif, et d’autres données biométriques peuvent également être reproduites afin de tromper les applications lors de la vérification de l’identité d’un utilisateur. |
Les questions de sécurité, par exemple, sont utilisées dans des applications allant de la messagerie électronique aux portails gouvernementaux en ligne. Une vaste étude sur la récupération de comptes menée à Google a montré que les réponses aux questions de sécurité sont à la fois faciles à deviner pour les attaquants et difficiles à mémoriser pour les utilisateurs.
Analyse approfondie des faiblesses des facteurs de possession et biométriques
L’envoi d’un code par SMS constitue un autre facteur qui n’est pas aussi sécurisé qu’il n’y paraît. En réalité, le National Institute of Standards and Technology ne recommande plus les codes SMS comme méthode d’authentification, car des personnes malveillantes peuvent très facilement intercepter un message destiné au téléphone d’une autre personne. Les clés USB physiques ou les terminaux mobiles équipés d'une application d'authentification peuvent être perdus ou volés, et dès qu'une personne malveillante accède à un facteur de possession, la vérification de l'identité de la ressource est compromise.
Bien qu’ils soient considérés comme les plus robustes, même les facteurs biométriques tels que les empreintes digitales et la vérification faciale présentent également des faiblesses. Nous avons tous vu l’astuce qui consiste à relever des empreintes digitales à l’aide d’un morceau de ruban adhésif, et d’autres méthodes de biométrie peuvent également être reproduites afin de tromper les applications lors de la vérification de l’identité d’une personne utilisatrice.
Qu’est-ce que l’authentification multifacteur adaptative (MFA) et pourquoi est-elle importante ?
Déployer une méthode d’authentification sécurisée implique de comprendre les risques associés à chaque facteur, puis de les combiner de manière efficace afin de réduire ces risques. Une approche adaptative qui évalue différentes circonstances peut aider à aligner les facteurs d’authentification potentiels sur le niveau de risque.
- Réseau : indique si la demande provient d’un réseau connu ou inconnu.
- Géographie : indique si la demande provient d’une ville ou d’un lieu attendu pour cet utilisateur.
- Zone de protocole Internet (IP) : indique si l’adresse IP appartient à une zone reconnue pour l’entreprise.
Comment la MFA adaptative évalue le risque de connexion en pratique
Par exemple, si la base de données interne de votre entreprise reçoit une demande d’authentification d’une personne présente sur votre réseau et située dans la même ville et le même code postal que votre entreprise, un mot de passe et un facteur d’authentification de niveau moyen à élevé, comme une clé physique ou un facteur biométrique, suffisent probablement pour vérifier l’identité de cette personne. Cependant, si la demande provient d’un réseau inconnu ou d’une ville nouvelle pour cette personne, vous pouvez envisager d’ajouter une demande de notification push sur mobile afin de vérifier son identité.
Même s'ils se situent à différents niveaux de l'échelle de confiance, tous les facteurs d'authentification présentent des faiblesses. Les entreprises qui souhaitent mieux protéger leurs données, ainsi que celles de leurs collaborateurs et de leurs clients, doivent adopter une approche Adaptive MFA qui évalue le niveau de risque de chaque demande de connexion et sélectionne les facteurs d'authentification en conséquence.
Foire aux questions (FAQ)
Pourquoi les mots de passe et les questions de sécurité ne suffisent-ils pas à protéger mon entreprise ?
À une époque où les brèches de données se multiplient, les identifiants composés d’un nom d’utilisateur et d’un mot de passe ne suffisent plus à authentifier l’accès. Une vaste étude sur la récupération de comptes chez Google a montré que les réponses aux questions de sécurité sont à la fois faciles à deviner pour les attaquants et difficiles à mémoriser pour les utilisateurs, ce qui rend les seuls facteurs de connaissance peu fiables pour protéger les ressources et les données de votre entreprise.
Pourquoi le National Institute of Standards and Technology (NIST) a-t-il cessé de recommander les codes SMS comme méthode d’authentification ?
L’Institut national des normes et de la technologie (NIST) ne recommande plus l’utilisation des codes SMS comme méthode d’authentification, car des attaquants peuvent très facilement intercepter un message destiné au téléphone d’une autre personne. Ce risque d’interception implique que les codes SMS, malgré leur utilisation généralisée, n’offrent pas un niveau de confiance suffisant pour protéger des ressources sensibles.
Qu’est-ce qui rend l’authentification biométrique à la fois robuste et vulnérable ?
Les facteurs biométriques, tels que les empreintes digitales et la vérification faciale, sont considérés comme les facteurs d'authentification les plus robustes, car ils sont liés à ce que l'utilisateur est. Cependant, elles présentent également des faiblesses : les empreintes digitales peuvent être reproduites à l’aide d’un morceau de ruban adhésif, et d’autres méthodes de biométrie peuvent aussi être copiées afin de tromper les applications lors de la vérification de l’identité de l’utilisateur.
Quels signaux contextuels la MFA adaptative utilise-t-elle pour évaluer le risque de connexion ?
Une approche MFA adaptative évalue différentes circonstances afin d’aligner les facteurs d’authentification sur le niveau de risque approprié. Les signaux contextuels qu’il prend en compte incluent notamment le réseau, la zone géographique et la zone de protocole Internet (IP), ce qui lui permet d’ajuster dynamiquement les facteurs d’authentification requis en fonction du profil de risque de chaque demande de connexion.
Quand une entreprise doit-elle exiger des facteurs d’authentification supplémentaires en plus d’un mot de passe ?
Si une demande d’authentification provient d’un réseau inconnu ou d’une ville nouvelle pour cet utilisateur, les organisations devraient envisager d’ajouter des facteurs supplémentaires — comme une notification push mobile — afin de renforcer la vérification de l’identité de l’utilisateur. À l’inverse, si la demande provient d’un utilisateur ou d’une utilisatrice sur le réseau de l’organisation et dans la zone géographique attendue, un mot de passe et un facteur d’assurance moyen à élevé, comme une clé physique ou un facteur biométrique, peuvent suffire.
Quelle est la différence entre les facteurs d'authentification liés à la connaissance, à la possession et aux données biométriques ?
Les facteurs de connaissance sont des éléments que l'utilisateur connaît, comme des mots de passe ou des réponses à des questions de sécurité. Les facteurs de possession sont des éléments que l'utilisateur possède, notamment les codes SMS, les mots de passe à usage unique (OTP) envoyés par e-mail et les notifications push. Les facteurs biométriques correspondent à ce qu'est l'utilisateur, comme la reconnaissance d’empreintes digitales ou l’authentification faciale. Ces trois groupes couvrent un niveau d’assurance allant du plus faible au plus élevé.
