Français
Menu

Qu'est-ce que Authentification multifacteur (MFA) ?

Authentification qui vérifie une personne en combinant au moins 2 facteurs différents parmi la connaissance (comme un mot de passe), la possession (comme un smartphone ou une carte à puce) et l'inhérence (comme une empreinte digitale ou le visage). Même si le mot de passe fuit, il est impossible de se connecter sans les autres facteurs.

Nom japonais: 多要素認証

« Authentification multifacteur (MFA) » apparaît dans 6 questions d'entraînement réparties sur 1 thèmes, dont Bases de la sécurité de l'information.

Domaine: Bases de la sécurité de l'information

Les 3 facteurs d'authentification

Les facteurs d'authentification se répartissent entre ce que seule la personne sait (connaissance : mots de passe, codes PIN, questions secrètes, etc.), ce que seule la personne possède (possession : smartphones, cartes à puce, dispositifs d'authentification dédiés, etc.) et les caractéristiques du corps ou du comportement de la personne (inhérence : empreintes digitales, visage, réseau veineux, voix, etc.). Comme l'authentification multifacteur combine des facteurs de natures différentes, un attaquant qui vole un facteur ne peut toujours pas se connecter sans obtenir les autres.

Exemples qui ne sont pas multifacteurs

Combiner un mot de passe et une question secrète n'est pas une authentification multifacteur, même si l'on vérifie 2 fois, car ce sont deux facteurs de connaissance (on parle parfois de vérification en deux étapes). Des facteurs de même nature peuvent être volés ensemble par la même méthode, comme l'hameçonnage. À l'inverse, une méthode dans laquelle le capteur d'empreintes du smartphone déverrouille une clé stockée dans l'appareil est une authentification multifacteur, qui combine la possession de l'appareil et l'inhérence.

Différences de robustesse entre méthodes

Les codes de vérification envoyés par SMS et les mots de passe à usage unique affichés par une application sont bien plus sûrs qu'un mot de passe seul, mais ils ne peuvent pas arrêter complètement les attaques qui amènent l'utilisateur à les saisir en temps réel sur un faux site (hameçonnage en temps réel). Les méthodes comme les clés d'accès (passkeys) FIDO2, qui utilisent une clé privée stockée dans l'appareil pour créer une signature liée au site consulté, ne fonctionnent pas sur les faux sites et sont donc considérées comme résistantes à l'hameçonnage ; au milieu des années 2020, leur usage se répand.

S'entraîner : questions sur Authentification multifacteur (MFA)

Parmi les méthodes d'authentification suivantes, laquelle est une authentification multifacteur ?

  1. ASaisir un mot de passe, puis un mot de passe à usage unique affiché dans une application sur le smartphone de l'utilisateur
  2. BSaisir un mot de passe, puis la réponse à une question secrète
  3. CSaisir un mot de passe plus complexe et 2 fois plus long
Afficher la réponse et l'explication

Réponse : A. Saisir un mot de passe, puis un mot de passe à usage unique affiché dans une application sur le smartphone de l'utilisateur

L'authentification multifacteur combine au moins 2 facteurs différents parmi la connaissance, la possession et l'inhérence. Un mot de passe (connaissance) combiné à un mot de passe à usage unique généré sur le smartphone de l'utilisateur (possession) utilise 2 facteurs différents : c'est donc une authentification multifacteur. Même si le mot de passe fuit, un attaquant ne peut pas se connecter sans le smartphone de l'utilisateur. Un mot de passe et une question secrète relèvent tous deux de la connaissance ; même s'ils sont vérifiés en 2 étapes, il ne s'agit pas d'authentification multifacteur (on parle parfois de vérification en deux étapes). Des facteurs de même nature peuvent être volés ensemble par la même méthode, par exemple en trompant l'utilisateur par hameçonnage. Les mots de passe à usage unique peuvent eux aussi être détournés par des attaques qui amènent l'utilisateur à les saisir en temps réel sur un faux site ; c'est pourquoi, au milieu des années 2020, se répandent des méthodes avec lesquelles l'authentification ne fonctionne pas sur un faux site (comme les clés d'accès, ou passkeys, FIDO2).

Questions fréquentes

Quelle est la différence entre la vérification en deux étapes et l'authentification multifacteur ?

La vérification en deux étapes signifie qu'il y a 2 étapes de contrôle, quelle que soit la nature des facteurs. L'authentification multifacteur signifie que l'on combine des facteurs de natures différentes parmi la connaissance, la possession et l'inhérence. Saisir un code reçu par SMS après un mot de passe relève des deux.

Si j'active l'authentification multifacteur, mon mot de passe peut-il être simple ?

Non. L'authentification multifacteur est un mécanisme qui permet de rester protégé même si un facteur est compromis, et elle est d'autant plus sûre que chaque facteur est robuste. Utilisez un mot de passe long et difficile à deviner, et ne le réutilisez pas sur d'autres services.

« Authentification multifacteur (MFA) » dans les explications

Questions mentionnant « Authentification multifacteur (MFA) » (6)

  1. Parmi les méthodes d'authentification suivantes, laquelle est une authentification multifacteur ?
  2. On recherche un mot de passe de 8 caractères par force brute, en essayant tous les candidats. Si l'on peut essayer 1×10^10 candidats par seconde, quelle combinaison est la plus proche du temps nécessaire pour essayer tous les candidats, d'une part pour un mot de passe composé uniquement de lettres minuscules (26 types), d'autre part pour un mot de passe composé de majuscules, de minuscules et de chiffres (62 types) ?
  3. Parmi les 3 facteurs d'authentification utilisés pour vérifier un utilisateur (connaissance, possession, inhérence), lequel s'applique à l'authentification par carte à puce de badge d'employé ?
  4. Quelle affirmation décrit correctement l'authentification unique (SSO, single sign-on) ?
  5. Quelle affirmation décrit correctement un rançongiciel (ransomware) ?
  6. Quelle combinaison associe correctement la technique de l'hameçonnage (phishing) et une contre-mesure côté utilisateur ?

Termes associés

Hameçonnage (phishing) Rançongiciel (ransomware) Attaque zero-day (attaque du jour zéro) Code d'authentification de message Cross-site scripting (XSS) Cryptographie à clé publique (cryptographie asymétrique) Cryptographie symétrique (cryptographie à clé secrète) Fonction de hachage Ingénierie sociale (social engineering) Injection SQL

Retour au glossaire