1. Les trois facteurs d’authentification canoniques

La robustesse de l’authentification repose sur la combinaison d’éléments appartenant à des catégories distinctes :

• Ce que je sais (Facteur de connaissance) : Mot de passe complexe, code PIN, phrase secrète (passphrase). C’est le facteur le plus vulnérable s’il est utilisé seul (vulnérable aux fuites de bases de données, au brute-force et au phishing).
• Ce que je possède (Facteur de possession) : Smartphone avec application d’authentification (TOTP), clé physique de sécurité matérielle USB/NFC (YubiKey, FIDO2/WebAuthn), carte à puce à certificat.
• Ce que je suis (Facteur d’inhérence) : Données biométriques (empreinte digitale, reconnaissance faciale infrarouge, scanner rétinien).

2. Pourquoi l’authentification multi-facteurs (MFA) est indispensable

L’activation du MFA bloque plus de 99% des attaques automatisées opportunistes par pulvérisation de mots de passe (Password Spraying) ou vol d’identifiants (Credential Stuffing). Cependant, tous les facteurs de possession ne se valent pas :

1. SMS et appels vocaux : Niveau de sécurité faible. Vulnérables aux attaques par échange de carte SIM (SIM Swapping) et à l’interception sur les réseaux télécoms (failles SS7).
2. Codes temporels à usage unique (TOTP – RFC 6238) : Bon niveau de sécurité (ex. Google Authenticator, Microsoft Authenticator, FreeOTP). Non vulnérables au SIM swapping mais encore interceptables par des proxys de phishing en temps réel (Evilginx).
3. Clés matérielles FIDO2 / WebAuthn : Le plus haut niveau de protection contemporain. Immunisées contre le phishing par conception cryptographique (liaison cryptographique inviolable entre la clé et le nom de domaine certifié du site visité).

3. Déploiement d’un gestionnaire de mots de passe d’entreprise

Pour éliminer définitivement la réutilisation d’un même mot de passe sur plusieurs services et la notation sur post-it, l’adoption d’un gestionnaire de mots de passe (Vault sécurisé tel que Bitwarden, 1Password ou KeePassXC) est indispensable :

• Génération automatique de mots de passe aléatoires longs (minimum 16 à 20 caractères avec minuscules, majuscules, chiffres et symboles).
• Chiffrement de bout en bout à connaissance nulle (Zero-Knowledge Architecture) : seul le mot de passe maître de l’utilisateur permet de déchiffrer le coffre-fort localement sur son terminal.
• Partage sécurisé de secrets entre équipes techniques sans jamais transmettre d’identifiants en clair par messagerie instantanée ou courriel.

Atelier guidé : Configurez une application TOTP sur votre smartphone, générez une clé secrète de test, et observez comment le code à 6 chiffres change précisément toutes les 30 secondes en appliquant la formule mathématique de l’algorithme HMAC-SHA1 basé sur l’heure Unix actuelle.