Authentification multifacteur

Ce que ça change pour une organisation

La CNIL définit l’authentification multifacteur (MFA) par l’usage de plusieurs preuves appartenant à au moins deux des trois catégories suivantes : connaissance, possession, inhérence. L’authentification à deux facteurs (2FA) en est le cas particulier où exactement deux facteurs sont employés. La CNIL la recommande notamment pour les traitements de données sensibles, l’administration des systèmes et réseaux, les connexions depuis l’extérieur du réseau de l’organisme et l’accès à la messagerie professionnelle, tout en notant que les articles 5.1.f et 32 du RGPD ne l’imposent pas systématiquement. L’ANSSI recommande elle aussi de la privilégier.

Toutes les formes ne se valent pas. La CISA classe, de la plus robuste à la plus fragile, les méthodes résistantes au hameçonnage (FIDO/WebAuthn, infrastructure à clés publiques), les applications d’authentification, puis les codes par SMS ou appel vocal, à réserver en dernier recours. Les clés d’accès (passkeys) sont robustes sur le plan cryptographique sans être forcément multifacteur : selon la CNIL, elles peuvent l’être lorsqu’elles sont associées à un terminal précis et verrouillées par un code PIN.

Exemple

Le 16 septembre 2022, Uber a indiqué qu’un attaquant avait obtenu le mot de passe d’un prestataire (acheté, selon Uber, probablement sur le dark web), puis multiplié les tentatives de connexion : chacune déclenchait une demande d’approbation en deux étapes, et le prestataire a fini par en accepter une. Cette technique est connue sous le nom de « push bombing » : la CISA indique que les notifications d’approbation sans numéro de correspondance (number matching) y sont vulnérables.

À ne pas confondre avec

• La vérification en deux étapes : deux étapes successives, mais pas forcément deux catégories de facteurs. Selon la CNIL, un mot de passe suivi d’un code reçu par courriel n’est pas une MFA.
• L’authentification forte : au sens de l’ANSSI, elle désigne une authentification reposant sur un mécanisme cryptographique jugé robuste, ce qui n’est pas le cas d’une MFA associant un mot de passe et un code reçu par SMS.