Défense
Authentification multifacteur
Aussi appeléMFADouble authentification2FAAuthentification à deux facteurs
En résumé
Une méthode de connexion qui exige au moins deux preuves d’identité de natures différentes : quelque chose que l’on sait (mot de passe), que l’on possède (téléphone, clé de sécurité) ou que l’on est (empreinte). Elle empêche qu’un mot de passe volé suffise à accéder à un compte.
Authentification multifacteur, en détail
Le multifacteur neutralise l’attaque la plus courante contre les comptes, le vol de mot de passe par hameçonnage : définition ou par réutilisation. Toutes les formes ne se valent pas : un code reçu par SMS ou généré par une application peut être intercepté par un faux site qui le relaie en temps réel, alors que les clés de sécurité et les méthodes résistantes à l’hameçonnage lient la preuve au site légitime.
Une autre attaque vise la fatigue du facteur : l’attaquant, qui connaît le mot de passe, déclenche de nombreuses demandes d’approbation jusqu’à ce que l’utilisateur accepte par lassitude. Les parades sont la limitation des demandes, l’affichage d’un nombre à saisir et la formation au signalement. Les exceptions, comptes de service, protocoles anciens ou groupes exclus d’une politique, sont l’endroit où le multifacteur est le plus souvent contourné.
Qu’est-ce que cela change pour vous ?
C’est l’une des mesures au meilleur rapport efficacité-coût, citée explicitement par la directive NIS 2. Son efficacité dépend de la couverture réelle, exceptions comprises, et du type de facteur choisi.
Exemple illustratif (fictif)
Imaginons un collaborateur qui reçoit en pleine soirée une dizaine de demandes d’approbation sur son téléphone et finit par en accepter une pour faire cesser les notifications. Le mot de passe avait fuité ailleurs. Une méthode avec saisie d’un nombre affiché à l’écran, ou une clé physique, aurait arrêté l’attaque à cette étape.
La confusion fréquente
Croire que le multifacteur est activé pour tous parce qu’une politique le dit. Les exclusions et les anciens protocoles d’authentification laissent souvent des comptes sans second facteur.
Qui peut vous aider à le mettre en place ?
- Identités et accès : la prestationSavoir qui a accès à quoi, et retirer ce qui ne sert plus avant qu’un attaquant s’en serve.
- Audit Microsoft 365 : la prestationVérifier que votre tenant résiste à un compte compromis, pas seulement à un mot de passe faible.
Aller plus loin
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ArticleSécurité des applications d’IA générative : comprendre l’injection de promptInjection de prompt, fuite de données, agents trop permissifs : les risques d’une application fondée sur un modèle de langage, et comment en limiter les effets.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- AttaqueHameçonnage : définitionUne technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action.
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- DéfenseZero trust : définitionUn modèle d’architecture selon lequel aucune connexion n’est présumée fiable du seul fait de sa provenance, y compris depuis le réseau interne.
- TechniqueMicrosoft Entra ID : définitionLe service d’annuaire et de gestion des identités et des accès dans le cloud de Microsoft, anciennement Azure Active Directory.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début