.png)
Qu’est-ce que l’authentification multifacteur (MFA) ?
L’authentification multifactorielle (MFA) est une méthode de sécurité qui exige que les utilisateurs fournissent deux types ou plus de facteurs d’authentification avant d’accéder à un compte, une application ou un système.
Au lieu de se fier uniquement à un mot de passe, la MFA exige des preuves supplémentaires qu’un utilisateur est celui qu’il prétend être. Cela peut inclure un code à usage unique provenant d’une application d’authentification, une clé de sécurité physique ou un facteur biométrique tel qu’une empreinte digitale.
La MFA renforce la sécurité des comptes car le simple vol d’un mot de passe peut ne pas suffire à un attaquant pour y accéder. C’est un élément important de la gestion des identités et des accès (IAM), de la sécurité Zero Trust et d’une stratégie de cybersécurité à plusieurs niveaux.
Points clés
- L’authentification multifacteur (MFA) ajoute une couche supplémentaire de sécurité en exigeant que les utilisateurs vérifient leur identité en utilisant deux facteurs d’authentification ou plus, tels que des mots de passe, des clés de sécurité ou des données biométriques.
- La MFA aide à prévenir les accès non autorisés et les attaques basées sur les identifiants. Même si les attaquants volent un mot de passe, des exigences d’authentification supplémentaires peuvent rendre plus difficile la compromission d’un compte.
- Toutes les méthodes MFA n’offrent pas le même niveau de protection. La MFA résistante au phishing offre une sécurité renforcée contre le vol de créances, tandis que les méthodes traditionnelles peuvent être vulnérables à la fatigue de la MFA, à l’ingénierie sociale et au détournement de sessions.
- La MFA seule ne peut empêcher les mouvements latéraux ni contenir les violations de sécurité. Les organisations devraient combiner MFA avec les principes de Zero Trust, l’accès à privilèges minimes et la segmentation pour limiter la capacité des attaquants à se déplacer entre les systèmes après une compromission.
Comment fonctionne l’authentification multifactorielle ?
L’authentification multi-facteurs vérifie l’identité d’un utilisateur en utilisant plusieurs facteurs d’authentification indépendants.
Un processus typique de MFA fonctionne ainsi :
- Un utilisateur tente de se connecter à un compte ou à une application.
- L’utilisateur fournit un premier facteur d’authentification, comme un mot de passe.
- Le système demande un facteur supplémentaire.
- L’utilisateur vérifie son identité à l’aide d’un autre type de facteur, comme une application d’authentification ou une clé de sécurité.
- Le système valide ces deux facteurs.
- Si les exigences d’authentification sont remplies, l’utilisateur se voit accorder l’accédre.
La clé de la MFA est que les méthodes d’authentification proviennent de différentes catégories de facteurs. Exiger deux mots de passe, par exemple, ne constituerait généralement pas une authentification multi-facteurs car les deux sont du même type de facteur.
Quels sont les types de facteurs d’authentification ?
Les facteurs d’authentification sont généralement regroupés en plusieurs catégories selon la manière dont un utilisateur prouve son identité.
Quelque chose que tu sais
Un facteur de connaissance est une information que l’utilisateur connaît.
Exemples :
- Mots de passe
- PINs
- Phrases secrètes
Les mots de passe sont largement utilisés mais peuvent être volés par le biais du phishing, du stuffing de crédents, des logiciels malveillants et d’autres cyberattaques.
Quelque chose que tu as
Un facteur de possession est quelque chose que l’utilisateur possède physiquement.
Exemples :
- Smartphones
- Applications authentificatrices
- Clés de sécurité matérielles
- Cartes à puce
- Jetons matériels
Un attaquant qui vole le mot de passe d’un utilisateur devra également accéder au facteur possession pour satisfaire aux exigences d’authentification.
Quelque chose que tu es
Un facteur d’inhérence utilise une caractéristique physique ou comportementale associée à l’utilisateur.
Des exemples peuvent inclure :
- Empreintes digitales
- Reconnaissance faciale
- Iris scans
- Autres identifiants biométriques
La biométrie peut permettre une authentification pratique, mais les organisations doivent protéger soigneusement les informations biométriques car elles ne peuvent pas être modifiées aussi facilement qu’un mot de passe en cas de compromis.
Pourquoi l’authentification multifactorielle est-elle importante ?
La MFA réduit le risque que des mots de passe compromis entraînent immédiatement un accès non autorisé.
Les mots de passe peuvent être exposés par le phishing, les violations de données, le bourrage d’identifiants, la réutilisation de mots de passe, les malwares et les attaques par force brute. Si un compte ne dépend que d’un nom d’utilisateur et d’un mot de passe, obtenir ces identifiants peut suffire à un attaquant pour se connecter.
La MFA crée une barrière supplémentaire.
Même si un attaquant obtient le bon mot de passe, il doit également satisfaire à une autre exigence d’authentification avant d’y accéder.
Les organisations utilisent la MFA pour aider :
- Protéger les comptes employés et clients
- Réduire les attaques basées sur les identifiants
- Accès sécurisé à distance
- Protéger les applications cloud
- Renforcez les comptes privilégiés
- Soutenir les initiatives Zero Trust
- Réduire l’accès non autorisé aux ressources sensibles
- Respecter les exigences de sécurité et de conformité
Quelle est la différence entre MFA et 2FA ?
L’authentification à deux facteurs (2FA) est un type d’authentification multifactorielle.
La MFA nécessite deux facteurs d’authentification ou plus. La 2FA en nécessite spécifiquement deux.
Par exemple, entrer un mot de passe puis approuver la connexion avec une clé de sécurité matérielle est une 2FA car elle combine quelque chose que l’utilisateur connaît avec quelque chose qu’il possède.
Un processus d’authentification nécessitant trois facteurs différents serait toujours MFA, mais il ne serait pas décrit comme une authentification à deux facteurs.
En pratique, les termes MFA et 2FA sont parfois utilisés de manière interchangeable, mais MFA est la catégorie plus large.
Quelles sont les méthodes de MFA courantes ?
Les organisations peuvent mettre en œuvre la MFA de plusieurs manières selon leurs exigences de sécurité et leur technologie.
Les méthodes de maîtrise de la maîtrise (MFA) courantes incluent :
- Applications d’authentification qui génèrent des codes d’accès à usage unique
- Notifications push envoyées à des appareils de confiance
- Clés de sécurité matérielles
- Cartes à puce
- Codes SMS ou SMS
- Codes de vérification par e-mail
- Authentification biométrique
- Mots de passe à usage unique (OTP)
Toutes les méthodes MFA n’offrent pas le même niveau de protection.
Par exemple, l’authentification par SMS peut offrir une protection supplémentaire par rapport à l’authentification uniquement par mot de passe, mais elle peut être vulnérable à des techniques telles que l’échange de cartes SIM et le phishing.
Les organisations protégeant les systèmes sensibles peuvent choisir des méthodes d’authentification plus robustes et résistantes au phishing.
Qu’est-ce que la MFA résistante au phishing ?
La MFA résistante au phishing est conçue pour empêcher les attaquants de voler ou de rejouer les identifiants d’authentification par des attaques de phishing.
Certaines méthodes traditionnelles de MFA reposent sur des codes ou des invites d’approbation que les utilisateurs peuvent accidentellement fournir à un attaquant. Les méthodes résistantes au phishing utilisent une authentification cryptographique conçue pour lier le processus d’authentification au service légitime.
Les clés de sécurité matérielles et les technologies basées sur les normes FIDO sont des exemples courants.
La MFA résistante au phishing peut offrir une protection renforcée aux comptes de grande valeur, aux administrateurs et aux utilisateurs ayant accès à des systèmes sensibles.
Qu’est-ce que la fatigue du MFA ?
La fatigue MFA, parfois appelée bombardement MFA ou push bombing, est une attaque dans laquelle un acteur de menace envoie à plusieurs reprises des demandes d’authentification à l’appareil de l’utilisateur.
L’attaquant possède généralement déjà le nom d’utilisateur et le mot de passe de la victime. Ils déclenchent des invites MFA répétées dans l’espoir que l’utilisateur en approuve une par accident, par confusion, ou simplement pour arrêter les notifications.
La fatigue de la MFA démontre pourquoi il suffit simplement d’activer la MFA. Les organisations devraient envisager des méthodes d’authentification plus robustes, surveiller les comportements d’authentification inhabituels, informer les utilisateurs et limiter les tentatives d’authentification excessives ou suspectes.
La MFA peut-elle être piratée ou contournée ?
La MFA renforce considérablement l’authentification, mais il n’est pas impossible de la contourner.
Les attaquants peuvent tenter de contourner la MFA en utilisant des techniques telles que :
- Hameçonnage
- Attaques adversaires au milieu
- Vol de jetons de session
- Fatigue MFA
- Échange de cartes SIM
- Logiciels malveillants
- ingénierie sociale
- Abus de récupération de compte
- les endpoints compromis
Par exemple, un attaquant peut tromper un utilisateur pour qu’il s’authentifie via un site de phishing malveillant, puis voler le jeton de session résultant.
La MFA devrait donc faire partie d’une stratégie de sécurité à plusieurs niveaux plutôt que le seul contrôle protégeant les ressources sensibles.
Quelle est la différence entre le MFA et la connexion unique ?
L’authentification multifacteur et l’authentification unique (SSO) résolvent différents problèmes d’identité et d’accès.
La MFA renforce l’authentification en exigeant plusieurs types de preuves avant d’accorder l’accès.
SSO permet aux utilisateurs de s’authentifier une fois puis d’accéder à plusieurs applications connectées sans entrer à plusieurs reprises les identifiants.
Les organisations utilisent souvent MFA et SSO ensemble. Un utilisateur peut effectuer une MFA lors du processus initial d’authentification SSO puis accéder aux applications autorisées via la session d’identité établie.
Quelle est la différence entre l’authentification multifacete et l’authentification sans mot de passe ?
La MFA et l’authentification sans mot de passe sont des concepts liés mais différents.
La MFA nécessite plusieurs facteurs d’authentification. L’authentification sans mot de passe permet à un utilisateur de s’authentifier sans entrer un mot de passe traditionnel.
Par exemple, un système pourrait authentifier un utilisateur à l’aide d’une clé de sécurité matérielle et d’une vérification biométrique plutôt qu’avec un mot de passe.
L’authentification sans mot de passe peut réduire les risques liés aux mots de passe volés, réutilisés ou faibles. Selon sa mise en œuvre, l’authentification sans mot de passe peut également impliquer plusieurs facteurs.
Comment MFA soutient-elle la sécurité Zero Trust ?
La MFA est une partie importante d’une stratégie de sécurité Zero Trust car ce dernier exige que les organisations vérifient les utilisateurs et les appareils plutôt que de leur faire automatiquement confiance en fonction de la localisation du réseau.
La MFA fournit des preuves solides qu’un utilisateur demandant l’accès est le propriétaire légitime du compte.
Cependant, le Zero Trust ne prend pas fin une fois qu’un utilisateur s’authentifie avec succès.
Après l’authentification, les organisations doivent toujours limiter l’accès en fonction du privilège minimal et contrôler quelles applications, charges de travail et ressources peuvent communiquer. Un compte légitime peut être compromis, et un utilisateur authentifié ne devrait pas automatiquement recevoir un accès illimité dans tout l’environnement.
Combiner MFA avec accès à privilèges minimums, surveillance continue et segmentation crée plusieurs couches de défense.
L’AMF peut-elle empêcher les mouvements latéraux ?
La MFA peut rendre plus difficile la compromission des comptes par les attaquants, mais elle ne peut pas empêcher tout mouvement latéral.
Si un attaquant contourne la MFA, vole une session authentifiée, compromet une charge de travail ou accède via une autre vulnérabilité, il se peut déjà être dans l’environnement.
L’attaquant peut alors tenter de découvrir des systèmes supplémentaires et passer d’une ressource à une autre.
C’est pourquoi les organisations ont besoin de contrôles qui supposent que des violations peuvent toujours se produire. La segmentation limite la communication entre les systèmes, de sorte que l’accès à une ressource ne fournit pas automatiquement un chemin vers toutes les autres.
La MFA aide à protéger le point d’accès initial. La segmentation aide à contenir un attaquant si ce point d’accès est compromis.
Comment Illumio complète l’authentification multifacteur
L’authentification multifacteur renforce la sécurité des identités en rendant plus difficile l’accès des attaquants à l’aide de identifiants volés. Illumio offre une couche supplémentaire de protection en limitant ce que les attaquants peuvent atteindre si les contrôles d’authentification sont contournés.
Illumio offre une visibilité sur la communication entre charges de travail, applications et ressources à travers des environnements hybrides et multi-cloud.
Avec Illumio Segmentation, les organisations peuvent imposer une communication à moins de privilèges et restreindre les connexions inutiles entre systèmes.
Si un attaquant compromet un compte authentifié ou accède à une charge de travail, la segmentation aide à contenir la violation en limitant les voies disponibles pour un mouvement latéral.
Ensemble, la MFA et la segmentation soutiennent une approche de défense en profondeur : la MFA rend l’accès non autorisé plus difficile, tandis que la segmentation limite l’impact d’un compromis réussi.
Aller au-delà de l’authentification avec Illumio Segmentation
L’authentification multifacteur aide à empêcher les utilisateurs non autorisés d’entrer, mais que se passe-t-il lorsque les attaquants contournent l’authentification ou compromettent un compte légitime ? Une fois à l’intérieur, les attaquants peuvent tenter de se déplacer latéralement à travers votre environnement pour accéder aux données sensibles et aux systèmes critiques.
Illumio Segmentation ajoute une couche supplémentaire de protection en limitant la communication inutile entre charges de travail et applications, réduisant ainsi les voies que les attaquants peuvent exploiter après avoir obtenu l’accédre.
Renforcez votre stratégie de Zero Trust et empêchez les attaquants de se propager.
Explorez Illumio Segmentation →
Questions fréquemment posées
Que signifie MFA ?
MFA signifie authentification multi-facteur. Il s’agit d’une méthode d’authentification qui nécessite deux types ou plusieurs de vérification avant d’accorder l’accès à un compte, une application ou un système.
Quel est un exemple d’authentification multifacteur ?
Un exemple de MFA est la connexion avec un mot de passe puis l’utilisation d’une clé de sécurité matérielle pour compléter l’authentification. Le mot de passe est quelque chose que vous connaissez, tandis que la clé de sécurité est quelque chose que vous possédez.
Le MFA est-il la même chose que le 2FA ?
Pas exactement. L’authentification à deux facteurs (2FA) est un type de MFA qui nécessite exactement deux facteurs d’authentification. MFA est le terme plus large et peut nécessiter deux facteurs ou plus.
Un mot de passe et un code PIN sont-ils considérés comme MFA ?
En général, non. Un mot de passe et un code PIN sont tous deux des facteurs de connaissance, ou quelque chose que vous connaissez. La MFA nécessite des méthodes d’authentification issues de différentes catégories de facteurs.
La MFA est-elle meilleure qu’un mot de passe ?
La MFA offre généralement une protection plus forte que l’authentification par mot de passe uniquement, car compromettre le mot de passe seul peut ne pas suffire à accéder au compte. La force de la MFA dépend toujours des méthodes d’authentification utilisées et de la manière dont elles sont implémentées.
Quel est le type de MFA le plus puissant ?
Les méthodes MFA résistantes au phishing, telles que l’authentification utilisant des clés de sécurité matérielles ou des clés d’accès basées sur FIDO, peuvent offrir une protection plus forte contre le phishing que les méthodes basées sur des codes à usage unique saisis manuellement ou des messages SMS.
Les hackers peuvent-ils contourner la MFA ?
Oui. Les attaquants peuvent parfois contourner la MFA en utilisant le phishing, le vol de tokens de session, la fatigue de la MFA, l’ingénierie sociale, les malwares ou d’autres techniques. La MFA renforce considérablement l’authentification mais doit être combinée avec des contrôles de sécurité supplémentaires.
La MFA prévient-elle le phishing ?
La MFA peut réduire la probabilité que les identifiants volés par phishing entraînent la compromission des comptes, mais toutes les méthodes MFA ne préviennent pas l’phishing. Les méthodes d’authentification résistantes au phishing offrent une protection renforcée contre les attaques destinées à voler ou à relayer des identifiants.
Pourquoi la MFA est-elle importante pour le Zero Trust ?
La MFA renforce la vérification de l’identité, qui soutient le principe de Zero Trust de vérification explicite de l’accès. Zero Trust exige également que les organisations limitent l’accès et la communication après l’authentification en utilisant le moindre privilège et d’autres contrôles de sécurité.