L'expression « résistant au phishing » a une origine précise et un sens technique défendable : une méthode dont la réponse est calculée pour un domaine donné, et donc inexploitable ailleurs. C'est la propriété que FIDO2 et WebAuthn apportent par la liaison à l'origine, et c'est un progrès réel.
Le problème n'est pas la propriété. Il est que le label a cessé de la désigner. Employé aujourd'hui dans une fiche produit ou un cahier des charges, il ne discrimine plus rien — et une catégorie qui ne discrimine plus coûte plus qu'elle rapporte, parce qu'elle fait croire à un arbitrage rendu.
« Phishing » désigne désormais trois attaques sans mécanique commune
| Attaque | Ce que l'attaquant obtient | Ce qui l'arrête |
|---|---|---|
| Collecte d'identifiants | une valeur réutilisable plus tard | toute réponse non rejouable |
| Relais en temps réel | une session ouverte, en direct | une réponse liée à l'origine |
| Fraude par persuasion | une opération validée par la victime | une preuve portant sur l'acte |
Ces trois attaques appellent trois parades distinctes, et la troisième n'est pas une variante plus sophistiquée des deux premières : c'est un problème d'une autre nature, où aucun contrôle technique n'est franchi. Une méthode qui traite parfaitement les deux premières lignes peut être totalement inopérante sur la troisième, tout en portant le même label.
Le glissement de portée
Dans son emploi rigoureux, l'expression qualifie une cérémonie de connexion : ce qui se passe entre un navigateur, un authentificateur et un service, à l'instant de l'ouverture de session.
Dans son emploi courant, elle est lue comme une propriété du système d'information. Le glissement est silencieux et il est décisif, parce que la cérémonie de connexion est un point du parcours, alors que l'attaquant travaille sur le parcours entier. Une organisation peut déployer une méthode liée à l'origine sur tous ses accès et rester exposée par trois chemins que le label ne couvre pas :
- la reprise de compte, si le secours retombe sur un code envoyé par e-mail ;
- la session, si un jeton exporté reste accepté depuis un autre contexte ;
- l'action, si toute opération conduite après la connexion hérite de celle-ci sans nouvelle preuve.
Ce n'est pas un défaut de la méthode : c'est un défaut du périmètre que le label laisse croire couvert. Le mécanisme est le même que celui décrit dans l'enrôlement comme plafond.
Le troisième défaut : l'autodéclaration
Aucune autorité n'arbitre l'emploi du terme. Il n'y a ni test de référence, ni conditions d'usage, ni sanction du mésusage. Une exigence formulée comme « la solution doit être résistante au phishing » se valide donc par n'importe quel candidat, ce qui en fait une exigence décorative — au sens précis où elle ne permet pas d'écarter une réponse.
Trois propriétés qui devraient le remplacer
Chacune se formule en une phrase et se vérifie par une observation, sans outil offensif.
- Liaison à l'origine. La réponse produite est-elle inexploitable sur un autre domaine que celui pour lequel elle a été calculée ? Test : la valeur transmise peut-elle être obtenue par un tiers, puis présentée au service légitime ?
- Portée de la preuve. La preuve porte-t-elle sur l'ouverture de session ou sur l'opération, et le contexte de l'opération est-il présenté au moment de la validation ? Test : conduire une action irréversible et observer ce que l'utilisateur voit.
- Indépendance des chemins de reprise. Existe-t-il un chemin de récupération qui aboutit avec une preuve plus faible que le facteur principal ? Test : dérouler chaque scénario de perte jusqu'au bout, support inclus.
Ces trois questions se substituent utilement au label parce qu'elles sont réfutables : une réponse fausse se constate. Le protocole correspondant est détaillé dans le plan de test de la MFA, et leur formulation contractuelle dans la trame d'appel d'offres.
Ce qui manque encore aux trois propriétés
Elles couvrent le rejoueur et l'intercalé, et laissent entière la question du persuadeur. Une méthode peut satisfaire les trois et rester exposée à une fraude où la victime agit elle-même, en connaissance apparente de cause. Traiter ce cas suppose une preuve portant sur la nature de l'acte plutôt que sur la détention d'un secret, ce qu'aucun label existant ne désigne et ce que le 4ᵉ facteur cognitif cherche à établir.
Ce que cette critique ne dit pas
Elle ne dit pas que la liaison à l'origine serait surévaluée : c'est la meilleure réponse connue au relais en temps réel, et une organisation qui l'a déployée a fermé un chemin majeur. Elle ne dit pas non plus que les fournisseurs employant le terme seraient de mauvaise foi — l'expression est sous-spécifiée, pas trompeuse.
Elle dit une chose plus étroite : un mot ne peut pas remplacer trois exigences, et un cahier des charges qui s'appuie sur le label achète une propriété dont il n'a pas défini le périmètre.
FAQ
Faut-il bannir l'expression de nos documents internes ?
Pas nécessairement, mais elle ne doit jamais tenir lieu d'exigence. Employée comme raccourci de conversation, elle est utile ; employée dans une consultation, elle doit être remplacée par les propriétés testables correspondantes.
Les passkeys sont-elles donc surestimées ?
Non. Elles règlent le rejeu et le relais, ce qui est considérable. Le point est qu'elles règlent cela à l'endroit où elles sont employées : posées à l'ouverture de session, elles ne disent rien des opérations qui suivent. La comparaison détaillée figure dans MFA résistant au phishing.
Existe-t-il un référentiel qui définisse le terme ?
Les travaux du NIST sur les niveaux d'authentification et les spécifications FIDO décrivent les propriétés avec précision, mais aucun ne réserve l'usage commercial de l'expression. La rigueur descriptive existe ; l'opposabilité du label, non.
Comment traiter un fournisseur qui refuse de répondre autrement que par le label ?
Comme une réponse non satisfaite sur le critère, à condition de l'avoir annoncé dans le règlement de la consultation. Un refus de préciser sur ces trois points est en soi une information sur le produit.
Aller plus loin : pilier : authentification cognitive · taxonomie de la preuve · number matching et AiTM · choisir une solution par le risque