Une affirmation de sécurité qui ne peut pas être mise en défaut n'est pas une affirmation forte : c'est une affirmation vide. « Notre solution est inviolable » n'apprend rien, parce qu'aucune observation ne pourrait la contredire.
Cette page fait l'inverse de l'exercice habituel. Elle énonce ce que le 4ᵉ facteur cognitif prétend établir, puis ce qu'il faudrait observer pour montrer que la prétention est fausse. C'est la forme sous laquelle une méthode peut être évaluée par un tiers — un RSSI, un auditeur, un chercheur — sans avoir à faire confiance à celui qui la propose.
Les cinq affirmations et leurs conditions de réfutation
| Affirmation | Ce qui la réfuterait |
|---|---|
| La preuve repose sur une méthode de raisonnement, non sur un secret transmissible | extraire ou reconstituer la méthode par observation d'un nombre réaliste de sessions |
| La preuve porte sur l'acte, au moment de l'acte | conduire une opération sensible sans qu'un nouveau défi soit exigé et résolu |
| La réponse est inexploitable ailleurs et plus tard | rejouer une réponse capturée, sur un autre canal ou à un autre instant |
| Un tiers ne peut pas obtenir la validation en persuadant l'utilisateur | obtenir d'une personne, sous un prétexte plausible, une réponse valide pour une opération qu'elle ne veut pas |
| La résistance quantique repose sur des fonctions de hachage composées | exhiber une attaque structurelle sur la composition, qui réduise la sécurité effective au-delà de ce que l'algorithme de Grover impose |
Chaque ligne de la colonne de droite est une expérience conduisible. Aucune ne demande d'accès privilégié au code, et les quatre premières se conduisent sur un environnement de démonstration. C'est le critère qui compte : une affirmation dont la réfutation exigerait des moyens inaccessibles n'est pas réfutable en pratique.
La quatrième ligne est la plus exigeante et la plus intéressante, parce qu'elle porte sur le seul adversaire que les méthodes liées à l'origine ne traitent pas — celui qui obtient de l'utilisateur qu'il agisse lui-même. C'est l'écart identifié dans la taxonomie de la preuve.
Ce qui n'est pas affirmé
L'inventaire des non-affirmations est aussi informatif que celui des affirmations.
- Aucun taux de détection, aucun taux de succès. Un chiffre de performance produit en interne, sans protocole publié ni tiers indépendant, ne constitue pas une preuve et n'a pas sa place ici.
- Aucune certification obtenue. La démarche SecNumCloud est en cours ; l'écrire autrement serait faux. Deux brevets sont déposés, ce qui atteste d'une antériorité et d'un examen de nouveauté, non d'une évaluation de sécurité.
- Aucune supériorité générale. Sur le rejeu et le relais, une passkey correctement déployée fait le travail. La question utile est celle du périmètre couvert, pas celle d'un classement.
- Aucune promesse d'exhaustivité. Une méthode d'authentification ne traite pas la sécurité d'un système d'information.
Cinq limites assumées
- L'enrôlement plafonne tout. Si le premier enrôlement peut être obtenu par un chemin faible, la solidité de la méthode qui suit est sans effet. Cette limite est structurelle et vaut pour toute méthode, la présente incluse — voir l'enrôlement comme plafond.
- L'appareil compromis reste un problème ouvert. Un terminal sous contrôle d'un attaquant peut afficher autre chose que ce qui sera exécuté. La preuve d'intention porte alors sur ce qui a été présenté, qui est faux. Le contrôle utile devient l'intégrité de l'appareil, hors du périmètre de la méthode.
- La contrainte n'est pas la persuasion. Une personne contrainte physiquement, ou placée sous une pression suffisante, peut conduire un raisonnement valide pour une opération qu'elle ne veut pas. La méthode établit un acte conscient, elle n'établit pas un acte libre. Aucun facteur d'authentification ne le fait, et il est important de ne pas laisser croire l'inverse dans un dossier de preuve.
- La charge cognitive est un critère d'exclusion. Toute méthode reposant sur un raisonnement pose une question d'accessibilité : fatigue, urgence, situation de handicap, population âgée. Cela se traite par le choix des parcours où la méthode s'applique — les opérations irréversibles — et non par un déploiement uniforme.
- Les parcours de reprise restent le maillon décisif. Une méthode forte assortie d'un secours par courriel vaut le courriel. Ce point ne dépend pas de la méthode mais de l'architecture qui l'entoure, et c'est celui sur lequel les déploiements échouent le plus souvent.
Comment un acheteur devrait s'y prendre
Ne demandez pas une démonstration du chemin nominal : il fonctionne toujours. Demandez trois épreuves.
- Faire valider une opération sensible et montrer exactement ce que l'utilisateur voit à l'écran.
- Dérouler la perte d'appareil de bout en bout, sans raccourcir le parcours de reprise.
- Produire le dossier d'une opération réalisée pendant la démonstration, tel qu'il serait présenté six mois plus tard.
La troisième épreuve est la plus discriminante et la moins demandée. Ces trois exigences ne visent pas une solution particulière : elles s'appliquent à tout candidat, et leur formulation contractuelle figure dans la trame d'appel d'offres.
Pourquoi publier cela
Un fournisseur qui énonce ses conditions de réfutation prend un risque : il fournit la liste des expériences susceptibles de le contredire. C'est le prix d'une affirmation vérifiable, et c'est le seul régime dans lequel une direction peut décider sans avoir à croire.
La description du mécanisme lui-même — défi, méthode de résolution personnelle, canal éphémère — figure sur la page authentification cognitive, et le cadre des quatre facteurs dans les 4 facteurs d'authentification.
FAQ
Une méthode dont la réfutation est publiée n'est-elle pas plus facile à attaquer ?
Non : les conditions de réfutation portent sur des propriétés, pas sur des détails d'implémentation. La cryptographie fonctionne ainsi depuis un siècle — un mécanisme dont la solidité dépend du secret de sa conception est réputé faible, précisément parce que ce secret finit toujours par circuler.
Comment vérifier la troisième affirmation sans compétences offensives ?
En observant ce que le système accepte plutôt qu'en montant une attaque : une réponse obtenue puis présentée à un autre instant ou sur un autre canal est acceptée, ou elle ne l'est pas. Le protocole est détaillé dans tester sa MFA.
La limite sur la contrainte n'annule-t-elle pas l'intérêt de la méthode ?
Elle en borne la portée. La fraude de masse repose sur la persuasion à distance et à grande échelle, pas sur la contrainte physique, qui ne s'industrialise pas. Traiter la persuasion sans traiter la contrainte reste un déplacement substantiel du coût d'attaque.
Que faire si l'une des cinq affirmations est mise en défaut ?
La retirer de cette page. Une affirmation contredite qui reste affichée transforme un document d'évaluation en argument commercial, et fait perdre à l'ensemble la valeur qu'il tirait de sa réfutabilité.
Aller plus loin : pilier : authentification cognitive · taxonomie de la preuve · « résistant au phishing » : critique d'une catégorie · modéliser la menace d'un parcours