Les comparaisons de méthodes d'authentification tournent court parce qu'elles mélangent des questions indépendantes. « Une passkey est-elle meilleure qu'un TOTP ? » n'a pas de réponse : la question suppose un ordre total là où il existe quatre dimensions distinctes, dont aucune ne se déduit des autres.
Cette page propose une grille à quatre axes. Elle vaut ce que vaut son pouvoir de discrimination : si deux méthodes que tout sépare en pratique obtiennent le même profil, la grille est mauvaise.
Axe 1 — L'objet : que prouve-t-on exactement
Ce que la méthode établit, indépendamment de sa solidité.
- Connaissance d'un secret : mot de passe, question secrète, code confidentiel.
- Contrôle d'un appareil : possession du terminal ou de la clé qui détient une clé privée.
- Trait biométrique : correspondance entre un signal capté et un gabarit enregistré.
- Capacité à produire un raisonnement : aptitude à résoudre un défi selon une méthode propre à la personne, sans qu'un secret transmissible soit en jeu.
Les trois premiers objets ont une propriété commune : ils existent indépendamment de l'acte, donc ils sont captables. Le quatrième ne s'énonce pas sous forme de donnée, ce qui change son exposition au vol mais pas sa vulnérabilité à d'autres attaques.
Axe 2 — L'instant : quand la preuve est produite
| Instant | Ce qui est prouvé | Ce qui reste ouvert |
|---|---|---|
| À l'ouverture de session | l'accès initial | tout ce qui suit hérite de la session |
| À l'action | l'opération elle-même | les actions non couvertes par un déclencheur |
| En continu | la persistance du contexte | la nature de l'acte, jamais examinée |
Cet axe est le plus négligé, et c'est celui qui décide de la valeur probante. Une méthode excellente appliquée à l'ouverture de session ne dit rien d'une opération conduite deux heures plus tard : le niveau réel se lit au point où la décision est prise, pas au point d'entrée.
Axe 3 — L'adversaire : contre qui la méthode tient
Trois positions, à traiter séparément parce qu'elles ne se neutralisent pas par les mêmes moyens.
- Le rejoueur capte une valeur et la présente à nouveau. Toute réponse non liée à l'instant ou à l'origine tombe.
- L'intercalé relaie l'échange en temps réel entre l'utilisateur et le service. Il ne casse rien : il fait transiter. Seule une réponse liée à l'origine le neutralise, propriété qu'apportent FIDO2 et WebAuthn.
- Le persuadeur obtient de l'utilisateur qu'il agisse lui-même. Aucun contrôle n'est franchi ; c'est le consentement qui est corrompu.
La confusion la plus répandue consiste à traiter l'axe 3 comme une conséquence de l'axe 1 — « la clé privée ne sort pas de l'appareil, donc c'est sûr ». La liaison à l'origine neutralise l'intercalé, elle ne dit rien du persuadeur, et c'est aussi ce que montrent les limites du number matching.
Axe 4 — L'opposabilité : ce qu'il en reste six mois plus tard
Ce que l'organisation peut produire quand l'opération est contestée.
- Nul : rien ne relie une preuve à l'opération.
- Journal d'exploitation : une trace technique, altérable, sans contexte d'action.
- Élément opposable : preuve rattachée à l'acte, scellée, horodatée depuis une source démontrée, accompagnée de ce qui a été présenté à l'utilisateur.
Cet axe est presque toujours absent des grilles d'évaluation, parce qu'il ne se manifeste qu'après l'incident. Sa mesure pratique est décrite dans la valeur probante d'un journal.
La grille appliquée
| Méthode | Objet | Instant courant | Tient contre | Opposabilité usuelle |
|---|---|---|---|---|
| Mot de passe | secret | session | — | journal |
| OTP par SMS | secret transmis | session | — | journal |
| TOTP | secret dérivé du temps | session | rejoueur | journal |
| Notification push | contrôle d'appareil | session | rejoueur | journal |
| Passkey / FIDO2 | contrôle d'appareil | session | rejoueur, intercalé | journal |
| Clé physique | contrôle d'appareil | session | rejoueur, intercalé | journal |
| Biométrie faciale | trait | session | rejoueur selon la captation | journal |
| Facteur cognitif | raisonnement | action | rejoueur, intercalé, persuadeur visé | preuve rattachée à l'acte |
La dernière ligne se lit comme une intention de conception, pas comme un résultat mesuré : c'est ce que la méthode cherche à établir, et c'est à ce titre qu'elle est falsifiable — voir ce qu'il faudrait pour la réfuter.
Le tableau met en évidence un fait rarement énoncé : la colonne « instant » est la même pour presque toutes les lignes. Le marché a beaucoup progressé sur l'axe 3 et presque pas sur l'axe 2. C'est pourquoi le vol de session survit au déploiement de méthodes réputées inattaquables, et pourquoi le 4ᵉ facteur cognitif porte d'abord sur le moment de l'acte.
Comment s'en servir dans une décision
La grille sert à formuler une exigence, pas à noter un fournisseur. Pour un parcours donné, écrivez la ligne attendue avant de consulter le marché : quel objet, à quel instant, contre quel adversaire, avec quelle opposabilité. Un cahier des charges construit ainsi devient difficile à satisfaire par une étiquette — c'est le principe retenu dans la trame d'appel d'offres.
Les limites de la grille
Elle ne mesure ni l'ergonomie, ni le coût, ni la maturité d'un produit, et ces trois critères décident souvent de l'adoption réelle. Elle ignore l'enrôlement, qui plafonne l'ensemble de la chaîne quel que soit le profil obtenu. Enfin, elle traite les axes comme indépendants : c'est une hypothèse de travail, et une méthode qui déplacerait l'axe 3 sans toucher l'axe 1 la mettrait en défaut.
FAQ
Pourquoi quatre axes et pas trois catégories de facteurs ?
La classification classique — savoir, avoir, être — ne porte que sur l'axe 1. Elle range dans la même case un mot de passe et une méthode de raisonnement, et ne dit rien de l'instant, de l'adversaire ni de la preuve résiduelle. Elle décrit ce qu'on présente, pas ce qu'on établit. Le rapport entre les deux lectures est détaillé dans les quatre facteurs d'authentification.
Une méthode peut-elle être forte sur les quatre axes ?
Aucune méthode connue ne l'est intrinsèquement, parce que l'axe 2 et l'axe 4 dépendent surtout de l'implémentation. Une passkey utilisée à chaque opération sensible, avec affichage du contexte et journalisation de l'acte, obtient un bien meilleur profil que la même passkey posée à l'ouverture de session.
La grille sert-elle à comparer des offres commerciales ?
Indirectement. Elle sert surtout à rendre une réponse commerciale vérifiable : à chaque case correspond un test observable. Une case affirmée sans test associé doit être traitée comme non satisfaite.
Que faire d'une méthode qui n'entre dans aucune case ?
La décrire quand même selon les quatre axes. Si la description est impossible, c'est généralement que l'offre décrit un usage et non une propriété — ce qui est en soi une information.
Aller plus loin : pilier : authentification cognitive · « résistant au phishing » : critique d'une catégorie · MFA résistant au phishing · l'enrôlement plafonne la chaîne