L'authentification repose traditionnellement sur trois familles de facteurs : ce que je connais (mot de passe, code PIN), ce que je possède (téléphone, clé, certificat) et ce que je suis (empreinte, visage, voix). Un quatrième facteur émerge : ce que je sais faire — un raisonnement propre à l'utilisateur, appliqué à un challenge. C'est le facteur cognitif.
Les trois facteurs classiques, et leur limite commune
| Facteur | Exemples | Ce qui est réellement vérifié | Point de rupture |
|---|---|---|---|
| Je connais | mot de passe, PIN, question secrète | qu'un secret a été saisi | le secret fuit, se réutilise, se devine |
| Je possède | téléphone, TOTP, passkey, clé FIDO2 | qu'un appareil/une clé répond | vol d'appareil, SIM swapping, relais de session |
| Je suis | empreinte, visage, voix | qu'un gabarit correspond à un seuil | imitation par deepfake, contrainte physique |
Ces trois familles partagent une faiblesse structurelle : elles authentifient l'utilisateur de façon indirecte. Le système constate qu'un secret, un appareil ou un gabarit est présent, et suppose que la bonne personne est derrière — consciente et libre.
C'est la raison pour laquelle on multiplie les facteurs (MFA) : non pas parce qu'un facteur devient une preuve, mais pour réduire la probabilité que tous soient compromis simultanément. On empile des approximations.
Ce que la MFA ne dit pas
Trois situations où une MFA « valide » ne prouve rien d'utile :
- AiTM (adversary-in-the-middle) : l'utilisateur s'authentifie correctement sur une page relayée. L'attaquant récupère le cookie de session. Tous les facteurs ont été fournis — au mauvais destinataire.
- MFA fatigue / push bombing : sous une avalanche de notifications, l'utilisateur finit par approuver. Le facteur « je possède » est satisfait ; l'intention, non.
- Fraude au faux conseiller : la victime réalise elle-même l'authentification, sous manipulation. Aucun contrôle technique n'est contourné. Le consentement est vicié.
Dans les trois cas, le système reçoit exactement ce qu'il attend. Ce qui manque n'est pas un facteur supplémentaire du même type : c'est la preuve d'une intention consciente.
« Je sais faire » : le facteur cognitif
Le facteur cognitif ne vérifie ni un secret stocké, ni un objet, ni une caractéristique corporelle. Il vérifie une capacité de raisonnement : l'utilisateur reçoit un challenge et lui applique une méthode de résolution personnelle, établie lors de son enrôlement.
Trois propriétés en découlent :
- Rien de réutilisable ne circule. Le challenge change à chaque session ; ce qui est prouvé, c'est l'aptitude à le résoudre, pas la valeur transmise. Le rejeu perd son objet.
- L'acte est nécessairement conscient. Résoudre un challenge demande une attention active. Un « approuver » réflexe ne suffit pas, ce qui coupe l'automatisme exploité par la MFA fatigue.
- Une IA ne reproduit pas une méthode qu'elle n'a pas. Un modèle génératif peut cloner une voix ou un visage à partir d'échantillons publics. Il n'a pas accès à une règle mentale privée qui n'a jamais été exposée.
Une antériorité : le CAPTCHA, et pourquoi ce n'est pas la même chose
L'idée d'utiliser la cognition comme rempart n'est pas neuve : le CAPTCHA, apparu au début des années 2000, cherchait déjà à séparer l'humain de la machine. Mais un CAPTCHA est anonyme — il distingue une espèce, pas une personne — et il s'est complexifié jusqu'à devenir une friction subie, alimentant le même automatisme qu'il devait empêcher.
Un facteur cognitif d'authentification est différent sur deux points : il identifie un utilisateur précis (via sa méthode propre) et il est conçu comme un facteur d'authentification, avec les exigences d'unicité et de non-rejouabilité correspondantes.
Ce que ça implique côté architecture
Un facteur cognitif n'a d'intérêt que si son support ne réintroduit pas les faiblesses qu'il corrige. D'où trois choix d'architecture cohérents :
- Passwordless et IDless : ni mot de passe ni identifiant permanent — donc rien à voler en amont pour préparer une attaque ciblée.
- Canal éphémère (ex. QR code dynamique à usage unique) : la fenêtre d'interception se referme d'elle-même.
- Exécution mouvante (Moving Target Defense, polymorphisme) : les paramètres varient en permanence, ce qui neutralise l'observation et les attaques par canaux auxiliaires.
Et un choix de gouvernance : traiter les données sensibles localement, sans centralisation, pour que le facteur ne crée pas une nouvelle base de données à protéger.
FAQ
Le facteur cognitif est-il un quatrième facteur reconnu par les standards ?
Les cadres réglementaires (DSP2/SCA, NIST SP 800-63) raisonnent sur trois catégories. Le facteur cognitif s'ajoute comme facteur inhérent à l'utilisateur — sa capacité de raisonnement — et se déploie aujourd'hui en complément d'une chaîne conforme, pas en remplacement d'une exigence.
Faut-il mémoriser quelque chose ? Ce serait un « je connais » déguisé.
Non : ce qui est acquis à l'enrôlement est une méthode, pas une valeur. Un mot de passe est une donnée statique qui peut être volée telle quelle. Une méthode de résolution produit une réponse différente à chaque challenge.
Est-ce plus lent qu'un code SMS ?
Le parcours reste une interaction unique. Le niveau d'exigence peut s'adapter à la criticité : scan simple pour un accès courant, challenge complet pour une opération sensible.
Combien de facteurs faut-il déployer ?
La bonne question n'est pas le nombre mais la nature : quatre facteurs qui prouvent tous la même chose indirectement valent moins que deux facteurs dont l'un atteste réellement de l'intention.
Aller plus loin : l'authentification cognitive en détail · MFA résistant au phishing · au-delà de la MFA