La MFA a fait ce qu'on lui demandait : elle a rendu inopérant le vol de mot de passe isolé. Ce qu'elle ne fait pas, c'est protéger contre les attaques qui passent à travers une authentification parfaitement valide. Ajouter un troisième facteur du même type ne corrige pas ce défaut, parce que le problème n'est pas le nombre de facteurs mais leur nature : ils authentifient tous indirectement.
Le rendement décroissant de l'empilement
Empiler des facteurs repose sur un raisonnement probabiliste : si chaque facteur a une probabilité d'être compromis, les cumuler réduit la probabilité que tous le soient. Ce raisonnement suppose que les compromissions sont indépendantes. Dans la réalité d'un déploiement, elles ne le sont presque jamais.
Trois sources de dépendance :
- Le canal commun. Un proxy inverse qui relaie une session capte le mot de passe et l'OTP et l'approbation push. Les trois facteurs traversent le même tuyau contrôlé par l'attaquant.
- L'appareil commun. Le téléphone porte souvent le « je possède » (application d'authentification), le « je suis » (empreinte ou visage de déverrouillage) et parfois le gestionnaire de mots de passe. Trois facteurs, un seul point de défaillance.
- La personne commune. Aucun facteur ne résiste à un utilisateur convaincu de coopérer. Sous manipulation, la victime fournit tout ce qu'on lui demande, dans l'ordre.
Ce que chaque famille prouve, et ce qu'elle laisse ouvert
| Famille | Ce qui est réellement vérifié | Ce que ça ne dit pas |
|---|---|---|
| Je connais | un secret a été saisi | par qui, et de son plein gré |
| Je possède | un appareil ou une clé a répondu | qui le tenait à cet instant |
| Je suis | un gabarit correspond à un seuil | si la personne agissait librement |
| Je sais faire | une méthode de résolution a été appliquée | reste à organiser l'enrôlement et la récupération |
La lecture utile de ce tableau n'est pas « les trois premiers sont mauvais » — ils ne le sont pas. C'est que trois preuves indirectes ne font pas une preuve directe. Quatre non plus.
L'attaquant ne vise plus l'authentification, il vise l'après
Le déplacement du terrain est net. Les méthodes liées à l'origine, comme FIDO2/WebAuthn, ont réglé un problème réel : la réponse cryptographique est calculée pour un domaine précis, donc inexploitable sur un faux domaine. La conséquence est mécanique : l'attaque s'est décalée vers ce que ces méthodes ne couvrent pas.
- Le vol de jeton de session : un cookie récupéré par un logiciel malveillant ou une extension permet d'agir sans repasser par le moindre facteur.
- Les parcours de récupération de compte : réinitialisation par e-mail, par SMS, ou via un helpdesk. Le maillon faible n'est plus la connexion nominale.
- La manipulation de l'utilisateur : la compromission d'Uber en 2022 a montré une chaîne où l'attaquant disposait d'identifiants valides et n'avait besoin que d'une approbation, obtenue par saturation de notifications.
Dans les trois cas, un facteur supplémentaire à la connexion ne change rien : l'attaque n'a pas lieu à la connexion.
Changer de question : quoi prouver, et quand
La bonne question n'est pas « combien de facteurs ? » mais « à quel moment, et sur quoi, exige-t-on une preuve ? ». Trois déplacements en découlent.
- Du compte vers l'action. Authentifier une session puis faire confiance pendant huit heures est une hypothèse forte. L'authentification transactionnelle demande une validation explicite au moment de l'opération sensible.
- De l'indice vers l'acte. Un facteur qui exige un raisonnement conscient — le facteur cognitif « je sais faire » — atteste une décision, là où les autres attestent une présence.
- Du systématique vers le contextuel. Un score de risque contextuel permet de réserver l'exigence forte aux situations qui la justifient, et donc de la rendre supportable.
Par où commencer sans tout refaire
Le principal frein n'est pas technique, il est organisationnel : personne ne remplace son IdP pour tester une idée. D'où l'intérêt d'un déploiement en overlay, où le facteur cognitif s'ajoute à une chaîne existante (IdP, SSO, MFA en place) sans refonte.
Une séquence réaliste :
- Cartographier les actions à fort impact plutôt que les applications. La liste est courte.
- Retirer le SMS-OTP de ces parcours en priorité : le NIST SP 800-63B le classe « restricted ».
- Ajouter une validation d'intention sur ces actions, en commençant par une population pilote.
- Traiter la récupération de compte avec le même niveau d'exigence que le parcours nominal.
- Vérifier la capacité à révoquer les sessions, faute de quoi les points précédents restent contournables.
Cette séquence produit un résultat mesurable sans big bang, et elle a l'avantage de rendre visible ce que la MFA actuelle couvre réellement.
FAQ
Faut-il abandonner la MFA existante ?
Non. Elle reste utile contre le vol d'identifiants isolé, qui demeure l'un des tout premiers vecteurs d'intrusion selon le Verizon DBIR. L'enjeu est d'ajouter ce qu'elle ne couvre pas, pas de la remplacer.
Quatre facteurs, n'est-ce pas trop de friction ?
Le nombre de facteurs déclenchés peut varier selon la criticité, dans un continuum du 2FA au 4FA. L'erreur consiste à imposer partout le niveau maximal : elle produit des contournements, donc moins de sécurité.
Les passkeys ne suffisent-elles pas ?
Elles constituent un progrès net sur la connexion grâce à la liaison à l'origine. Restent le vol de session après authentification et les parcours de récupération, souvent retombés sur un e-mail ou un SMS.
Comment justifier l'investissement auprès d'une direction ?
En raisonnant sur les actions à fort impact plutôt que sur la couverture globale. Une validation d'intention sur les opérations financières et les accès à privilèges se défend par le coût unitaire d'un incident, pas par un pourcentage de couverture.
Aller plus loin : l'authentification cognitive expliquée · pourquoi la plupart des MFA sont contournées · les 4 facteurs d'authentification · ajouter un facteur en overlay d'un IdP