Un challenge cognitif est une épreuve courte, générée pour une seule session, que l'utilisateur résout en appliquant une méthode de raisonnement qui lui est propre. Ce qui est vérifié n'est pas la valeur transmise, mais la capacité à la produire. Aucun secret réutilisable ne circule, et la même épreuve ne se représente pas deux fois.
Trois éléments, et un seul est durable
Un challenge cognitif se décompose ainsi :
- Le challenge : les éléments présentés au moment de l'authentification. Ils sont générés pour l'occasion et n'ont aucune valeur en dehors de celle-ci.
- La méthode de résolution : la règle que l'utilisateur applique. Chez HIAsecure, elle est établie lors d'un enrôlement hors ligne, précisément pour qu'elle ne transite jamais par un canal observable.
- La réponse : le résultat produit. Le service la vérifie, mais elle est inutile à qui la capture, puisqu'elle ne vaut que pour ce challenge-là.
Le point de bascule est là : seule la méthode est durable, et elle n'est jamais transmise. Le challenge et la réponse sont jetables. C'est l'inverse exact d'un mot de passe, où l'élément durable est précisément celui qui circule à chaque usage.
Les propriétés qui séparent un challenge d'un simple jeu
Tout exercice mental ne fait pas un facteur d'authentification. Cinq propriétés sont nécessaires.
| Propriété | Ce qu'elle empêche | Ce qu'on observe si elle est tenue |
|---|---|---|
| Non-rejouabilité | capturer puis réutiliser | deux authentifications ne partagent aucun élément |
| Non-transférabilité | dicter la réponse par téléphone sous manipulation | connaître une réponse ne permet pas d'en produire une autre |
| Unicité par utilisateur | l'usurpation par un observateur | face au même challenge, deux personnes ne répondent pas pareil |
| Coût cognitif borné | l'abandon, puis le contournement | résolution en une interaction, sans calcul pénible |
| Indépendance au terminal | le vol d'appareil | la méthode reste mentale, pas stockée dans le téléphone |
La quatrième mérite qu'on s'y arrête. Un facteur trop coûteux fabrique sa propre dérogation : on le désactive « pour les cas urgents », et l'exception devient la porte d'entrée. La difficulté doit peser sur l'attaquant, pas sur l'utilisateur légitime.
Pourquoi ce n'est pas une question secrète déguisée
L'objection revient systématiquement : si l'utilisateur retient quelque chose, on est revenu au facteur « je connais ». La différence est de nature, pas de degré.
| Question secrète | Challenge cognitif | |
|---|---|---|
| Ce qui est retenu | une valeur (ville de naissance, nom d'un animal) | une méthode |
| Ce qui est transmis | la valeur elle-même | un résultat valable une seule fois |
| Après interception | l'attaquant rejoue tel quel | il n'y a rien à rejouer |
| Après fuite d'une base | la valeur est perdue définitivement | aucune valeur n'est stockée côté serveur |
| Retrouvable par recherche publique | souvent oui | non : la méthode n'a jamais été exposée |
C'est aussi ce qui distingue le challenge cognitif d'un CAPTCHA. Un CAPTCHA sépare une espèce d'une autre, de façon anonyme : il dit « un humain ». Un challenge d'authentification doit dire « cet humain », et le dire d'une manière qu'un observateur ne peut pas capitaliser.
Ce que le support technique doit garantir
Un bon challenge posé sur un canal faible ne vaut rien. Trois exigences d'architecture accompagnent le facteur cognitif chez HIAsecure :
- Un canal éphémère. Un QR code dynamique à usage unique ouvre un canal chiffré et temporaire entre le service et le terminal. La fenêtre d'interception se referme d'elle-même.
- Une exécution mouvante. Le Moving Target Defense et le polymorphisme fonctionnel font varier les paramètres d'exécution, ce qui vise à rendre l'observation répétée non capitalisable.
- Aucune donnée identifiante centralisée. L'architecture est décentralisée et la biométrie éventuelle est traitée localement sur le terminal. Un facteur qui créerait une nouvelle base centralisée déplacerait le problème au lieu de le traiter.
Où l'insérer dans un parcours
Le challenge complet n'a pas vocation à s'imposer à chaque clic. Le niveau d'exigence suit la criticité, dans un continuum du 2FA au 4FA :
- accès courant : interaction simple, sans challenge complet ;
- action sensible (virement, changement de bénéficiaire, élévation de privilèges) : challenge complet, rattaché au contexte de l'opération ;
- signal de risque (terminal inconnu, incohérence de contexte) : le score de risque contextuel déclenche l'exigence supérieure.
Cette gradation est ce qui rend le facteur déployable dans une organisation réelle, où l'on ne peut pas imposer le maximum de friction à chaque connexion sans provoquer des contournements.
FAQ
Le challenge est-il difficile pour l'utilisateur ?
L'objectif est l'inverse : une méthode s'applique naturellement une fois acquise, comme on lit une heure sur une montre à aiguilles. La complexité recherchée est celle que rencontre l'observateur extérieur, pas celle que subit la personne authentifiée.
Que se passe-t-il si un utilisateur ne parvient plus à résoudre son challenge ?
La récupération est le point faible classique de toutes les méthodes d'authentification, y compris des passkeys : beaucoup de parcours retombent sur un e-mail ou un SMS. C'est un sujet à cadrer explicitement au moment du déploiement, avec le même niveau d'exigence que le parcours nominal.
Un attaquant qui observe plusieurs authentifications peut-il déduire la méthode ?
C'est précisément la menace que visent les contre-mesures d'exécution : canal éphémère, paramètres mouvants, absence de valeur stable à corréler. Aucune conception ne prétend rendre l'observation impossible ; l'objectif est de la rendre non cumulable.
Est-ce compatible avec des contraintes d'accessibilité ?
La question doit être posée au moment du choix, comme pour tout facteur : une clé physique pose des problèmes de dextérité, la biométrie faciale des problèmes de conditions d'usage. Un facteur cognitif doit être évalué sur les mêmes critères, parcours par parcours.
Aller plus loin : le principe de l'authentification cognitive · les 4 facteurs d'authentification · prouver une intention humaine · preuve de présence humaine