Le 2FA (two-factor authentication, authentification à deux facteurs) est un contrôle d'accès qui exige deux preuves d'identité appartenant à deux catégories distinctes : ce que l'on connaît (mot de passe, code PIN), ce que l'on possède (téléphone, clé de sécurité) et ce que l'on est (empreinte, visage). Saisir deux mots de passe successifs ne constitue donc pas du 2FA : les deux preuves relèvent de la même catégorie.
Les combinaisons les plus déployées
- Mot de passe + OTP reçu par SMS ou généré par une application ;
- Mot de passe + notification push approuvée sur mobile ;
- Mot de passe + clé de sécurité FIDO2 ;
- Carte à puce + code PIN (deux facteurs, un seul geste).
Ces combinaisons n'offrent pas le même niveau de résistance. Le NIST classe l'OTP par SMS ou voix en canal « restricted » dans sa publication SP 800-63B, c'est-à-dire déconseillé.
À ne pas confondre avec la MFA
Le 2FA est un cas particulier de la MFA : deux facteurs exactement, quand la MFA en admet deux ou plus. Dans la pratique, la plupart des déploiements dits MFA sont en réalité du 2FA.
Surtout, le 2FA ne dit rien de la résistance au phishing. Une attaque adversary-in-the-middle relaie mot de passe et code en temps réel, puis vole le cookie de session : les deux facteurs ont été fournis, l'accès est quand même détourné. C'est cette limite structurelle qui motive l'ajout d'un facteur prouvant une intention humaine consciente plutôt qu'un secret transmissible.
Aller plus loin : 2FA ou MFA, quelle différence réelle · définition de la MFA · le principe de l'authentification cognitive