La risk-based authentication (RBA), ou authentification fondée sur le risque, module l'exigence d'authentification selon le contexte de la demande. Un score est calculé à partir de signaux observés ; en dessous d'un seuil, l'accès passe sans friction supplémentaire ; au-dessus, le système exige une preuve plus forte ou refuse.
Les signaux exploités
- Appareil : empreinte du terminal, système, appareil déjà connu ou non ;
- Réseau : adresse IP, réputation, usage d'un anonymiseur, géolocalisation approximative ;
- Temps et déplacement : horaire inhabituel, « voyage impossible » entre deux connexions ;
- Comportement : rythme de frappe, parcours dans l'application, séquence d'actions ;
- Sensibilité de l'action demandée : consultation, changement de coordonnées, virement.
L'objectif est double : réduire la friction sur les accès banals, et concentrer l'effort de vérification là où le risque est réel.
Deux limites à garder en tête
D'abord, la RBA est probabiliste. Elle produit des faux positifs qui bloquent des utilisateurs légitimes, et des faux négatifs qu'un attaquant peut provoquer en imitant un contexte habituel : appareil compromis de la victime, proxy résidentiel dans la bonne ville, connexion aux heures ouvrées.
Ensuite, un score décide seulement quand demander une preuve ; il ne remplace pas la preuve elle-même. Si l'escalade aboutit à un OTP relayable ou à une notification approuvée par réflexe, la chaîne reste contournable. Le score de risque contextuel prend toute sa valeur lorsqu'il déclenche un facteur réellement résistant, appliqué à l'action sensible.
Aller plus loin : authentification adaptative : signaux, score et arbitrage · step-up authentication · définition du Zero Trust · l'authentification cognitive