Le vol de session est le seul vecteur contre lequel aucun facteur d'authentification classique ne peut rien. Passkey, clé physique, certificat, biométrie : tous authentifient une ouverture de session, puis se taisent. Une fois le cookie ou le jeton émis, quiconque le détient agit avec les droits de l'utilisateur. Le facteur cognitif apporte ici une réponse d'une autre nature — non pas mieux protéger la connexion, mais exiger une preuve au moment de l'action.
Pourquoi la connexion n'est plus le bon point de contrôle
Le modèle historique repose sur une hypothèse : authentifier fortement à l'entrée, puis faire confiance pour la durée de la session. Cette hypothèse était raisonnable quand la session vivait dans un réseau maîtrisé et durait quelques heures.
Elle a cessé de l'être pour trois raisons.
Les sessions sont longues. Les jetons de rafraîchissement prolongent l'accès pendant des jours ou des semaines, pour éviter à l'utilisateur de se reconnecter.
Les jetons sont accessibles. Un logiciel malveillant de vol d'informations, une extension de navigateur trop permissive, un poste partagé ou un proxy inverse suffisent à les extraire. Aucune de ces techniques ne suppose de casser la cryptographie.
Le butin est plus intéressant que le mot de passe. Un jeton volé ne déclenche aucune authentification, donc aucune alerte, et il survit à un changement de mot de passe. C'est un accès sans trace d'entrée.
L'architecture Zero Trust décrite dans le NIST SP 800-207 formule la conclusion : ne jamais faire confiance, toujours vérifier — y compris à l'intérieur d'une session déjà ouverte.
Ce que change une preuve exigée par action
| Situation après vol de session | Sans preuve par action | Avec preuve d'intention par action |
|---|---|---|
| Consultation de données | Possible | Possible, à traiter par le cloisonnement |
| Virement ou paiement | Possible | Bloqué, défi non résolvable |
| Changement de coordonnées bancaires | Possible | Bloqué |
| Création d'un compte à privilèges | Possible | Bloqué |
| Export massif de données | Possible | Bloqué si l'export est protégé |
| Enrôlement d'un nouveau facteur | Possible | Bloqué |
| Modification de paramètres de sécurité | Possible | Bloqué |
La première ligne doit être lue attentivement : la consultation reste possible. Une preuve par action ne referme pas la session, elle en retire la capacité d'agir. Pour les organisations dont le préjudice principal est la divulgation — cabinets juridiques, santé, propriété industrielle — cette protection est partielle et doit être complétée par le cloisonnement des données et par la réduction de la durée de vie des sessions.
Pourquoi le défi ne peut pas être rejoué depuis la session volée
Trois propriétés se combinent.
Le défi est propre à l'action. Il est généré pour l'opération en cours ; une réponse observée précédemment ne s'applique pas à une autre.
Le canal est éphémère. Le QR code dynamique à usage unique ouvre un canal chiffré qui n'existe plus après l'échange, et qui ne peut pas être rouvert avec les mêmes éléments.
L'exécution est mouvante. Le Moving Target Defense et le polymorphisme fonctionnel font varier les paramètres, ce qui empêche un attaquant ayant observé des échanges de construire un modèle exploitable.
S'y ajoute un point décisif : la méthode de résolution est personnelle, acquise lors d'un enrôlement hors ligne, et elle ne réside pas dans le navigateur. Voler le contenu d'un navigateur ne donne donc rien d'utile pour résoudre un défi futur — ce qui est exactement le mode opératoire des logiciels de vol d'informations.
Ce que le facteur cognitif ne fait pas
Trois limites doivent être posées clairement.
Il ne nettoie pas le poste. Si un logiciel malveillant contrôle la machine, il peut observer ce que l'utilisateur voit et fait. La détection sur poste reste nécessaire.
Il ne révoque pas les sessions. La capacité à couper des sessions actives et des jetons de rafraîchissement relève de l'architecture d'identité et doit exister indépendamment, testée en exercice.
Il ne protège pas d'un utilisateur manipulé. Une personne convaincue d'effectuer une opération frauduleuse résoudra le défi. La parade relève du délai, de la notification hors bande et de la séparation des pouvoirs, complétée par un score de risque contextuel qui élève l'exigence lorsque le contexte diverge.
Mise en œuvre : par les gestes, pas par les écrans
L'erreur d'implémentation la plus fréquente consiste à protéger des écrans. Un même écran mêle généralement consultation banale et actions engageantes.
La démarche efficace consiste à établir, avec les métiers, la liste des gestes qui justifient une preuve : ceux dont la réalisation frauduleuse produirait un préjudice financier, juridique ou opérationnel significatif. Cette liste est en général courte — quelques dizaines d'opérations — ce qui rend le déploiement en overlay d'une MFA existante réaliste sans refondre le socle d'identité. Le facteur cognitif s'inscrit dans ce continuum, où l'exigence suit le risque au lieu de s'appliquer uniformément.
FAQ
Une passkey protège-t-elle contre le vol de session ?
Non. Elle protège la connexion grâce à la liaison à l'origine. Une fois la session émise, elle n'intervient plus, et un jeton volé reste pleinement exploitable.
Réduire la durée de vie des sessions suffit-il ?
C'est une mesure utile qui réduit la fenêtre d'exploitation, mais elle se heurte à l'expérience utilisateur et laisse une fenêtre réelle. Elle se combine avec une preuve par action plutôt qu'elle ne la remplace.
Comment repérer une session volée ?
Par les incohérences au sein d'une même session — empreinte de navigateur, adresse, comportement — et par la séquence des actions. Une exigence de preuve par action produit en outre des défis abandonnés, signal directement exploitable.
Faut-il exiger une preuve pour chaque opération ?
Non. Une exigence généralisée recrée l'automatisme que l'on cherche à éviter et dégrade l'adhésion. Elle doit se concentrer sur les gestes à fort impact, définis avec les métiers.
Aller plus loin : le pilier authentification cognitive · vol de session et token theft · Moving Target Defense contre le vol de session · authentification continue