Modéliser la menace d'un parcours d'authentification consiste à répondre à une question unique : à chaque étape, qu'est-ce que le système croit savoir, et qu'est-ce qui pourrait le tromper ? La méthode ci-dessous se conduit en atelier, sur un parcours à la fois, et tient en une page de résultat.
Pourquoi les modèles génériques échouent ici
Les grilles classiques raisonnent par actifs et par vulnérabilités. Sur l'authentification, cela produit des analyses qui passent à côté de l'essentiel, parce que les attaques les plus efficaces n'exploitent aucune vulnérabilité technique : dans un relais, dans une MFA fatigue ou dans une fraude au faux conseiller, tous les contrôles fonctionnent comme spécifié.
La modélisation utile ne cherche donc pas ce qui est cassé, mais ce qui est supposé. Chaque étape d'un parcours repose sur une croyance implicite : que le porteur de l'appareil est le bon, que l'utilisateur comprend ce qu'il approuve, que la personne au téléphone est bien du support. Ce sont ces suppositions qu'un attaquant retourne.
Temps 1 — Décomposer le parcours en étapes atomiques
Prenez un parcours et un seul. Découpez-le en étapes où le système prend une décision.
Exemple pour la validation d'un virement :
- l'utilisateur ouvre une session ;
- le système reconnaît un appareil connu ;
- l'utilisateur saisit les données de l'opération ;
- le système déclenche une demande de validation ;
- l'utilisateur valide ;
- le système exécute et journalise.
Le découpage doit être assez fin pour qu'une étape corresponde à une seule décision. Si vous hésitez sur ce que le système conclut à une étape, c'est qu'elle en contient deux.
Temps 2 — Nommer la supposition de chaque étape
Pour chaque étape, écrivez la phrase que le système tient pour vraie. C'est l'exercice qui produit le plus de valeur, et celui qu'on saute.
| Étape | Ce que le système suppose | Ce qui rend la supposition fausse |
|---|---|---|
| Session ouverte | la bonne personne a fourni les facteurs | relais par proxy inverse, jeton volé |
| Appareil connu | l'appareil est aux mains de son porteur | vol, appareil compromis, appareil partagé |
| Données saisies | elles reflètent l'intention de l'utilisateur | pré-remplissage manipulé, session détournée |
| Demande de validation | l'utilisateur va lire ce qu'il valide | automatisme, absence de contexte affiché |
| Validation reçue | elle exprime un consentement libre et éclairé | manipulation, contrainte, urgence fabriquée |
| Exécution journalisée | la trace suffira à établir les faits | trace de session sans contexte d'action |
Temps 3 — Identifier qui peut mentir, et sur quoi
Trois positions d'attaquant, à traiter séparément parce qu'elles n'ont pas les mêmes parades :
- L'attaquant intercalé. Il se place entre l'utilisateur et le service et relaie l'échange en temps réel. Il ne casse rien : il fait transiter. Seule une réponse liée à l'origine le neutralise.
- L'attaquant possédant. Il détient un élément — appareil, jeton de session, boîte mail. Il n'a pas besoin de tromper l'utilisateur, seulement de se présenter. Les parades relèvent de la durée de vie et de la détection de contexte.
- L'attaquant persuadant. Il obtient de l'utilisateur qu'il agisse lui-même. Aucun contrôle technique n'est franchi ; c'est le consentement qui est corrompu. Les parades relèvent du contexte affiché, du délai, du double contrôle et de la preuve d'intention.
La plupart des dispositifs traitent bien le premier, moyennement le deuxième, et pas du tout le troisième. C'est là que se situe l'apport du facteur cognitif, qui porte sur la nature de l'acte plutôt que sur la possession d'un secret.
Temps 4 — Hiérarchiser par impact, pas par sophistication
Le réflexe est de classer les scénarios par difficulté technique. C'est l'inverse qu'il faut faire : un scénario simple sur une action irréversible mérite plus d'attention qu'un scénario brillant sur une consultation.
Pour chaque scénario, deux questions suffisent :
- Que perd-on si cela réussit ? Argent irrécupérable, données non révocables, accès durable, obligation de notification.
- Combien d'obstacles indépendants doit franchir l'attaquant ? Deux contrôles qui dépendent du même élément — le téléphone, la boîte mail — n'en font qu'un.
Cette seconde question élimine beaucoup d'illusions de défense en profondeur.
Temps 5 — Conclure sur des décisions, pas sur des risques
Un modèle de menace se termine par trois colonnes : le scénario, la décision prise, le risque accepté. Un scénario sans décision est une inquiétude ; un risque accepté et écrit est un choix de gouvernance.
Les décisions possibles sont peu nombreuses : supprimer le chemin, renforcer la preuve exigée, réduire l'impact (plafond, délai, réversibilité), ou détecter et réagir. Le dernier cas est légitime à condition d'être assumé comme tel.
Le format de restitution compte autant que l'analyse : voir comment présenter ces résultats à une direction.
Les limites de l'exercice
Une modélisation reste une hypothèse sur le comportement d'un adversaire. Elle ne mesure rien : elle structure une discussion et rend les suppositions explicites. Pour vérifier ce que votre système accepte réellement, il faut le tester — c'est l'objet du protocole de test de la MFA.
FAQ
Combien de temps prend un atelier de ce type ?
Sur un seul parcours, une demi-journée avec les bonnes personnes : quelqu'un qui connaît l'implémentation, quelqu'un qui connaît le métier, quelqu'un qui connaît les incidents passés. Le temps se perd surtout à vouloir traiter plusieurs parcours à la fois.
Faut-il utiliser STRIDE ou une autre méthode formelle ?
Ces cadres sont utiles pour couvrir un système complet. Sur un parcours d'authentification, la question des suppositions est plus productive, parce que le risque dominant n'est pas une faille mais un abus de confiance légitime.
Comment traiter le risque de manipulation de l'utilisateur ?
Ne le traitez pas comme un problème de sensibilisation. Cherchez ce qui, dans le parcours, permet à quelqu'un de valider sans comprendre : absence de contexte, urgence possible, geste réduit à un clic. Ce sont des propriétés du système, donc modifiables.
À quel moment refaire l'exercice ?
Quand le parcours change, quand une nouvelle intégration s'y greffe, et après tout incident — y compris un incident évité, qui révèle une supposition qu'on ignorait.
Aller plus loin : pilier : authentification cognitive · tester sa MFA · MFA résistant au phishing · deepfakes et fraude au faux conseiller