Sur les comptes d'administration, la clé de sécurité physique offre le meilleur rapport entre robustesse et simplicité d'intégration : la clé privée reste dans un composant matériel, la signature est liée au domaine, et l'attaquant doit obtenir un objet physique. Le vrai sujet d'un déploiement n'est donc pas la sécurité de la clé — c'est la logistique autour d'elle, et ce qui se passe une fois la session ouverte.
Pourquoi la population à privilèges d'abord
Trois raisons rendent ce périmètre prioritaire, indépendamment du budget global :
- C'est la population la plus ciblée. Un compte d'administration donne accès à l'annuaire, aux sauvegardes et aux consoles d'infrastructure. Le rendement d'une attaque y est incomparable.
- C'est la population la plus petite. Le coût unitaire d'une clé matérielle, prohibitif à l'échelle de milliers d'utilisateurs, devient marginal sur quelques dizaines d'administrateurs.
- C'est la population la plus autonome. Les administrateurs absorbent une contrainte supplémentaire sans conduite du changement lourde, ce qui raccourcit le projet.
Ce triple constat explique pourquoi le déploiement de clés physiques sur les comptes à privilèges est l'action au meilleur rapport risque/coût dans la plupart des organisations.
La logistique, principal poste de travail
| Question | Décision à prendre | Conséquence si elle est éludée |
|---|---|---|
| Combien de clés par administrateur ? | deux au minimum, sur des supports distincts | un objet perdu bloque un compte critique |
| Où sont stockées les clés de secours ? | coffre, scellé, procédure de sortie tracée | la clé de secours finit dans un tiroir partagé |
| Quels connecteurs ? | USB-A, USB-C, NFC selon le parc réel | clés inutilisables sur les postes d'intervention |
| Qui remet la clé ? | remise en main propre, avec émargement | inscription à distance, donc amorçage faible |
| Que fait-on au départ d'un administrateur ? | restitution, révocation immédiate du justificatif | accès résiduel invisible dans l'annuaire |
| Comment gère-t-on l'urgence ? | procédure de bris de glace testée | improvisation le jour de l'incident |
| Quel budget de renouvellement ? | provision annuelle pour perte et casse | demandes bloquées faute de ligne budgétaire |
La règle des deux clés mérite d'être posée comme non négociable. Une seule clé transfère mécaniquement le risque vers le parcours de récupération, c'est-à-dire vers le helpdesk — le maillon que le projet cherchait précisément à sortir du chemin critique.
Les environnements qui compliquent les choses
Tous les accès à privilèges ne se font pas depuis un poste bureautique.
- Salles serveurs et sites industriels. Ports USB condamnés, postes partagés, gants, absence de réseau. Une clé NFC ou un dispositif ne nécessitant pas de port disponible s'impose parfois.
- Interventions à distance via bastion. La chaîne poste local, bastion, cible doit propager correctement l'exigence d'authentification. Un bastion qui authentifie fortement puis ouvre des sessions non contrôlées vers les cibles annule le bénéfice.
- Comptes de service et automatisation. Une clé physique suppose un humain. Les comptes techniques relèvent d'un autre traitement — secrets gérés par un coffre, rotation automatique, identités de charge de travail — et doivent être inventoriés séparément dès le cadrage.
- Prestataires externes. Fournir une clé à un intervenant extérieur pose des questions de propriété, de restitution et de suivi contractuel qu'il vaut mieux trancher avant le premier incident.
Ce que la clé physique ne règle pas
La clé protège l'événement d'authentification. Au-delà, trois risques subsistent, et ils sont précisément ceux qui dominent les compromissions d'environnements d'administration.
Le vol de session. Après connexion, le poste détient un jeton. Un logiciel malveillant sur le poste d'administration l'exfiltre sans jamais solliciter la clé. C'est la raison pour laquelle un poste d'administration dédié et durci compte autant que le facteur d'authentification.
L'élévation ultérieure. Une session ouverte pour une tâche de routine sert à exécuter une action majeure. Rien ne redemande de preuve entre les deux.
L'intention. La clé prouve qu'un objet a été inséré et déverrouillé. Elle ne dit rien de ce que l'administrateur exécute ensuite, ni s'il agit sous instruction d'un tiers se faisant passer pour un responsable.
| Risque résiduel | Contre-mesure la plus efficace |
|---|---|
| Vol du jeton de session | poste d'administration dédié, sessions courtes, révocation rapide |
| Action majeure dans une session ancienne | réauthentification sur l'action, pas sur la connexion |
| Administrateur manipulé | preuve d'intention humaine consciente sur l'opération |
| Double validation absente | approbation par un second administrateur sur les actions irréversibles |
Les deux dernières lignes relèvent d'une logique de validation transactionnelle, cohérente avec le principe Zero Trust du NIST SP 800-207 : ne jamais faire confiance, toujours vérifier — y compris à l'intérieur d'une session légitime. C'est le terrain du 4ᵉ facteur « je sais faire », qui déplace la preuve de la connexion vers l'action, sans imposer un objet supplémentaire à transporter.
Séquencer le déploiement
Une trame qui fonctionne sur un périmètre d'administration :
- Inventorier les comptes à privilèges réels, y compris ceux qui n'apparaissent pas dans le groupe d'administration nominal, et les comptes de service.
- Remettre deux clés en main propre à chaque administrateur, avec inscription immédiate des deux justificatifs.
- Retirer les facteurs de repli faibles sur ces comptes — c'est cette étape, et non l'inscription des clés, qui produit le gain de sécurité.
- Réduire les durées de session et invalider au verrouillage du poste.
- Ajouter une validation sur les actions irréversibles, en commençant par les plus sensibles.
FAQ
Combien de clés faut-il commander ?
Au minimum deux par administrateur, plus une réserve pour les remplacements et les arrivées. Une réserve trop faible se traduit invariablement par des dérogations et des retours au mot de passe.
Une clé physique est-elle plus sûre qu'une passkey sur téléphone ?
Elle offre une meilleure isolation, puisque la clé privée réside dans un composant dédié et ne dépend d'aucun trousseau synchronisé. En contrepartie, elle coûte plus cher et impose une logistique que le téléphone évite.
Que faire si un administrateur perd sa clé ?
La révoquer immédiatement dans l'annuaire, basculer sur la seconde clé, et remettre un remplacement selon la procédure d'enrôlement — jamais par un parcours à distance allégé. Une clé perdue doit être traitée comme un incident, avec vérification des accès récents.
Faut-il l'attestation lors de l'inscription ?
Sur une population à privilèges, oui : elle permet d'imposer des modèles certifiés et d'empêcher l'inscription d'un authentificateur logiciel non conforme à votre politique.
Aller plus loin : pilier : authentification cognitive · accès à privilèges avec certificat · clé physique face au phishing · clé physique ou application