L'authentification adaptative module l'exigence d'authentification en fonction d'un risque estimé au moment de la demande. Une connexion habituelle passe sans friction ; une connexion inhabituelle déclenche une vérification supplémentaire. Le principe est solide, mais il repose sur une estimation — et une estimation n'est pas une preuve. Toute la difficulté est là.
Les signaux disponibles, et ce qu'ils valent
Un moteur de risque agrège des attributs hétérogènes. Leur qualité varie fortement.
| Signal | Ce qu'il indique | Limite à connaître |
|---|---|---|
| Appareil reconnu | continuité avec les usages passés | un appareil compromis reste « reconnu » |
| Adresse réseau et réputation | provenance inhabituelle, infrastructure d'hébergement | relais résidentiels et mobiles brouillent le signal |
| Géolocalisation approximative | déplacement incohérent, pays inattendu | imprécise, contournable |
| Vélocité géographique | deux connexions incompatibles dans le temps | faux positifs fréquents avec les VPN d'entreprise |
| Horaire et fréquence | écart au rythme habituel | populations mobiles ou multi-fuseaux mal modélisées |
| État du terminal | chiffrement, correctifs, agent de sécurité | disponible seulement sur un parc géré |
| Comportement d'usage | rythme de frappe, navigation, séquences d'actions | apprentissage long, dérive dans le temps |
| Historique du compte | échecs récents, changements de configuration | signal a posteriori, utile en corrélation |
Deux constats. D'abord, aucun signal n'est fiable isolément ; c'est leur corrélation qui produit de l'information. Ensuite, les signaux les plus robustes proviennent d'un parc maîtrisé : sur des terminaux non gérés, le moteur travaille avec beaucoup moins de matière.
Critères ou score : un arbitrage structurant
Le NIST SP 800-207 distingue deux façons d'évaluer une demande, et le choix a des conséquences concrètes.
L'approche par critères exige la satisfaction d'un ensemble de conditions explicites. Elle produit des décisions reproductibles et explicables : on peut dire à un utilisateur pourquoi il a été bloqué, et à un auditeur pourquoi un accès a été accordé. Elle s'adapte mal aux situations intermédiaires.
L'approche par score pondère des attributs et compare le résultat à un seuil. Elle est plus fine et absorbe mieux la diversité des situations, mais elle rend l'explication difficile. Un refus justifié par « le score dépassait le seuil » satisfait rarement un métier bloqué en pleine clôture comptable, ni un contrôleur qui demande la traçabilité d'une décision.
En pratique, un compromis fonctionne bien : score pour l'usage courant, critères explicites pour les décisions à forte portée — accès d'administration, opérations financières, exports massifs.
Régler les seuils sans casser l'exploitation
Le réglage se heurte à un compromis identique à celui de la biométrie : réduire les faux négatifs augmente les faux positifs. Quatre principes limitent la casse.
- Observer avant de bloquer. Faire tourner le moteur en mode journalisation seule pendant une période représentative — incluant les congés, les pics d'activité et les clôtures — avant toute application. Les surprises viennent presque toujours des populations atypiques.
- Préférer l'élévation au blocage. Un score élevé doit déclencher un step-up plutôt qu'un refus sec. On conserve la continuité d'activité tout en obtenant une preuve supplémentaire.
- Prévoir un recours immédiat. Toute décision automatique doit avoir un chemin de contestation opérationnel, sans quoi le support devient le point de contournement — et donc la cible de l'ingénierie sociale.
- Surveiller la dérive. Les modèles comportementaux vieillissent : changement d'outil, nouveaux usages, réorganisation. Un moteur non réévalué produit progressivement plus de bruit que de signal.
La limite de fond : un score n'est pas une preuve
C'est le point à ne pas perdre de vue. L'authentification adaptative améliore la détection du risque ; elle ne renforce pas la preuve d'identité. Si le facteur employé lorsqu'un risque est détecté reste relayable, l'attaquant qui déclenche une élévation la franchit comme il a franchi l'authentification initiale.
Trois scénarios illustrent cette limite :
- Un attaquant opérant depuis le poste de la victime, via un malware ou une extension malveillante, présente tous les bons signaux : bon appareil, bon réseau, bons horaires. Le score reste bas.
- Un attaquant en relais reproduit le contexte de la victime, qui fournit elle-même le facteur demandé, de bonne foi.
- Un attaquant patient adapte son comportement au profil appris, jusqu'à passer sous les seuils.
L'adaptatif traite donc bien les scénarios bruyants — connexion depuis un pays inattendu, credential stuffing massif, appareil inconnu — et beaucoup moins bien les scénarios discrets, qui sont précisément ceux des attaques ciblées.
D'où la complémentarité avec une preuve d'intention : quand le score signale une anomalie, encore faut-il disposer d'un facteur que l'attaquant ne peut ni relayer ni provoquer. C'est ce que vise le facteur cognitif, dont le score de risque contextuel sert à ajuster le niveau d'exigence au sein du continuum 2FA → 4FA plutôt qu'à décider seul de l'accès.
Le point RGPD à ne pas manquer
Un moteur de risque traite des données de connexion, de localisation approximative et parfois de comportement. Ce traitement doit être documenté : finalité, base légale, durée de conservation, information des personnes. Lorsque la décision est entièrement automatisée et produit un effet significatif — un blocage d'accès, par exemple —, l'existence d'une intervention humaine et d'une voie de recours devient un sujet à instruire avec le délégué à la protection des données.
FAQ
Authentification adaptative et risk-based authentication, est-ce la même chose ?
Oui, ce sont deux appellations du même mécanisme : moduler l'exigence selon un risque estimé. La seconde formulation insiste sur l'évaluation, la première sur l'adaptation de l'exigence.
Combien de signaux faut-il pour que ce soit utile ?
Peu de signaux bien choisis valent mieux qu'une accumulation. Appareil reconnu, réputation de la source, cohérence géographique et fraîcheur de l'authentification couvrent déjà une large part des cas bruyants.
Le moteur peut-il fonctionner sur des terminaux non gérés ?
Oui, mais avec des signaux nettement plus pauvres, donc davantage de faux positifs. Sur ces populations, une élévation systématique avant les actions sensibles est souvent plus efficace qu'un score peu informé.
Faut-il expliquer aux utilisateurs pourquoi ils sont sollicités ?
Oui, dans les grandes lignes. Un message qui indique qu'une vérification supplémentaire est demandée en raison d'un contexte inhabituel améliore l'acceptation et transforme l'utilisateur en capteur, sans révéler la logique de détection.
Aller plus loin : le score de risque dans le continuum 2FA-4FA · NIST SP 800-207 : algorithme de confiance · step-up authentication · authentification continue