Qu'est-ce que l'authentification multifactorielle ? Comment fonctionne la MFA et dans quels cas présente-t-elle des failles ?

L'authentification multifactorielle (MFA) est une méthode de connexion qui exige au moins deux types de justificatifs différents avant de vous autoriser l'accès : quelque chose que vous connaissez, comme un mot de passe, ainsi que quelque chose que vous possédez, comme votre téléphone, ou quelque chose qui vous est propre, comme votre empreinte digitale. Le vol d'un mot de passe ne suffit donc plus à lui seul pour prendre le contrôle d'un compte. Cela fait de la MFA l'une des mesures de sécurité les plus efficaces qu'une organisation puisse mettre en place.

Mais l'authentification multifactorielle (MFA) n'est pas un bouclier infranchissable. Les pirates ont appris à inonder les employés de demandes de connexion jusqu'à ce que l'un d'entre eux clique sur « approuver », à voler des cookies de session via de fausses pages de connexion et à convaincre les services d'assistance de réinitialiser un numéro de téléphone. Cet article explique comment fonctionne la MFA, quelles sont les méthodes sûres et celles qui présentent des failles, comment les pirates parviennent à la contourner et quelles sont les attentes des autorités de régulation au Royaume-Uni, dans l'Union européenne et aux États-Unis.

Fonctionnement de l'authentification multifactorielle

Chaque facteur d'authentification appartient à l'une des trois catégories. L'authentification multifactorielle (MFA) n'est considérée comme telle que lorsque les facteurs proviennent de catégories différentes ; deux mots de passe ne constituent toujours qu'un seul facteur.

• Quelque chose que vous connaissez. Un mot de passe, un code PIN ou la réponse à une question de sécurité.
• Quelque chose que vous possédez. Un téléphone équipé d'une application d'authentification, une clé de sécurité matérielle ou une carte à puce.
• Une caractéristique qui vous est propre. Une empreinte digitale, une reconnaissance faciale ou tout autre élément biométrique, généralement vérifié sur votre propre appareil.

L'authentification à deux facteurs (2FA) correspond simplement à l'authentification multifactorielle (MFA) avec exactement deux facteurs ; dans la pratique, ces termes sont utilisés de manière interchangeable. Ce qui importe davantage que le nombre de facteurs, c'est le niveau de résistance de chaque facteur face au hameçonnage et à la manipulation.

Les différentes formes de MFA, de la plus faible à la plus forte

1. Codes par SMS et par appel vocal. Plus sûrs qu'un mot de passe seul, mais vulnérables à l'usurpation de carte SIM, une technique par laquelle un malfaiteur convainc un opérateur mobile de transférer votre numéro vers sa carte SIM.
2. Codes envoyés par e-mail. Leur niveau de sécurité dépend entièrement de celui de la boîte mail, qui est souvent protégée par le même mot de passe que celui dont dispose déjà le pirate.
3. Codes de l'application d'authentification. Un code à six chiffres qui change toutes les 30 secondes. Beaucoup plus sûr que les SMS, mais un employé peut tout de même le saisir sur une fausse page de connexion.
4. Notifications push avec vérification du numéro. L'application vous demande de confirmer la connexion et de saisir le numéro affiché à l'écran. Cela empêche les validations aveugles, même si un pirate déterminé peut toujours essayer de guider quelqu'un à distance pour qu'il le fasse.
5. Clés d'accès et clés de sécurité. Conformes à la norme FIDO2, elles ne fonctionnent que sur le site web authentique ; une page de hameçonnage n'en tire donc aucun bénéfice. C'est ce que les organismes de sécurité appellent l'authentification multifactorielle (MFA) résistante au hameçonnage.

Comment les pirates contournent l'authentification multifactorielle (MFA)

• La « fatigue de l'authentification multifactorielle ». À l'aide d'un mot de passe piraté, le pirate déclenche une succession de demandes de connexion, souvent la nuit, jusqu'à ce que l'employé en valide une, simplement pour mettre fin aux notifications.
• Hameçonnage de type « adversary-in-the-middle ». Une fausse page de connexion transmet en temps réel toutes les données au site authentique, y compris le code d'authentification multifactorielle (MFA), et vole le cookie de session qui permet à la victime de rester connectée. Notre tour d'horizon des différents types d'attaques par hameçonnage montre à quel point ces pages sont désormais convaincantes.
• Usurpation de carte SIM. Le pirate prend le contrôle du numéro de téléphone de la victime et reçoit les codes envoyés par SMS.
• Ingénierie sociale au service d'assistance. Un appelant se fait passer pour un employé qui aurait « perdu son téléphone » et demande au service d'assistance informatique d'enregistrer un nouvel appareil. Cette technique fonctionne étonnamment souvent, car les agents du service d'assistance sont formés pour aider.

Ces techniques ont pour point commun de ne pas contourner la technologie. Elles persuadent une personne de laisser passer l'attaquant. C'est pourquoi l'authentification multifactorielle (MFA) et la sensibilisation vont de pair.

La « fatigue de l'authentification multifactorielle » : lorsqu'un employé valide l'identité de l'attaquant

La « fatigue MFA », également appelée « push bombing », s'est largement fait connaître en 2022, lorsqu'un pirate a réussi à s'introduire dans le réseau d'Uber par ce biais. Après avoir inondé le système de demandes de validation, le pirate a contacté l'employé sur WhatsApp en se faisant passer pour un technicien informatique et lui a affirmé que les notifications cesseraient dès qu'il en aurait validé une. L'employé a donné son accord, et le pirate a pu accéder au réseau.

La défense repose en partie sur des aspects techniques et en partie sur le facteur humain. La vérification des numéros et les limites imposées aux demandes répétées compliquent l'attaque. Tout aussi importante est une règle simple que chaque employé connaît par cœur : ne jamais valider une connexion que l'on n'a pas initiée soi-même, et signaler immédiatement toute demande d'authentification multifactorielle (MFA) inattendue, car cela signifie que quelqu'un est déjà en possession de votre mot de passe.

Ce qu'attendent les autorités de régulation : la MFA au Royaume-Uni, dans l'Union européenne et aux États-Unis

• Royaume-Uni. La norme « Cyber Essentials » exige l'authentification multifactorielle (MFA) pour les services cloud dès lors qu'elle est disponible, et le NCSC la recommande pour tous les comptes importants.
• Union européenne. La directive NIS 2 mentionne explicitement l'authentification multifactorielle parmi les mesures de sécurité que les entités essentielles et importantes doivent prendre en compte, et le RGPD exige la mise en place de mesures techniques appropriées pour protéger les données à caractère personnel. En France, l'ANSSI recommande l'authentification multifacteur dans ses guides, et en Belgique le cadre CyberFundamentals (CyFun) du CCB l'intègre parmi ses mesures.
• États-Unis. La CISA recommande vivement aux organisations d’adopter une authentification multifactorielle (MFA) résistante au phishing, et la règle « Safeguards Rule » de la FTC impose l’utilisation de la MFA à de nombreuses entreprises du secteur financier qui traitent des données clients.

La tendance est la même partout : l'authentification multifactorielle (MFA) devient la norme, et les autorités de régulation se demandent de plus en plus non seulement si elle est activée, mais aussi si elle résiste au hameçonnage et si les employés savent l'utiliser en toute sécurité.

Comment mettre en place l'authentification à plusieurs facteurs (MFA) en cinq étapes

1. Commencez par les comptes les plus importants : messagerie électronique, accès à distance, comptes administrateurs, systèmes financiers et tout ce qui est accessible depuis Internet.
2. Choisissez la méthode la plus sûre que les utilisateurs utiliseront réellement. Privilégiez les applications d'authentification utilisant la vérification par code comme norme, ainsi que les clés d'accès ou les clés de sécurité pour les administrateurs et les postes à haut risque.
3. Renforcez la sécurité du service d'assistance. Définissez clairement la procédure à suivre pour vérifier l'identité d'une personne avant la réinitialisation ou la réinscription d'un appareil, et appliquez-la systématiquement, y compris pour le PDG.
4. Expliquez-leur pourquoi et quelles sont les règles. Les employés qui comprennent ce qu'est la « fatigue liée à l'authentification multifactorielle » et savent reconnaître les fausses pages de connexion sont capables de repérer une attaque dès qu'ils y sont confrontés.
5. Surveillez la situation et poursuivez la formation. Soyez attentifs aux demandes d'authentification multifactorielle (MFA) qui échouent ou sont refusées de manière répétée, et veillez à ce que les règles restent bien ancrées grâce à des sessions de formation courtes et régulières.

Le conseil : développez la dimension humaine de la MFA avec Guardey

Guardey veille à ce que les employés sachent comment réagir lorsque l’authentification multifactorielle (MFA) est mise à l’épreuve. Chaque semaine, ils doivent relever un défi d’environ trois minutes, sur leur ordinateur portable ou via l’application mobile pour iOS et Android, portant sur des thèmes tels que les demandes de connexion inattendues, les fausses pages de connexion, les escroqueries au service d’assistance et les bonnes pratiques en matière de mots de passe. La gamification, avec des classements et des séries de réussite, maintient l’engagement des utilisateurs ; des simulations de hameçonnage permettent de vérifier s’ils repèrent une fausse page de connexion ; et des rapports prêts pour les audits présentent vos progrès en matière de NIS2 et d’ISO 27001. Plus de 500 organisations, dont le Parlement européen, utilisent déjà Guardey. Découvrez comment fonctionne notre formation à la sensibilisation à la sécurité.

Vous travaillez avec un partenaire informatique ? Ne vous contentez pas de lui demander d'activer l'authentification multifactorielle (MFA)

De nombreuses organisations confient la gestion de leurs comptes Microsoft 365, de leurs appareils et de leur sécurité à un prestataire de services gérés (MSP) : une société informatique qui gère les systèmes informatiques d’autres entreprises moyennant un abonnement mensuel. Pour la plupart des MSP, le déploiement de l'authentification multifactorielle (MFA) relève de la routine. Pourtant, les attaques qui parviennent à contourner la MFA ciblent les utilisateurs, et non la configuration. Si un MSP gère votre infrastructure informatique, demandez-lui comment il vous protège contre la lassitude liée à la MFA et les fausses pages de connexion. Pour les MSP, la formation constitue naturellement le deuxième volet d'un service de MFA.

Les MSP peuvent notamment proposer Guardey par l'intermédiaire d'e92plus, un distributeur spécialisé dans la cybersécurité dont le portefeuille couvre également la gestion des identités, des accès et des mots de passe. Ses ingénieurs internes accompagnent les partenaires depuis la démonstration jusqu'au déploiement, ce qui permet de commercialiser et de fournir les solutions d'authentification et de sensibilisation sous la forme d'un service unique.

Foire aux questions sur l'authentification multifactorielle

L'authentification multifactorielle (MFA) est-elle la même chose que l'authentification à deux facteurs (2FA) ?

Presque. L'authentification à deux facteurs utilise exactement deux facteurs, tandis que l'authentification multifactorielle peut en utiliser deux ou plus. Dans la pratique courante, ces termes désignent la même chose : une deuxième preuve d'identité en plus de votre mot de passe.

Le MFA peut-il être piraté ?

L'authentification multifactorielle (MFA) est rarement piratée, mais elle peut être contournée. Les méthodes les plus courantes sont la « fatigue de l'authentification multifactorielle », les fausses pages de connexion qui volent les cookies de session, le « SIM swapping » et la manipulation du service d'assistance. Les méthodes résistantes au phishing, telles que les clés d'accès, associées à des employés bien formés, permettent de contrer la plupart de ces attaques.

Qu'est-ce que la « fatigue liée à l'authentification multifactorielle » ?

La « fatigue MFA » est une attaque dans laquelle un cybercriminel, qui dispose déjà du mot de passe d'une personne, envoie des demandes de connexion répétées jusqu'à ce que la victime en valide une par agacement ou par confusion. La règle pour s'en prémunir est simple : ne validez jamais une demande que vous n'avez pas déclenchée vous-même, et signalez-la.

Qu'est-ce que l'authentification multifactorielle (MFA) résistante au phishing ?

L'authentification multifactorielle (MFA) résistante au phishing utilise des clés d'accès ou des clés de sécurité matérielles conformes à la norme FIDO2. La connexion est liée de manière cryptographique au site web authentique ; ainsi, une page frauduleuse ne peut capturer aucune information exploitable. Les agences de sécurité telles que la CISA et le NCSC la recommandent, en particulier pour les administrateurs.

L'authentification multifactorielle (MFA) reste l'un des meilleurs investissements qu'une organisation puisse réaliser en matière de sécurité. Elle fonctionne toutefois de manière optimale lorsque les personnes qui cliquent sur « Valider » savent quand ne pas le faire.