Le second facteur et les codes à usage unique
L'authentification à plusieurs facteurs
L'identité numérique repose depuis longtemps sur un seul rempart : le mot de passe. Mais un mot de passe se devine, se vole, se rejoue. L'authentification forte cherche à combiner plusieurs preuves d'identité de natures différentes.
Qu'est-ce qu'un facteur d'authentification ?
Un facteur est une preuve que vous êtes bien la bonne personne. On les classe en trois grandes catégories, selon ce sur quoi ils reposent.
- Ce que l'on sait : une information mémorisée, comme un mot de passe, un code PIN, une phrase secrète.
- Ce que l'on possède : un objet physique, comme un téléphone, une clé de sécurité, une carte à puce.
- Ce que l'on est : une caractéristique biologique, comme une empreinte digitale, un visage, une voix.
+------------------+---------------------------+-------------------------+
| Catégorie | Exemples | Faiblesse principale |
+------------------+---------------------------+-------------------------+
| Ce que je SAIS | mot de passe, code PIN | se devine, se partage, |
| | | se rejoue |
+------------------+---------------------------+-------------------------+
| Ce que je POSSÈDE| téléphone, clé, carte | se perd, se vole |
+------------------+---------------------------+-------------------------+
| Ce que je SUIS | empreinte, visage, voix | non révocable une fois |
| | | compromise |
+------------------+---------------------------+-------------------------+
Pourquoi un seul facteur ne suffit plus
Un mot de passe seul est fragile. Les fuites de bases de données exposent des milliards de mots de passe, souvent réutilisés d'un site à l'autre. L'hameçonnage (phishing) trompe l'utilisateur pour le lui faire saisir sur un faux site. Une fois volé, il donne un accès total.
Le problème de fond : un facteur unique ce que je sais est une simple chaîne de caractères. Rien ne distingue le vrai propriétaire d'un attaquant qui connaît la même chaîne.
La combinaison de facteurs
L'authentification à deux facteurs (2FA), ou plus généralement à plusieurs facteurs (MFA, multi-factor authentication), exige des preuves issues de catégories différentes.
Un exemple classique : un mot de passe (ce que je sais) plus un code lu sur le téléphone (ce que je possède). Un attaquant qui a volé le mot de passe par une fuite ne possède pas le téléphone : il est bloqué.
Point important : deux mots de passe ne font pas une authentification forte. Il faut deux catégories distinctes. Additionner deux preuves de type ce que je sais laisse la même faiblesse.
Le bon compromis
Ajouter un facteur renforce la sécurité mais alourdit l'usage. Trop de friction, et l'utilisateur contourne la protection. Le 2FA est aujourd'hui le compromis dominant : un gain de sécurité majeur pour un effort modéré, en particulier contre les fuites de mots de passe.
En résumé
- Un facteur relève de l'une des trois catégories : ce que je sais, ce que je possède, ce que je suis.
- L'authentification forte combine des facteurs de catégories différentes.
- Le 2FA rend un mot de passe volé insuffisant, car il manque le second facteur.