Qu'est-ce que l'authentification multi-facteurs (MFA) ?

L'authentification multifacteur (MFA) est un processus de sécurité où les utilisateurs doivent suivre diverses étapes d'authentification pour obtenir l'accès à un système ou à une application ou pour effectuer une transaction. 

Contrairement à d'autres pratiques de vérification d'identité, la MFA ajoute une deuxième couche de sécurité en exigeant une information supplémentaire. 

Cela, bien sûr, complique l'accès pour les fraudeurs, même s'ils connaissent le mot de passe.

Les entreprises SaaS devraient sérieusement envisager de mettre en œuvre le MFA lors du traitement d'informations sensibles, car cela renforce la sécurité et la confidentialité. 

Le MFA se concentre sur des catégories de données spécifiques lors de la vérification de l'identité :

• Facteurs de connaissance : Informations que l'utilisateur connaît, comme un mot de passe ou un code PIN.

• Facteurs de possession : Éléments que l'utilisateur possède, comme un smartphone, un jeton matériel ou une application d'authentification.

• Facteurs d'inhérence : Caractéristiques biométriques, notamment les empreintes digitales, la reconnaissance faciale ou les modèles vocaux.

• Facteurs de localisation ou contextuels : Signaux tels que la localisation géographique, l'adresse IP ou la réputation du réseau.

La combinaison de facteurs dans le processus de vérification renforcera la sécurité.

L'AMF présente les avantages suivants : 

• Protection renforcée du compte : Les mots de passe compromis seuls sont insuffisants pour l'accès.

• Risque de violation réduit : Microsoft rapporte que l'AMF peut bloquer plus de 99 % des attaques de compromission de comptes.

• Contrôle d'accès amélioré : La MFA assure une authentification cohérente et régie par des politiques pour l'ensemble des utilisateurs et des systèmes.

• Impact commercial réduit : Prévient les pertes financières, les temps d'arrêt et les atteintes à la réputation causés par les failles de sécurité.

• Dépendance réduite aux mots de passe : Limite l'exposition à la réutilisation des mots de passe et aux attaques par bourrage d'identifiants.
  

Bien que la MFA puisse introduire une légère friction et des coûts de mise en œuvre, ces compromis sont généralement compensés par les gains de sécurité pour la plupart des organisations.

Les mots de passe sont toujours la première étape d'authentification dans de nombreux flux de travail MFA. Des mots de passe faibles ou réutilisés augmentent le risque de piratage et d'attaques d'ingénierie sociale, surtout en cas de fatigue MFA, où les utilisateurs sont contraints d'approuver des demandes de connexion par des cybercriminels.

Un mot de passe fort et unique réduit le risque d'être compromis dès le départ et renforce l'efficacité de la MFA. 

En entreprise, l'AMF fonctionne ainsi :

1. L'utilisateur saisit son nom d'utilisateur et son mot de passe.
2. Le système prend en compte le contexte en ce qui concerne l'appareil, l'emplacement et le comportement.
3. L'utilisateur est invité à fournir un deuxième facteur d'authentification, tel qu'un code d'une application d'authentification, une analyse biométrique ou un jeton matériel. 
4. L'accès n'est accordé qu'après vérification réussie.

Les organisations SaaS doivent également envisager d'ajouter une méthode d'authentification supplémentaire à la liste au cas où l'appareil principal serait compromis ou autrement indisponible.

Les systèmes MFA utilisent souvent diverses méthodes pour identifier les appareils nouveaux ou inconnus, notamment :

• empreinte numérique de l'appareil
• analyse IP
• historique de localisation
• surveillance de l'activité. 

Ce sont précisément ces méthodes qui déclenchent une alerte lorsqu'un nouvel emplacement ou un appareil inhabituel est utilisé pour la tentative de connexion. De telles pratiques sont utiles pour les applications à distance et cloud où la diversité des appareils est élevée.

L'AMF adaptative dépend d'évaluations des risques pour établir des niveaux plus ou moins élevés de d'authentification niveaux. De nombreux signaux peuvent déclencher des niveaux de vérification plus élevés, tels que :

• emplacements inhabituels
• mouvements impossibles
• comportement ou réseaux inhabituels
• réseaux suspects. 

Les situations à faible risque peuvent être traitées avec un minimum de friction, tandis que les situations à haut risque exigent davantage de facteurs ou sont bloquées. Cette pratique assure une meilleure sécurité tout en éliminant les demandes d'AMF inutiles pour les utilisateurs normaux.

Oui. La robustesse de l'AMF dépend des critères utilisés. 

• Les codes par SMS offrent le niveau de protection le plus faible et sont vulnérables au SIM swapping.
• les applications et dispositifs matériels d'authentification jetons offrent des niveaux d'assurance plus élevés
• facteurs biométriques (employés par 3D secure) assurent le plus haut niveau de sécurité, à condition qu'elles soient correctement mises en œuvre. 

Les organisations SaaS devraient évaluer la robustesse de la MFA en fonction de la sensibilité des données ou du système protégé, en équilibrant les exigences de sécurité et l'expérience utilisateur.