Authentification Multi-Facteurs (MFA)

L’authentification multi-facteurs (MFA) est l’une des mesures de sécurité les plus efficaces disponibles. Selon Microsoft, la MFA bloque 99,9 % des attaques de compromission de comptes. Pourtant, son déploiement en entreprise présente des défis significatifs d’expérience utilisateur, de support et de gestion des exceptions.

Méthodes MFA

Architecture de Déploiement MFA

MFA au niveau du fournisseur d’identité (IdP)

L’approche la plus courante et la plus évolutive. La MFA est déclenchée par l’IdP avant d’émettre des jetons :

Utilisateur → IdP → Nom d'utilisateur/mot de passe → MFA Challenge → Jeton émis
                              │
                    ┌─────────┴─────────┐
                    │                   │
              Notification Push    TOTP / WebAuthn
                    │                   │
                    v                   v
              ✅ Approuvé          ❌ Refusé

Avantages : Appliqué une fois pour toutes les applications utilisant l’IdP, gestion centralisée des politiques. Inconvénients : Nécessite la fédération des applications via l’IdP.

MFA au niveau de l’application

MFA gérée individuellement par chaque application :

Avantages : Indépendant du fournisseur d’identité. Inconvénients : Expérience utilisateur incohérente, coût de mise en œuvre élevé pour chaque application, gestion complexe des politiques.

Risk-Based Authentication (RBA)

La RBA adapte les exigences MFA en fonction du niveau de risque évalué de chaque tentative d’authentification :

Facteurs de notation des risques

Attaques de Contournement MFA

Stratégies de Déploiement MFA

Approche par phases

Phase 1 : Applications critiques (Email, VPN, Cloud)
    └── MFA obligatoire, exceptions limitées
    └── Durée : 4-6 semaines

Phase 2 : Administrateurs et accès privilégiés
    └── MFA obligatoire pour tout accès admin
    └── Durée : 2-4 semaines

Phase 3 : Accès externe (partenaires, fournisseurs)
    └── MFA obligatoire pour tout accès externe
    └── Durée : 4-6 semaines

Phase 4 : Applications internes (reste de l'organisation)
    └── MFA progressive avec RBA
    └── Durée : 8-16 semaines

Phase 5 : Tous les accès (MFA complète)
    └── MFA pour 100% des accès, FIDO2 pour les utilisateurs privilégiés
    └── Durée : Continu (amélioration continue)

Gestion des exceptions MFA

Points Clés à Retenir

• La MFA bloque 99,9 % des attaques de compromission de comptes selon Microsoft — c’est l’unique mesure de sécurité la plus efficace pour protéger les comptes utilisateurs
• Les méthodes MFA se comparent sur quatre dimensions : sécurité, expérience utilisateur, coût et facilité de déploiement — les notifications push offrent le meilleur équilibre pour la plupart des déploiements d’entreprise
• Le déploiement de la MFA doit être progressif par phase : applications critiques → administrateurs → accès externes → applications internes → couverture complète
• La Risk-Based Authentication (RBA) adapte les exigences MFA en fonction du niveau de risque — les utilisateurs de confiance ne sont pas interrogés, les connexions à risque élevé nécessitent une vérification supplémentaire
• Les attaques de fatigue MFA (MFA bombing) et les proxies AiTM sont les menaces les plus récentes et les plus efficaces contre la MFA — FIDO2/WebAuthn est la seule méthode résistante au hameçonnage car les identifiants sont liés au domaine
• Les exceptions MFA doivent être gérées avec des atténuations spécifiques : jetons matériels pour les utilisateurs sans smartphone, proxy d’authentification pour les applications legacy, codes de contournement d’urgence scellés pour les indisponibilités
• Ne JAMAIS utiliser le SMS comme méthode MFA principale — il est vulnérable à l’échange de SIM et aux interceptions SS7. Réservez le SMS uniquement pour les scénarios de dépannage ou de récupération