Objectifs pédagogiques
- Identifier les trois familles de facteurs d'authentification
- Hiérarchiser la robustesse des méthodes MFA disponibles
- Réagir correctement à une sollicitation MFA non initiée
Trois familles de facteurs
Ce que je sais (mot de passe), ce que je possède (clé physique, application d'authentification), ce que je suis (biométrie). Le MFA combine au moins deux familles distinctes.
Toutes les méthodes ne se valent pas
Le SMS est vulnérable au détournement de carte SIM. Le code temporaire (TOTP) est solide mais reste hameçonnable. Les clés FIDO2 / passkeys résistent au hameçonnage car elles vérifient le domaine.
La fatigue MFA
L'attaquant qui détient votre mot de passe envoie des dizaines de notifications d'approbation jusqu'à obtenir un clic de lassitude. Une notification non initiée doit toujours être refusée puis signalée.
Cas concrets
- — Un attaquant relaie en temps réel un code TOTP saisi sur un faux portail : le MFA est contourné sans jamais être « cassé ».
- — Une vague de notifications d'approbation à 3 h du matin aboutit à une validation par un salarié épuisé.
À retenir
- · Le MFA doit couvrir la messagerie, l'accès distant et les comptes d'administration
- · Préférer clés FIDO2 ou passkeys pour les fonctions sensibles
- · Toute demande MFA non initiée est un incident à signaler immédiatement
Évaluation
0 questions à choix multiple, vrai/faux et mises en situation. Les questions et les réponses sont présentées dans un ordre aléatoire à chaque tentative. Le retour est immédiat après chaque réponse, corrigé sur nos serveurs.