Qu'est-ce que l'authentification à deux facteurs (2FA) ?

L'authentification à deux facteurs (2FA) exige que l'utilisateur prouve son identité à l'aide de deux facteurs différents avant que l'accès ne lui soit accordé : il s'agit généralement d'un mot de passe associé à un code à usage unique envoyé par e-mail, SMS ou via une application mobile. Elle ajoute ainsi un deuxième niveau de vérification indépendant, de sorte qu'un mot de passe divulgué ne suffise pas à lui seul à compromettre un compte.

Points clés à retenir

• L'authentification à deux facteurs (2FA) ajoute une deuxième preuve d'identité en plus du nom d'utilisateur et du mot de passe.
• Les codes sont envoyés par SMS, par e-mail, via une application d'authentification ou par notification push.
• Titan Portal et Director permettent aux administrateurs d'activer l'authentification à deux facteurs (2FA) pour chaque utilisateur ou organisation.
• Un mot de passe volé ne suffit pas à lui seul à permettre l'accès une fois que l'authentification à deux facteurs (2FA) est activée.
• La norme FIDO et les clés de sécurité matérielles offrent une authentification à deux facteurs (2FA) plus sûre que les codes envoyés par SMS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Authentification à deux facteurs (2FA) et Versa · FAQ

Pourquoi l'authentification à deux facteurs (2FA) est-elle importante ?

Un mot de passe est un secret unique et statique : dès qu’il est divulgué – par hameçonnage, suite à une faille de sécurité ou en raison d’une réutilisation sur plusieurs sites –, toute personne qui en dispose peut se connecter en se faisant passer pour le titulaire du compte. L’authentification à deux facteurs (2FA) comble cette faille en exigeant un deuxième facteur que l’attaquant a beaucoup moins de chances de posséder ; ainsi, un mot de passe volé ne suffit plus à lui seul.

C'est particulièrement important pour les connexions administratives et d'accès à distance, où une seule identifiant compromis peut exposer l'ensemble d'un réseau, et non plus une simple boîte mail. Les cadres de sécurité considèrent de plus en plus l'authentification multifactorielle comme une mesure de base, et non plus comme une option, pour tout ce qui concerne les systèmes sensibles. Pour les opérateurs réseau, l'activation de l'authentification à deux facteurs (2FA) sur les consoles de gestion et les clients VPN constitue l'une des mesures les plus efficaces et les moins coûteuses disponibles pour lutter contre les attaques par usurpation d'identifiants.

Qu'est-ce que l'authentification à deux facteurs (2FA) ?

Les facteurs d'authentification se répartissent en trois catégories : quelque chose que vous savez (un mot de passe), quelque chose que vous possédez (un téléphone, un jeton ou une clé matérielle) et quelque chose qui vous est propre (une empreinte digitale ou une reconnaissance faciale). L'authentification à deux facteurs (2FA) combine exactement deux de ces éléments, le plus souvent un mot de passe et un facteur lié à ce que vous possédez : un code à usage unique envoyé sur un téléphone ou à une adresse e-mail enregistrée, ou généré par une application d'authentification.

Lors de la connexion, l'utilisateur saisit son identifiant et son mot de passe comme d'habitude. Si ces deux éléments sont corrects et que l'authentification à deux facteurs (2FA) est requise, le système lui demande de fournir le deuxième facteur avant de lui accorder l'accès. L'utilisateur récupère le code – par SMS, e-mail ou via une application – et le saisit dans un délai de validité court. La session ne démarre qu'une fois les deux facteurs validés, et dès lors qu'un administrateur a activé cette exigence, l'utilisateur final ne peut généralement plus la désactiver.

Types d'authentification à deux facteurs (2FA)

Les codes par SMS et par e-mail constituent les méthodes de transmission les plus courantes : le système génère un court code numérique et l’envoie à un numéro de téléphone ou à une adresse e-mail enregistrés ; ce code reste valable pendant quelques minutes. Ces méthodes sont faciles à mettre en œuvre, mais dépendent de la sécurité du réseau téléphonique ou de la messagerie électronique. Les applications d’authentification génèrent localement, sur l’appareil, des mots de passe à usage unique basés sur le temps (TOTP), éliminant ainsi le risque d’interception des SMS. L’approbation par notification push envoie une demande de connexion à une application de confiance, et l’utilisateur n’a qu’à l’approuver ou la refuser. Les normes FIDO et les clés de sécurité matérielles constituent le niveau de sécurité le plus élevé : une clé physique prouve la possession de manière cryptographique et résiste au phishing d’une manière que les codes à usage unique ne peuvent égaler, mais elles nécessitent un fournisseur d’identité compatible.

Authentification à deux facteurs (2FA) & Versa

Versa prend en charge l'authentification à deux facteurs (2FA) sur l'ensemble de ses interfaces de gestion. Dans Versa, les administrateurs peuvent activer l'authentification à deux facteurs en association avec des serveurs d'authentification externes (Active Directory, LDAP, RADIUS ou TACACS+) ; le code est alors envoyé par e-mail ou par SMS. La configuration permet d'ajouter des utilisateurs à un groupe (Versa-2FA-Enabled (sur Active Directory ou LDAP) afin que le connecteur sache quels comptes nécessitent l'authentification à deux facteurs ; un administrateur l'active pour chaque utilisateur, et celui-ci ne peut alors plus la désactiver. Des méthodes d'authentification plus sécurisées, telles que FIDO, associent quant à elles l'authentification unique (SSO) à un fournisseur d'identité compatible.

Dans le portailTitan , l'authentification à deux facteurs (2FA) est une option activable ou désactivable au cas par cas pour chaque utilisateur lors de la création ou de la modification d'un compte (administrateur d'entreprise, utilisateur d'entreprise, administrateur de boutique, MSP ou revendeur) ; elle est incompatible avec l'authentification SSO externe sur le même compte. Les profils client Secure Access (VSA) d'Versa proposent également une option d'authentification à deux facteurs pour les utilisateurs VSA locaux, mais celle-ci ne s'applique pas aux utilisateurs authentifiés via Active Directory.

Questions fréquentes

Quelle est la différence entre l'authentification à deux facteurs (2FA) et l'authentification multifactorielle (MFA) ?

L'authentification à deux facteurs (2FA) est un cas particulier de l'authentification multifactorielle (MFA) qui utilise exactement deux facteurs. La MFA est une catégorie plus large qui peut nécessiter deux, trois facteurs ou plus – un mot de passe, une clé matérielle et un contrôle biométrique, par exemple – selon le niveau de rigueur de la politique mise en place.

Un utilisateur peut-il désactiver l'authentification à deux facteurs (2FA) une fois que l'administrateur l'a activée ?

Non, ni dans « Versa Director », ni dans « Titan Portal ». Une fois qu’un administrateur a activé l’authentification à deux facteurs pour un compte, l’utilisateur final ne peut plus la désactiver : seul un administrateur ou un autre utilisateur autorisé peut la désactiver, ce qui empêche qu’une seule connexion compromise ne désactive discrètement la protection.

L'authentification à deux facteurs (2FA) par SMS est-elle sécurisée ?

C'est plus sûr qu'un mot de passe seul, mais moins sûr qu'une application d'authentification ou une clé matérielle, car les SMS peuvent être interceptés par le biais d'une substitution de carte SIM ou d'attaques réseau. Les recommandations en matière de sécurité privilégient de plus en plus les codes générés par une application ou les clés FIDO pour les comptes nécessitant une protection renforcée.

L'authentification à deux facteurs (2FA) et l'authentification unique (SSO) peuvent-elles être utilisées conjointement ?

Cela dépend de la plateforme. Dans le portail Versa Titan , l'authentification à deux facteurs (2FA) intégrée et l'authentification SSO externe s'excluent mutuellement pour chaque compte. Dans Versa Director, les méthodes d'authentification multifactorielle plus sécurisées, telles que FIDO, sont gérées via le SSO avec un fournisseur d'identité compatible, plutôt que par le processus 2FA intégré.

L'authentification à deux facteurs nécessite-t-elle un téléphone ?

Pas toujours. Le téléphone est le moyen le plus courant pour recevoir des codes par SMS, valider des notifications push ou utiliser une application d'authentification, mais l'authentification à deux facteurs (2FA) peut également s'appuyer sur l'envoi d'e-mails ou sur une clé de sécurité matérielle physique ; ainsi, même sans appareil mobile à portée de main, il est possible d'activer un deuxième facteur d'authentification efficace.

En savoir plus sur l'authentification à deux facteurs (2FA)

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur l'authentification à deux facteurs (2FA), voici quelques liens qui pourraient vous intéresser.