Qu'est-ce que le MFA ?

L'authentification multifactorielle (MFA) est une méthode d'authentification qui exige de l'utilisateur qu'il présente au moins deux facteurs d'identification indépendants – quelque chose qu'il connaît, comme un mot de passe ; quelque chose qu'il possède, comme un code à usage unique ou un certificat de périphérique ; ou quelque chose qui lui est propre, comme une caractéristique biométrique – avant que l'accès ne lui soit accordé.

Points clés à retenir

• L'authentification multifactorielle (MFA) nécessite au moins deux justificatifs d'identité indépendants, et pas seulement un mot de passe.
• Facteurs courants : mots de passe, codes à usage unique, certificats de périphériques, données biométriques.
• Un mot de passe volé ne suffit pas à lui seul à autoriser l'accès dans le cadre de l'authentification multifactorielle (MFA).
• Versa prend en charge l'authentification multifactorielle (MFA) via TOTP, les codes OTP envoyés par e-mail et les profils de certificats de périphériques.
• Les choix de conception relatifs à « Trusted-IP » et à la « sortie locale » ont une incidence sur la fréquence à laquelle les invites d'authentification multifactorielle (MFA) s'affichent.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · MFA et Versa · FAQ

Pourquoi le MFA est-il important ?

Les mots de passe constituent à eux seuls une barrière fragile : ils peuvent faire l'objet d'hameçonnage, être réutilisés, devinés ou divulgués lors de fuites de données, et dès qu'un pirate en détient un, un système reposant uniquement sur un mot de passe n'a plus aucun moyen de vérification. L'authentification multifactorielle (MFA) comble cette lacune en exigeant une deuxième preuve indépendante qu'un pirate possède rarement, même après avoir volé des identifiants : un code provenant d'un appareil détenu par le véritable utilisateur, ou un certificat lié à un appareil connu.

Cela revêt d’autant plus d’importance que le travail s’effectue de plus en plus en dehors du réseau d’entreprise. Les utilisateurs à distance, les succursales et les applications cloud s’authentifient tous via l’Internet public, où les attaques par « credential stuffing » et le phishing sont monnaie courante. L’authentification multifactorielle (MFA) est l’un des dispositifs de contrôle offrant le meilleur retour sur investissement : les analystes attribuent la plupart des attaques réussies de prise de contrôle de compte à l’absence d’un deuxième facteur d’authentification. Elle est également fondamentale pour le modèle « Zero Trust », qui part du principe qu’aucune connexion n’est fiable par défaut et vérifie l’identité en continu avant d’accorder l’accès.

Qu'est-ce que le MFA ?

L'authentification multifactorielle (MFA) combine des facteurs issus d'au moins deux des trois catégories suivantes. Les facteurs de connaissance correspondent à ce que l'utilisateur sait, comme un mot de passe ou un code PIN. Les facteurs de possession correspondent à ce que l'utilisateur possède, comme un téléphone générant un mot de passe à usage unique, un code reçu par SMS ou par e-mail, ou encore un certificat stocké sur un appareil enregistré. Les facteurs inhérents correspondent à ce que l'utilisateur est, comme une empreinte digitale ou une reconnaissance faciale.

Un processus type commence par une identification principale – un nom d’utilisateur et un mot de passe, ou une connexion via un annuaire – puis demande à l’utilisateur de fournir un deuxième facteur d’authentification avant d’autoriser la session. Le facteur demandé peut dépendre du contexte : un appareil connu peut être soumis à cette vérification moins souvent qu’un appareil inconnu, un principe appelé « authentification adaptative ». Dans tous les cas, aucune information d’identification volée ne suffit à elle seule.

Types de MFA

Les implémentations varient selon le deuxième facteur utilisé et la manière dont celui-ci parvient à l’utilisateur. Les codes OTP par SMS ou e-mail envoient un code court vers un téléphone ou une boîte de réception enregistrés : cette méthode est facile à déployer, mais dépend de la sécurité du canal utilisé. Le TOTP génère un code localement dans une application d’authentification à partir d’un secret partagé et de l’heure actuelle, évitant ainsi totalement le passage par le réseau. Les notifications push envoient une invite d’approbation ou de refus à une application mobile au lieu d’un code saisi manuellement. Les clés de sécurité matérielles ou FIDO utilisent la cryptographie à clé publique liée à un appareil, ce qui offre une bien meilleure protection contre le phishing qu’un code saisi manuellement. L’authentification par certificat de l’appareil vérifie un certificat sur une machine connue, généralement en complément d’un identifiant. La biométrie – empreinte digitale ou reconnaissance faciale – correspond généralement à un déverrouillage local s’ajoutant à l’une des méthodes ci-dessus.

Maîtrise en beaux-arts et Versa

Versa applique l'authentification à deux facteurs (MFA) à l'ensemble de ses interfaces de gestion et d'accès. Sur Versa Director, les administrateurs peuvent activer l'authentification à deux facteurs pour chaque utilisateur : la connexion est suivie d'un code envoyé par e-mail ou SMS. Director ne prend pas en charge nativement la norme FIDO ; par conséquent, les organisations ayant besoin d'une authentification résistante au phishing l'associent à une authentification unique (SSO) vers un fournisseur d'identité compatible FIDO, transmettant ainsi cette garantie à Director, Concerto et au client « SASE ».

Pour les utilisateurs distants, l’authentification multifactorielle (MFA) est intégrée au processus d’enregistrement du client «SASE »: le client peut exiger un mot de passe à usage unique basé sur le temps (TOTP) ou un code envoyé par e-mail avant la fin de l’enregistrement. Cette fonctionnalité se configure via le bouton de basculement MFA de la règle d’accès sécurisé côté client, le TOTP étant fourni sous la forme d’un code QR scannable.

L'authentification à plusieurs facteurs (MFA) influe également sur la conception du réseau. Le guide d'intégration d'Azure Active Directory et de la MFA explique comment une connexion Internet locale peut multiplier le nombre d'adresses IP de confiance qu'un fournisseur d'identité doit suivre ; le fait d'acheminer le trafic d'authentification de manière centralisée tout en acheminant localement le reste du trafic SaaS permet de gérer les exceptions MFA sans perdre ce gain de performances.

Questions fréquentes

La MFA correspond-elle à l'authentification à deux facteurs (2FA) ?

L'authentification à deux facteurs (2FA) est un cas particulier de l'authentification multifactorielle (MFA) qui utilise exactement deux facteurs. La MFA est un terme plus général et peut en impliquer davantage — par exemple, un mot de passe, un code TOTP et un certificat de périphérique combinés. Toute configuration 2FA relève de la MFA ; en revanche, toutes les configurations MFA ne se limitent pas à deux facteurs.

Quelles sont les trois principales catégories de facteurs d'authentification ?

La connaissance (ce que vous savez, comme un mot de passe), la possession (ce que vous avez, comme un téléphone générant un code ou un certificat sur un appareil enregistré) et l'inherent (ce que vous êtes, comme une empreinte digitale ou une reconnaissance faciale). L'authentification multifactorielle (MFA) combine des facteurs issus d'au moins deux de ces catégories.

Versa Director prend-il en charge nativement l'authentification multifactorielle (MFA) basée sur FIDO ?

N° Versa L’authentification à deux facteurs intégrée à Director fournit un code par e-mail ou par SMS. Pour FIDO ou d’autres méthodes avancées, Director doit être associé à une authentification unique (SSO) vers un fournisseur d’identité prenant en charge FIDO, qui transmet ensuite cette authentification renforcée à Director, Concerto et au client d’ SASE .

Comment le client Versa SASE utilise-t-il l'authentification à plusieurs facteurs (MFA) ?

Lors de l'inscription, le client « SASE » peut exiger un deuxième facteur d'authentification – un mot de passe à usage unique valable pendant un certain temps, généré par une application d'authentification, ou un code envoyé par e-mail à l'utilisateur – avant que l'inscription ne soit finalisée. La politique « de la passerelle vers le client » peut également imposer l'authentification multifactorielle (MFA) comme condition préalable à l'établissement de la connexion.

Une entreprise peut-elle réduire le nombre de demandes d'authentification multifactorielle (MFA) sans compromettre la sécurité ?

Oui, grâce aux exceptions « trusted-IP » : les fournisseurs d'identité peuvent contourner l'authentification multifactorielle (MFA) pour le trafic provenant d'adresses connues et de confiance, telles que celles d'un centre de données. Versa Secure SD-WAN prend en charge cette fonctionnalité en acheminant le trafic d'authentification de manière centralisée tout en acheminant localement le reste du trafic SaaS, ce qui permet de limiter la taille de la liste des adresses IP de confiance.

En savoir plus sur le MFA

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au MFA, voici quelques liens qui pourraient vous intéresser.