Quelle authentification multifacteur arrête vraiment les attaquants

Activer l’authentification multifacteur est l’amélioration de sécurité la plus efficace que la plupart des entreprises puissent faire. Elle arrête la grande majorité des attaques qui reposent sur un mot de passe volé ou deviné.

Mais elle n’est pas une seule chose. Le type choisi détermine quelles attaques elle arrête réellement.

De la plus faible à la plus forte

Les codes par texto (SMS). Bien mieux que rien, mais vulnérables de deux façons. La fraude à l’échange de carte SIM — convaincre un opérateur de transférer votre numéro vers la carte SIM d’un attaquant — lui livre vos codes. Et une fausse page de connexion convaincante peut simplement vous demander de taper le code, puis l’utiliser aussitôt.

Les codes par courriel. Seulement aussi forts que le compte courriel lui-même, qui est souvent le compte même qu’on protège.

Les notifications d’approbation. Pratiques, mais vulnérables à la fatigue d’authentification : un attaquant qui a votre mot de passe déclenche des demandes à répétition jusqu’à ce que quelqu’un approuve pour les faire cesser. Cette technique a figuré dans plusieurs fuites très médiatisées. La correspondance de nombres — saisir dans l’application un nombre affiché à l’écran de connexion — la neutralise en grande partie.

Les applications d’authentification (codes temporels). Non liées à votre numéro, donc insensibles à l’échange de carte SIM. Encore hameçonnables : une fausse page peut demander le code à six chiffres et le relayer en temps réel.

Les clés d’accès et clés de sécurité FIDO2. Résistantes à l’hameçonnage. L’identifiant est lié cryptographiquement au vrai site, donc une fausse page ne reçoit rien d’utilisable. C’est ce que recommandent des organismes de sécurité, dont la Cybersecurity and Infrastructure Security Agency des États-Unis, pour les comptes à haute valeur.

Un plan pratique

Pas besoin de passer partout à l’option la plus forte dès le départ :

1. Activer l’authentification multifacteur sur tous les comptes qui la permettent. N’importe laquelle vaut mieux qu’aucune.
2. Prioriser le courriel et les comptes administrateurs. Le courriel sert à récupérer presque tout le reste, et un compte administrateur peut annuler tous les autres contrôles.
3. Activer la correspondance de nombres si vous utilisez des approbations par notification.
4. Délaisser le texto lorsqu’une application ou une clé d’accès est disponible.
5. Utiliser des clés d’accès ou de sécurité pour les administrateurs, les finances et quiconque peut approuver un paiement.

Ne pas oublier les angles morts

L’authentification multifacteur ne protège que les comptes où elle est activée. Les angles morts courants : les anciens protocoles qui la contournent entièrement, les comptes de service exemptés « temporairement », et les boîtes partagées que personne ne considère comme une connexion.

C’est aussi le contrôle qui arrête la plupart des fraudes par courriel d’affaires sur lesquelles nous enquêtons. Les déploiements et audits font partie de notre pratique en cybersécurité.