Fiche relue le .
Définition
L'authentification multifacteur (MFA) exige au moins deux facteurs de nature différente pour valider une identité : un élément de connaissance (mot de passe), de possession (téléphone, clé physique) ou d'inhérence (biométrie). Les mécanismes vont du code temporaire (TOTP) et de la notification push jusqu'aux standards résistants au phishing, FIDO2 / WebAuthn et passkeys.
Pourquoi c'est important
La MFA neutralise la plupart des attaques par vol ou rejeu d'identifiants (credential stuffing, réutilisation de mots de passe fuités). Les assureurs cyber la réclament, et la directive NIS2 cite l'authentification multifacteur parmi les mesures attendues (article 21). Toutes les MFA ne se valent pas : la fatigue MFA (push bombing) pousse l'utilisateur à valider une demande frauduleuse, et les kits d'attaque de type adversary-in-the-middle (AiTM) interceptent les codes à usage unique au moment où ils sont saisis. D'où la bascule recommandée vers une MFA résistante au phishing, fondée sur des clés cryptographiques liées au domaine légitime.
Ce que fait AOCSI
Lors d'un audit Active Directory ou d'un audit de sécurité cloud, nous mesurons la couverture réelle de la MFA, repérons les comptes exemptés et les protocoles hérités qui la contournent, puis recommandons les facteurs adaptés à chaque population d'utilisateurs.
Pôle de rattachementAudit de cybersécuritéPrestations et prix