Le nombre de types d’authentification varie selon le niveau de classification retenu. Trois facteurs canoniques, une dizaine de mécanismes techniques courants, des dizaines de protocoles : la réponse dépend de la grille de lecture. Nous proposons ici un découpage opérationnel, orienté vers les choix d’architecture que les équipes sécurité doivent réellement arbitrer.
Passkeys et clés matérielles : deux niveaux d’assurance distincts
Les passkeys représentent aujourd’hui la catégorie d’authentification la plus résistante à l’hameçonnage. Elles reposent sur une paire de clés asymétriques liée à l’origine du service, ce qui neutralise les attaques par proxy ou par site miroir.
A voir aussi : Comment retrouver son mot de passe d'ordinateur ?
La distinction qui compte en pratique se situe entre passkeys synchronisées et clés matérielles à secret non exportable. Les passkeys synchronisées, copiées entre appareils via un gestionnaire de clés (iCloud Keychain, Google Password Manager), sont admises au niveau AAL2 selon les recommandations NIST SP 800-63B-4. Le niveau AAL3, lui, exige une clé privée non exportable, ce qui impose un authentificateur matériel de type FIDO2 (YubiKey, Titan).
Cette nuance oriente directement le choix d’implémentation. Pour un service grand public, les passkeys synchronisées offrent un compromis solide entre sécurité et adoption. Pour des accès à des systèmes critiques (administration d’infrastructure, accès root), nous recommandons de maintenir l’exigence d’un authentificateur matériel.
A lire en complément : Est-il sûr d’utiliser Timetree ?
SMS et appel vocal : le statut de mécanisme restreint selon le NIST
Le SMS reste massivement déployé comme second facteur. Les recommandations NIST SP 800-63B-4 ne l’interdisent pas, mais le classent explicitement comme mécanisme restreint pour l’authentification hors bande. Concrètement, cela signifie que toute implémentation utilisant le SMS doit proposer une alternative, et intégrer des signaux de risque : changement récent de carte SIM, portabilité du numéro, comportement inhabituel sur la ligne.
L’appel vocal tombe sous la même restriction. En pratique, nous observons que beaucoup d’organisations continuent à traiter le SMS comme un facteur standard, sans évaluation contextuelle. C’est une erreur d’architecture.
Le risque n’est pas théorique. Le SIM swapping exploite directement la faiblesse du canal téléphonique. Un facteur de possession qui peut être transféré à un tiers par ingénierie sociale perd l’essentiel de sa valeur.
Facteurs d’authentification : au-delà des trois familles classiques
La classification historique repose sur trois familles :
- Connaissance (ce que l’utilisateur sait) : mot de passe, code PIN, réponse secrète. Ce facteur reste le plus vulnérable aux attaques par force brute, dictionnaire ou hameçonnage.
- Possession (ce que l’utilisateur détient) : téléphone, clé matérielle, carte à puce, certificat client. La robustesse dépend du caractère exportable ou non du secret.
- Inhérence (ce que l’utilisateur est) : empreinte digitale, reconnaissance faciale, reconnaissance vocale, réseau veineux. La biométrie lie l’authentification à un attribut physique non transférable.
Deux familles supplémentaires apparaissent dans certains référentiels : le facteur de localisation (géolocalisation IP, réseau Wi-Fi connu) et le facteur comportemental (dynamique de frappe, pattern de navigation). Ces facteurs servent rarement seuls. Ils interviennent comme signaux contextuels dans une authentification adaptative, pour moduler le niveau de friction en fonction du risque évalué en temps réel.
Le total de facteurs dépend donc de la granularité choisie. Trois familles si l’on reste sur le modèle NIST classique. Cinq si l’on inclut localisation et comportement. Bien davantage si l’on descend au niveau des mécanismes techniques : WebAuthn, Kerberos, OAuth, SAML, TOTP, push notification, certificat X.509.
Portefeuille européen d’identité numérique : une nouvelle catégorie d’authentification
L’entrée en vigueur du cadre réglementaire eIDAS 2.0 introduit les portefeuilles européens d’identité numérique (EUDI Wallet). Ce n’est pas un simple ajout technique, c’est une catégorie d’authentification fondée sur des justificatifs vérifiables.
Le principe repose sur la divulgation sélective d’attributs. L’utilisateur peut prouver un élément d’identité (majorité, nationalité, qualification professionnelle) sans révéler l’intégralité de ses données personnelles. Le vérificateur reçoit une attestation signée cryptographiquement, sans accéder au document source.
Pour les organisations qui opèrent des services soumis à vérification d’identité (banque, santé, administration), cette évolution modifie la chaîne d’authentification. Le portefeuille devient à la fois un facteur de possession (l’application sur l’appareil) et un vecteur d’identité vérifiable, ce qui brouille la frontière entre identification et authentification.
MFA adaptative : combiner les facteurs selon le contexte de risque
L’authentification multifacteur ne se résume plus à empiler deux facteurs statiques. Les architectures actuelles intègrent une couche d’évaluation de risque qui ajuste dynamiquement les exigences.
Un accès depuis un appareil connu, sur un réseau habituel, à une heure cohérente avec l’historique de l’utilisateur peut ne déclencher qu’un seul facteur. Le même accès depuis une géolocalisation inhabituelle ou un nouvel appareil déclenchera un facteur supplémentaire, voire un blocage temporaire avec vérification manuelle.
Les signaux exploités dans cette évaluation incluent :
- Empreinte de l’appareil (device fingerprint) et état de sécurité du poste (présence d’un agent EDR, version de l’OS)
- Contexte réseau : adresse IP, ASN, réputation, utilisation d’un VPN ou proxy anonymisant
- Historique comportemental : fréquence de connexion, horaires habituels, actions typiques post-authentification
- Signaux téléphoniques pour le canal SMS : portabilité récente du numéro, changement de SIM
L’authentification adaptative réduit la friction sans sacrifier la sécurité, à condition que les seuils de déclenchement soient calibrés sur des données réelles et non sur des règles arbitraires.
Le décompte final des types d’authentification reste une question de périmètre. Trois facteurs fondamentaux, cinq avec les signaux contextuels, une dizaine de mécanismes techniques déployés à grande échelle, et désormais une catégorie réglementaire européenne en cours d’adoption. Le choix pertinent n’est pas de tous les connaître, mais de savoir lesquels combiner pour chaque niveau de risque dans votre architecture.
