MFA et passkeys : déployer une auth résistante à l'hameçonnage

Les identifiants volés et hameçonnés restent le moyen le plus courant par lequel les attaquants obtiennent leur premier pied à l'étrier, ce qui explique pourquoi l'authentification multifacteur est devenue un prérequis de base. Pourtant, toutes les MFA ne se valent pas : les codes à usage unique et les notifications push que la plupart des organisations ont déployés il y a une décennie sont de plus en plus déjoués par les proxys d'hameçonnage, le bombardement de notifications et l'échange de carte SIM. La frontière défensive actuelle est l'authentification résistante à l'hameçonnage fondée sur la cryptographie à clé publique, livrée aux utilisateurs sous forme de passkeys. Cet article adopte une vision de durcissement, de blue team, sur le déploiement de la MFA et des passkeys : en quoi les mécanismes sous-jacents diffèrent, pourquoi certains facteurs résistent à l'hameçonnage et d'autres non, quoi surveiller pendant et après le déploiement, et comment migrer une vraie base d'utilisateurs sans verrouiller les gens ni laisser des solutions de repli faibles qui annulent silencieusement tout l'effort.

Ce que la MFA vous apporte réellement#

L'authentification multifacteur exige plus d'une catégorie de preuve : quelque chose que l'on sait, quelque chose que l'on a, ou quelque chose que l'on est. Sa valeur est qu'un seul secret volé, généralement un mot de passe, n'accorde plus l'accès à lui seul. En pratique, la MFA réduit drastiquement le succès des campagnes massives de bourrage d'identifiants et de pulvérisation de mots de passe, car l'attaquant qui rejoue un mot de passe fuité est arrêté au second facteur. Mais la MFA est un spectre, pas une case à cocher. Un facteur n'aide que contre les menaces pour lesquelles il a été conçu, et la faiblesse classique des premières MFA est que beaucoup de seconds facteurs peuvent eux-mêmes être capturés ou relayés par un attaquant placé entre l'utilisateur et le vrai site. Comprendre ce spectre est la différence entre une MFA qui incommode les criminels et une MFA qui les arrête.

Pourquoi la résistance à l'hameçonnage est le vrai objectif#

L'hameçonnage moderne d'identifiants demande rarement à la victime un mot de passe sur une fausse page grossière ; il exécute un proxy inverse en temps réel placé entre l'utilisateur et le service légitime, relayant chaque champ y compris le code à usage unique et capturant le jeton de session obtenu. Contre cette technique d'adversaire au milieu, les facteurs à secret partagé comme les codes SMS, les codes d'applications d'authentification et même les simples approbations push offrent une protection limitée, car tout ce que l'utilisateur tape ou touche peut être relayé. L'authentification résistante à l'hameçonnage brise cela en liant cryptographiquement la connexion à l'origine exacte du site, de sorte qu'un identifiant présenté à un domaine imitateur ne fonctionne tout simplement pas. Ce lien d'origine, et non la simple présence d'un second facteur, est ce qui déjoue la technique d'hameçonnage dominante utilisée aujourd'hui.

Comment fonctionnent les passkeys et FIDO2#

Les passkeys sont une forme conviviale des standards FIDO2 et WebAuthn. Lors de l'enregistrement, l'appareil de l'utilisateur génère une paire de clés publique-privée pour ce site précis ; la clé privée ne quitte jamais l'authentificateur, que ce soit une clé de sécurité, un téléphone ou le matériel sécurisé d'un ordinateur portable, et seule la clé publique est stockée par le service. À la connexion, le site envoie un défi, l'authentificateur le signe avec la clé privée après un geste local de l'utilisateur comme une biométrie ou un code PIN, et le navigateur garantit que la signature est liée à l'origine réelle. Comme il n'y a pas de secret partagé à hameçonner, pas de code à relayer, et que la signature ne vaut rien sur tout autre domaine, les passkeys sont intrinsèquement résistantes à l'hameçonnage. Les passkeys synchronisées sauvegardent la clé entre les appareils d'un utilisateur par commodité, tandis que les clés liées à l'appareil la conservent sur un seul jeton matériel pour la plus haute assurance.

La surface d'attaque qui subsiste#

Adopter des facteurs forts ferme la porte d'entrée mais pas toutes les fenêtres, alors cartographiez ce qui subsiste. La faiblesse la plus courante après un déploiement de passkeys est le chemin de repli : si un utilisateur peut encore s'authentifier avec un mot de passe plus un code SMS quand la passkey est indisponible, un attaquant force simplement cette route plus faible. La récupération de compte devient la nouvelle cible molle, car un service d'assistance qui réinitialise des facteurs lors d'un appel téléphonique réintroduit l'ingénierie sociale. Les jetons de session émis après une connexion forte peuvent encore être volés par des logiciels malveillants ou du vol de jetons, donc la durée de vie et le lien du jeton comptent. Et l'enregistrement lui-même est un moment sensible : un attaquant qui enregistre son propre authentificateur pendant l'intégration obtient un accès légitime. Le durcissement signifie traiter la récupération, le repli et l'enregistrement comme des parties de premier ordre du système d'authentification, pas comme des ajouts.

Signaux de détection à surveiller#

L'authentification est riche en télémétrie si vous la collectez. Surveillez les demandes de MFA répétées à un seul utilisateur sur une courte fenêtre, la signature du bombardement de notifications, et alertez quand un utilisateur finit par approuver après de nombreux refus. Surveillez les événements d'enregistrement de facteurs, surtout un nouvel authentificateur ajouté peu avant une activité sensible, et signalez les enregistrements depuis des appareils ou des lieux inconnus. Suivez l'usage du repli : une hausse soudaine des connexions mot de passe plus SMS chez des utilisateurs qui utilisent normalement des passkeys suggère soit une panne, soit une attaque orientant les victimes vers le chemin faible. Surveillez les connexions de voyage impossible et de nouvel appareil, les jetons de session utilisés depuis une adresse différente de leur émission, et les réinitialisations initiées par le service d'assistance corrélées à des accès suspects ultérieurs. Alimentez tout cela dans un SIEM avec des alertes, car la valeur d'une authentification forte se multiplie quand vous pouvez voir les tentatives de la contourner.

Le déployer sans bloquer les utilisateurs#

Un déploiement réussi est progressif et mesuré. Commencez par activer les passkeys aux côtés des facteurs existants afin que les utilisateurs s'enregistrent volontairement, en priorisant d'abord les administrateurs et les autres comptes à forte valeur. Communiquez clairement, offrez un parcours d'enregistrement simple et exigez au moins deux authentificateurs par utilisateur afin que perdre un appareil soit gênant plutôt que catastrophique. À mesure que l'adoption croît, restreignez ou retirez progressivement les facteurs faibles, en commençant par désactiver le SMS pour les rôles privilégiés. Point crucial, reconcevez la récupération de compte pour qu'elle soit aussi forte que le chemin principal, en utilisant des clés de sécurité de secours préenregistrées ou un processus de récupération vérifié et à haute assurance plutôt qu'un appel au service d'assistance. Mesurez la couverture d'enregistrement et l'usage du repli en continu, et ne retirez les anciens facteurs qu'une fois les forts éprouvés et la récupération solide.

Pièges courants#

L'erreur classique est de déployer une authentification forte tout en laissant un repli faible activé en permanence, ce qui signifie que l'environnement n'est jamais plus sûr que son option la plus molle. Une autre est de négliger la récupération, si bien qu'une connexion durcie se trouve derrière un service d'assistance qui réinitialisera n'importe quoi pour un appelant à la voix convaincante. Les équipes enregistrent parfois une seule passkey par utilisateur et font ensuite face à des verrouillages massifs quand les appareils sont perdus ou remplacés. Se fier aux approbations push sans correspondance de numéros invite à la fatigue du bombardement de notifications. Et traiter l'enregistrement comme peu risqué laisse les attaquants s'auto-enregistrer pendant l'intégration. Chaque piège partage un thème : la force de l'authentification est fixée par son chemin atteignable le plus faible, donc toute route alternative doit être durcie au même niveau que la principale.

Liste de contrôle de durcissement#

Priorisez d'abord les passkeys résistantes à l'hameçonnage ou les clés de sécurité pour les administrateurs et les autres comptes à forte valeur. Exigez au moins deux authentificateurs par utilisateur pour éviter le verrouillage par appareil unique. Imposez la correspondance de numéros et le contexte sur tout facteur push encore utilisé, et retirez le SMS pour les rôles privilégiés. Reconcevez la récupération de compte pour égaler la force de la connexion principale, avec des clés de secours préenregistrées ou une vérification à haute assurance plutôt que des réinitialisations par le service d'assistance. Protégez l'enregistrement par une identité vérifiée et une surveillance. Raccourcissez la durée de vie des sessions et liez les jetons là où c'est possible. Journalisez et alertez sur le bombardement de notifications, l'enregistrement de nouvel authentificateur, les pics d'usage du repli, le voyage impossible et les réinitialisations du service d'assistance. Mesurez la couverture des passkeys et faites tendre l'usage des facteurs faibles vers zéro. Enfin, testez les scénarios de récupération et de verrouillage pour que le filet de sécurité fonctionne avant qu'un vrai utilisateur en ait besoin.

FAQ : Les passkeys sont-elles sûres si mon téléphone est perdu ou volé ?#

Oui, si elles sont configurées correctement. Une passkey est protégée par un geste local comme une biométrie ou un code PIN d'appareil, de sorte qu'un voleur en possession de l'appareil physique ne peut l'utiliser sans ce déverrouillage. Les passkeys synchronisées sont sauvegardées via le compte de la plateforme afin que vous puissiez restaurer l'accès sur un nouvel appareil, tandis que les clés liées à l'appareil exigent de disposer d'un second authentificateur enregistré, ce qui est précisément pourquoi en enregistrer au moins deux est une règle et non une suggestion. Perdre un téléphone devrait être un désagrément géré par votre authentificateur de secours ou une récupération vérifiée, jamais un verrouillage et jamais une ouverture pour un attaquant.

FAQ : Avons-nous encore besoin de mots de passe après les passkeys ?#

L'objectif est de réduire la dépendance aux mots de passe jusqu'à ce qu'ils ne protègent plus l'accès à quoi que ce soit de sensible. Pendant la migration, les mots de passe restent souvent une option pendant que les utilisateurs s'enregistrent, mais la direction est de faire de la passkey le facteur primaire puis, à terme, le seul facteur interactif, en supprimant le mot de passe ou en le réduisant à un élément de récupération rarement utilisé et bien protégé. Ce que vous devez éviter, c'est de garder un chemin mot de passe plus code faible disponible en permanence, car cela annule la résistance à l'hameçonnage que vous avez déployé les passkeys pour obtenir.

Conclusion#

La MFA a gagné sa place en neutralisant les mots de passe volés, mais les attaquants se sont adaptés, et les proxys d'hameçonnage déjouent désormais les facteurs à secret partagé sur lesquels beaucoup d'organisations comptent encore. La réponse durable est l'authentification résistante à l'hameçonnage livrée sous forme de passkeys, dont le lien cryptographique à l'origine réelle du site retire le secret même dont dépend l'hameçonnage. Le déploiement est là où réside l'essentiel du risque : retirez délibérément les replis faibles, rendez la récupération et l'enregistrement aussi forts que la connexion elle-même, exigez plus d'un authentificateur et surveillez la télémétrie pour repérer les tentatives d'orienter les utilisateurs vers le chemin mou. Faites cela, et l'authentification cesse d'être la porte la plus facile de l'attaquant pour devenir l'un de vos murs les plus solides.