La 2FA protège mieux qu’un mot de passe seul, mais toutes les implémentations ne se valent pas. Le niveau de sécurité réel dépend du facteur choisi, de la résistance au phishing du protocole et, point souvent négligé, du flux de récupération de compte.
MFA résistante au phishing : ce que FIDO2/WebAuthn change vraiment
La plupart des articles sur la 2FA comparent SMS, application TOTP et clé physique sans poser la distinction qui structure désormais les recommandations de la CISA : MFA classique versus MFA résistante au phishing. Cette distinction n’est pas cosmétique.
A lire aussi : Comment savoir si une image a été manipulée ?
Un code SMS ou un code TOTP généré par une application restent capturables par un proxy inverse en temps réel. L’attaquant relaye la page de connexion légitime, intercepte le code au moment où l’utilisateur le saisit, puis l’injecte avant expiration. Le facteur supplémentaire ralentit l’attaque, il ne la bloque pas.
FIDO2/WebAuthn fonctionne différemment. L’authentificateur (clé USB, passkey sur smartphone) lie cryptographiquement sa réponse au domaine exact du site. Si le domaine présenté par le proxy ne correspond pas, la signature n’est jamais émise. Le phishing par proxy inverse devient techniquement inopérant contre ce protocole.
Lire également : Où stocker les données en toute sécurité ?
Nous recommandons de traiter toute 2FA non résistante au phishing comme une mesure intermédiaire, pas comme un objectif de sécurité final.
Vulnérabilités 2FA par SMS : SIM swap, SS7 et ingénierie sociale
Le SMS reste le facteur le plus déployé, et le plus attaqué. Trois vecteurs principaux l’affaiblissent.
- Le SIM swap permet à un attaquant de transférer un numéro vers une nouvelle carte SIM en manipulant l’opérateur. Une fois le numéro porté, tous les codes SMS arrivent sur l’appareil de l’attaquant.
- Le protocole SS7, conçu dans les années 1980, autorise l’interception des messages en transit entre opérateurs. Des kits d’exploitation existent sur le marché gris.
- L’ingénierie sociale directe cible l’utilisateur : un faux support technique demande le code reçu par SMS en temps réel, pendant que l’attaquant tente la connexion sur le vrai service.
Microsoft a publiquement recommandé d’éviter le SMS comme second facteur, en orientant vers les applications d’authentification ou les clés physiques. Le SMS est le maillon faible de la chaîne 2FA, pas parce que le concept est mauvais, mais parce que le canal de transmission n’a jamais été conçu pour la sécurité.
Passkeys synchronisées et passkeys liées à l’appareil : deux modèles de risque distincts
Les passkeys remplacent le mot de passe et le code à usage unique par une paire de clés asymétriques. Le concept semble uniforme, mais deux variantes coexistent avec des implications différentes pour la sécurité.
Passkeys liées à l’appareil
La clé privée ne quitte jamais le matériel (clé USB FIDO2, module TPM). Perdre l’appareil signifie perdre l’accès. Ce modèle offre le niveau de protection le plus élevé contre la compromission à distance, puisqu’il n’existe aucune copie de la clé privée ailleurs.
Passkeys synchronisées
La clé privée est chiffrée et répliquée via le coffre du fournisseur (iCloud Keychain, Google Password Manager). La récupération après perte d’appareil devient transparente. En contrepartie, la sécurité du compte du fournisseur de synchronisation devient le plafond réel de sécurité. Si ce compte est protégé par un simple SMS, la passkey synchronisée hérite de cette faiblesse.
Pour un déploiement en entreprise, nous observons que le choix entre ces deux modèles dépend du rapport acceptable entre résilience opérationnelle et surface d’attaque.
Récupération de compte : le flux qui annule la 2FA
Un service peut proposer une passkey FIDO2 en connexion principale, puis autoriser une récupération par SMS ou par lien envoyé par e-mail. Ce scénario est courant, et il réintroduit exactement les vulnérabilités que la passkey était censée éliminer.
Le niveau de sécurité réel d’un compte ne se mesure pas sur le flux de connexion nominal, mais sur le chemin d’accès le plus faible entre inscription, connexion et récupération. Un attaquant ciblera toujours le maillon le moins résistant.
Les points à vérifier lors d’un audit de la chaîne d’authentification :
- Le flux de récupération impose-t-il un facteur résistant au phishing, ou retombe-t-il sur un SMS ou un e-mail ?
- La réinitialisation de la passkey nécessite-t-elle une vérification d’identité hors bande (contact support avec preuve d’identité, délai de sécurité) ?
- Les notifications de changement de facteur sont-elles envoyées sur un canal distinct du canal de récupération, pour alerter le titulaire légitime en cas de détournement ?
Un déploiement FIDO2 sans durcissement du flux de récupération revient à installer une porte blindée sur un mur en placo.
Quel facteur 2FA choisir selon le contexte
Le SMS convient encore pour des comptes à faible exposition, là où le coût d’une attaque ciblée dépasse la valeur de la cible. Pour les comptes professionnels, les accès administrateur ou tout service manipulant des données sensibles, seule une méthode résistante au phishing apporte une protection réelle.
Les applications TOTP (Google Authenticator, Authy) se situent entre les deux. Elles suppriment le risque SS7 et le SIM swap, mais restent vulnérables au phishing par proxy. Elles constituent un palier intermédiaire acceptable quand le déploiement de clés physiques ou de passkeys n’est pas encore possible.
La 2FA reste un progrès majeur par rapport au mot de passe seul. La question pertinente n’est plus de savoir si elle est sûre, mais quel type de 2FA correspond au niveau de menace réel. Un code SMS sur un compte bancaire et une passkey FIDO2 sur ce même compte ne protègent pas du tout de la même façon, même si les deux cochent la case « authentification à deux facteurs ».
