Qu'est-ce que l'authentification à deux facteurs ?
L'authentification à deux facteurs—communément appelée 2FA, vérification en deux étapes, vérification en 2 étapes ou authentification à double facteur—est une procédure de sécurité qui exige que les utilisateurs de comptes vérifient leur identité de deux manières différentes avant de leur accorder l'accès aux comptes utilisateurs. Ce processus est une forme d'authentification multi-facteurs nécessitant exactement deux formes des cinq facteurs d'authentification communément acceptés. De nombreuses entreprises utilisent des logiciels d'authentification multi-facteurs (MFA) pour y parvenir.
L'authentification à deux facteurs est plus sécurisée que l'authentification à un seul facteur, qui est généralement un facteur de connaissance (quelque chose que l'utilisateur connaît), comme un nom d'utilisateur et un mot de passe. Les formes les plus courantes de seconds facteurs d'authentification sont les mots de passe à usage unique (OTP) envoyés par SMS et email ou dérivés d'une application d'authentification ou d'un jeton matériel.
Types d'authentification à deux facteurs
Les cinq facteurs d'authentification communément acceptés sont la connaissance, la possession, l'inhérence, la localisation et le comportement.
- Connaissance : Ce facteur exige que les utilisateurs s'authentifient avec quelque chose qu'ils connaissent. L'authentification à un seul facteur la plus courante est l'authentification par mot de passe. Cela est considéré comme peu sûr car les gens peuvent utiliser des mots de passe faibles ou des mots de passe facilement compromis.
- Possession : Ce facteur d'authentification exige que les utilisateurs s'authentifient avec quelque chose qu'ils possèdent. Les utilisateurs doivent fournir l'information qu'ils ont, généralement un code fourni par une application d'authentification sur leurs appareils mobiles, un SMS ou un message texte, un jeton logiciel (jeton logiciel) ou un jeton matériel (jeton matériel). Le code fourni peut être soit un mot de passe à usage unique basé sur HMAC (HOTP) qui n'expire pas tant qu'il n'est pas utilisé, soit un mot de passe à usage unique basé sur le temps (TOTP) qui expire en 30 secondes.
- Inhérence : Cela exige que les utilisateurs s'authentifient avec ce qu'ils sont. Il prend en compte quelque chose d'unique à l'utilisateur, comme des facteurs biométriques. L'authentification biométrique peut inclure des scans d'empreintes digitales, la géométrie des doigts, des scans d'empreintes de paume ou de géométrie de la main, et des empreintes faciales. L'utilisation de logiciels d'authentification biométrique devient de plus en plus courante à mesure que les connexions biométriques sur les appareils mobiles, y compris les logiciels de reconnaissance faciale et les capacités de scan d'empreintes digitales, gagnent en popularité parmi les consommateurs. D'autres méthodes d'authentification biométrique, telles que la reconnaissance de la forme de l'oreille, les empreintes vocales, les scans de la rétine, les scans de l'iris, l'ADN, l'identité olfactive, les motifs de démarche, les motifs veineux, l'analyse de l'écriture manuscrite et de la signature, et la reconnaissance de la frappe, n'ont pas encore été largement commercialisées à des fins d'authentification.
- Localisation : Le facteur de localisation exige que les utilisateurs s'authentifient avec où ils sont et quand. Il prend en compte la localisation géographique de l'utilisateur et le temps qu'il a mis pour y arriver. Cette forme d'authentification est couramment utilisée dans les logiciels d'authentification basés sur le risque. Habituellement, ces méthodes d'authentification ne nécessitent pas qu'un utilisateur authentifie activement cette information, au lieu de cela, cela fonctionne en arrière-plan lors de la détermination du risque d'authentification d'un utilisateur spécifique. Ce type d'authentification vérifie la géolocalisation d'un utilisateur, qui indique où il se trouve actuellement, et sa géovélocité, qui est le temps raisonnable qu'il faut à une personne pour se rendre à un endroit donné. Par exemple, si un utilisateur s'authentifie avec un fournisseur de logiciels MFA à Chicago et tente 10 minutes plus tard de s'authentifier depuis Moscou, il y a un problème de sécurité.
- Comportement : Ce facteur exige que les utilisateurs s'authentifient avec quelque chose qu'ils font. Il se rapporte à des gestes ou des motifs de toucher spécifiques que les utilisateurs génèrent. Par exemple, en utilisant un écran tactile, les utilisateurs peuvent créer un mot de passe image où ils dessinent des cercles, des lignes droites ou tapent sur une image pour créer un mot de passe gestuel unique.
Avantages de l'utilisation de l'authentification à deux facteurs
L'avantage de l'authentification à deux facteurs est une sécurité accrue des comptes. Exiger une étape d'authentification supplémentaire pour vérifier l'identité numérique d'un utilisateur aide à s'assurer que seuls les utilisateurs autorisés peuvent se connecter et avoir accès à des comptes utilisateurs spécifiques. La vérification supplémentaire aide les entreprises à prévenir à la fois les menaces internes, telles que les employés non autorisés, et les menaces externes, comme les pirates, d'accéder à des comptes restreints. Les avantages de l'authentification à deux facteurs incluent :
- Sécurité améliorée des comptes : Le principal objectif de l'authentification à deux facteurs est d'augmenter la sécurité des comptes.
- Processus de connexion utilisateur simplifié : Un avantage secondaire de l'utilisation de l'authentification à deux facteurs est une expérience de connexion simplifiée pour les utilisateurs finaux. Certains utilisateurs peuvent avoir de mauvaises pratiques de gestion des mots de passe. Permettre aux utilisateurs de s'authentifier de manière à ne pas nécessiter de mot de passe peut réduire la fatigue des mots de passe.
- Respecter les exigences de conformité réglementaire : de nombreuses lois sur la protection des données dans le monde exigent que les entreprises adoptent des mesures d'authentification fortes. L'adoption de la 2FA peut aider les entreprises à répondre à ces exigences.
Impacts de l'utilisation de l'authentification à deux facteurs
Pratiquement toutes les entreprises, en particulier les entreprises technologiques, exigent une forme d'authentification utilisateur pour accéder aux logiciels, systèmes ou autres ressources sécurisées. La forme d'authentification la plus courante, un seul facteur, qui est souvent seulement un nom d'utilisateur et un mot de passe, s'est avérée peu sûre. Cela a conduit à la nécessité d'exiger deux facteurs d'authentification avant d'accorder l'accès au compte.
À mesure que les entreprises cherchent à devenir encore plus sécurisées, beaucoup exigent plus de deux facteurs d'authentification, pour créer un véritable processus d'authentification multi-facteurs.
Meilleures pratiques pour l'authentification à deux facteurs
Pour que l'authentification à deux facteurs fonctionne, les entreprises doivent suivre ces meilleures pratiques :
- Assurez-vous que plusieurs méthodes d'authentification sont proposées aux utilisateurs finaux ; l'authentification utilisant deux types de facteurs identiques (comme deux mots de passe pour deux défis de connaissance) n'est pas considérée comme une authentification à deux facteurs
- Assurez-vous que les types d'authentification sont pris en charge par le logiciel utilisé par l'entreprise
- Assurez-vous que les cas d'utilisation pour les authentifications en ligne et hors ligne sont pris en compte
Authentification à deux facteurs vs authentification multi-facteurs (MFA)
L'authentification à deux facteurs est une forme de MFA.
Merry Marwig, CIPP/US
Merry Marwig is a senior research analyst at G2 focused on the privacy and data security software markets. Using G2’s dynamic research based on unbiased user reviews, Merry helps companies best understand what privacy and security products and services are available to protect their core businesses, their data, their people, and ultimately their customers, brand, and reputation. Merry's coverage areas include: data privacy platforms, data subject access requests (DSAR), identity verification, identity and access management, multi-factor authentication, risk-based authentication, confidentiality software, data security, email security, and more.