MFA : SMS, application, notification, clé FIDO2 ou passkey ?

Activer l'authentification multifacteur, c'est la base. Mais « MFA » regroupe des méthodes très différentes, du code par texto à la clé de sécurité physique. Devant un attaquant qui relaie une fausse page de connexion en temps réel, certaines tiennent bon et d'autres cèdent sans bruit.

Ce comparatif place côte à côte les cinq méthodes que l'on rencontre dans les PME québécoises. Pour le récit détaillé des attaques et un plan de déploiement, lisez aussi notre article Choisir son MFA : le SMS ne suffit plus.

Trois attaques qui départagent les méthodes

Le relais en temps réel. Une trousse d'hameçonnage affiche une copie de la page de connexion et transmet au vrai site tout ce que la victime tape, y compris le code. Le NIST est clair : les codes à usage unique et les méthodes hors bande, comme les notifications et le texto, ne résistent pas à l'hameçonnage. Seuls les authentificateurs cryptographiques liés au nom du site, comme FIDO2 et WebAuthn, y résistent.

L'échange de carte SIM. Un fraudeur convainc l'opérateur de transférer votre numéro sur sa carte SIM et reçoit vos codes. Seules les méthodes qui passent par le réseau téléphonique y sont exposées. C'est l'une des raisons pour lesquelles le NIST classe le texto comme « restreint ».

Le bombardement de notifications. L'attaquant, qui connaît déjà le mot de passe, déclenche des demandes d'approbation en rafale jusqu'à ce que la victime cède. Le NIST juge désormais inacceptable la simple approbation « Approuver / Refuser ». La correspondance de nombres règle ce problème : l'utilisateur doit taper le nombre affiché à l'écran. Microsoft l'applique à toutes les notifications Authenticator.

Ce que recommandent les autorités

Les trois organismes convergent. La CISA écrit que la seule authentification résistante à l'hameçonnage largement disponible est FIDO/WebAuthn, tout en rappelant que n'importe quel MFA vaut mieux que rien. Pour les organisations qui ne peuvent pas encore la déployer, elle recommande la correspondance de nombres comme mesure transitoire.

Le Centre canadien pour la cybersécurité va plus loin pour les comptes administrateurs : MFA résistant à l'hameçonnage sans exception, et retrait de toute méthode de secours vulnérable. Il reconnaît aussi que ces méthodes ont souvent un coût, à mettre en balance avec le risque.

Le NIST ajoute une nuance utile : les passkeys synchronisées sont admises jusqu'au niveau AAL2, mais pas au niveau AAL3, qui exige une clé privée non exportable. Pour les comptes les plus sensibles, la clé matérielle garde donc l'avantage.

Coûts et logistique

Une clé de sécurité d'entrée de gamme se vend à partir de 29 $ US sur le site de Yubico. Comptez deux clés par personne, dont une gardée en lieu sûr : la FIDO Alliance note qu'une clé de sécurité peut servir de moyen de récupération.

Les passkeys, elles, ne coûtent rien de plus si les appareils sont compatibles, ce qui est le cas des principaux systèmes d'exploitation et navigateurs. Synchronisées, elles suivent l'utilisateur d'un appareil à l'autre. Pour se connecter sur un ordinateur avec la passkey du téléphone, il faut balayer un code QR, et le Bluetooth sert à vérifier que les deux appareils sont proches.

Pour les téléphones perdus, prévoyez une procédure. Dans Microsoft Entra ID, un accès temporaire (Temporary Access Pass) permet d'enregistrer une nouvelle méthode sans repasser par le texto.

Comment choisir

Raisonnez par type de compte plutôt que d'imposer une seule méthode :

1. Administrateurs (Microsoft 365, pare-feu, sauvegardes, nom de domaine) : clés FIDO2, deux par personne, sans méthode de secours faible.
2. Finances, paie et direction : passkeys ou clés FIDO2. Ce sont les cibles de la fraude du président.
3. Tous les employés : au minimum la correspondance de nombres, puis migration vers les passkeys.
4. Le texto : une transition, jamais une méthode de secours permanente.

Quelle que soit la combinaison retenue, faites un projet pilote de deux semaines avec quelques volontaires, dont idéalement la personne la moins à l'aise avec la technologie. Vous repérerez vite les accrocs : un vieux portable sans lecteur d'empreinte, un poste partagé à l'entrepôt, un technicien qui travaille avec des gants. Retirez ensuite les méthodes faibles de la politique d'authentification elle-même, pas seulement des habitudes, pour qu'un attaquant ne puisse pas s'y rabattre.

Les questionnaires d'assurance cyber posent généralement des questions précises sur le MFA ; notre guide pour réussir le questionnaire d'assurance cyber indique ce qu'ils vérifient. Pour savoir où vous en êtes réellement, notre audit Microsoft 365 et Google Workspace recense les méthodes permises, les exclusions oubliées et les comptes encore protégés par texto.