Que prouve vraiment le MFA ?
Summary: Le MFA renforce l'assurance sur le contrôle d'authentificateurs liés à une identité. Il ne constitue pas, par nature, une preuve de la situation physique dans laquelle l'authentification a lieu.
L'authentification multifacteur est l'un des mécanismes fondamentaux de la sécurité numérique moderne. Son principe est de ne pas faire dépendre une décision d'authentification d'un seul type de preuve.
Mais pour comprendre ce que le MFA protège --- et ce qu'il ne prétend pas protéger --- il faut poser une question simple :
Que prouve exactement une authentification réussie ?
Ce que signifie réellement « multifacteur »
Les facteurs d'authentification sont traditionnellement associés à plusieurs catégories : quelque chose que l'utilisateur connaît, quelque chose qu'il possède, ou une caractéristique biométrique.
Le NIST formalise cette logique au travers de ses Authenticator Assurance Levels. À AAL2, par exemple, le demandeur doit démontrer la possession et le contrôle de deux facteurs distincts. À AAL3, des exigences supplémentaires s'appliquent, notamment concernant l'authentificateur matériel et la résistance à l'usurpation du vérificateur.
Cette formulation est importante.
Le MFA augmente la confiance dans le fait que le demandeur contrôle les authentificateurs associés au compte. Ce n'est pas la même affirmation que :
« Le demandeur se trouve physiquement dans la situation que le service suppose. »
Identité et situation sont deux dimensions différentes
Considérons une authentification parfaitement valide :
- le mot de passe est correct ;
- le second facteur est valide ;
- le protocole cryptographique fonctionne ;
- le serveur reconnaît le compte attendu.
Ces éléments peuvent fournir une assurance forte sur l'identité numérique et le contrôle des authentificateurs.
Ils ne décrivent pas nécessairement la relation physique entre les équipements impliqués.
Où se trouve l'authentificateur ?
Où se trouve le terminal ?
Les deux sont-ils réellement ensemble ?
La communication observée correspond-elle à leur relation physique réelle ?
Ces questions appartiennent à un autre niveau du modèle de sécurité.
Le NIST distingue déjà plusieurs propriétés
Les recommandations du NIST montrent qu'une authentification ne se réduit pas au nombre de facteurs.
SP 800-63B traite séparément la résistance au rejeu, la résistance à l'usurpation du vérificateur et l'authentication intent --- le fait que le sujet manifeste son intention de s'authentifier.
Cette dernière notion est particulièrement instructive. Le NIST précise qu'une simple connexion sans fil à un authentificateur ne suffit pas nécessairement à établir cette intention : un attaquant proche pourrait initier ou relayer une interaction.
Autrement dit, même à l'intérieur du cadre classique de l'authentification, différentes propriétés répondent à différentes questions de sécurité.
Ajouter des facteurs ne transforme pas automatiquement une preuve d'identité en preuve de contexte physique.
Et l'authentification adaptative ?
Les systèmes modernes peuvent également exploiter l'adresse IP, la géolocalisation, l'heure, le type de transaction ou des comportements habituels.
Ces informations sont utiles pour évaluer le risque.
Le NIST les distingue cependant des authentificateurs eux-mêmes : sa FAQ décrit ces signaux comme des contrôles supplémentaires de l'authentification numérique plutôt que comme des types d'authentificateurs à part entière.
Cette distinction évite de confondre trois choses :
authentifier une identité,
évaluer un risque,
établir une propriété physique de l'interaction.
Elles peuvent se compléter. Elles ne sont pas interchangeables.
Le cas particulier de la co-présence
Supposons qu'un système doive autoriser une opération uniquement lorsque deux dispositifs sont physiquement co-présents.
Un MFA réussi peut établir avec une forte assurance que l'utilisateur contrôle les facteurs requis.
Mais la propriété recherchée par l'application est différente :
Les deux dispositifs sont-ils réellement dans la même situation physique au moment de l'opération ?
La littérature sur les attaques par relais montre pourquoi cette question existe. Dans certains systèmes, des équipements légitimes peuvent participer à une transaction relayée sans que l'attaquant ait besoin de compromettre leurs secrets.
Le problème n'est alors pas nécessairement une fausse identité.
C'est une relation physique fausse entre des identités potentiellement valides.
Une couche de confiance différente
Chez Keypulse, nous considérons cette distinction comme un problème de recherche à part entière.
Le MFA répond à une question essentielle : quels authentificateurs le demandeur contrôle-t-il ?
La co-présence en pose une autre : quelle propriété physique relie réellement les participants au moment de l'interaction ?
Il ne s'agit pas de remplacer le MFA. Une preuve de co-présence ne remplace ni un mot de passe, ni une clé cryptographique, ni une biométrie lorsqu'ils sont nécessaires.
Elle vise une autre propriété.
On peut donc considérer identité et situation comme deux dimensions complémentaires de la confiance :
Une authentification forte peut établir qui participe à une interaction sans établir, à elle seule, la situation physique dans laquelle cette interaction se produit.
Cette distinction devient importante dès qu'une décision de sécurité dépend non seulement de qui agit, mais aussi de la réalité physique du où, du quand et du avec quoi.
Références
- NIST, SP 800-63B --- Digital Identity Guidelines: Authentication and Authenticator Management. https://pages.nist.gov/800-63-4/sp800-63b/authenticators/
- NIST, SP 800-63 Digital Identity Guidelines FAQ, questions relatives à l'authentification adaptative et à l'authentication intent. https://pages.nist.gov/800-63-FAQ/
- NIST, SP 800-63B Implementation Resources --- Authenticator Assurance Levels. https://pages.nist.gov/800-63-3-Implementation-Resources/63B/AAL/
- Aurélien Francillon, Boris Danev, Srdjan Čapkun, Relay Attacks on Passive Keyless Entry and Start Systems in Modern Cars, NDSS, 2011. https://eprint.iacr.org/2010/332