On pense souvent qu’une authentification est forte dès qu’elle demande deux étapes.

Par exemple : un mot de passe, puis un code reçu par SMS.

En réalité, c’est plus nuancé.

L’ANSSI distingue l’authentification multifacteur et l’authentification forte (lien vers article technique). Une authentification multifacteur utilise plusieurs catégories de preuves : ce que je sais, comme un mot de passe ; ce que je possède, comme un téléphone ; ou ce que je suis, comme une caractéristique biométrique. Mais le nombre de facteurs ne suffit pas toujours à garantir un très haut niveau de sécurité.

Une authentification peut donc être multifacteur sans être réellement forte.

C’est le cas lorsque les facteurs peuvent être interceptés, copiés ou rejoués. Par exemple, un mot de passe complété par un code temporaire améliore la sécurité. Mais si l’utilisateur saisit ce code sur un faux site, un attaquant peut parfois l’utiliser immédiatement.

Le risque ne vient pas seulement de la faiblesse technique. Il vient aussi de l’expérience utilisateur.

Plus on demande à l’utilisateur de mémoriser, recopier, confirmer ou comprendre des étapes complexes, plus on augmente le risque d’erreur. Pour une personne aveugle ou malvoyante, cette difficulté peut être encore plus importante : lire un code, changer d’application, revenir à la page de connexion, vérifier que l’on est bien sur le bon site… tout cela peut devenir une charge inutile.

L’authentification forte repose sur une logique différente. Elle ne se contente pas d’ajouter une étape. Elle s’appuie sur un mécanisme robuste, souvent cryptographique, capable de prouver l’identité sans transmettre un secret réutilisable. L’ANSSI cite notamment FIDO2 parmi les mécanismes d’authentification forte. C’est précisément l’un des protocoles utilisés en standard par AuthSezam pour l’authentification biométrique – lien vers article. Une authentification réellement moderne ne doit pas seulement protéger contre les attaques. Elle doit aussi être compréhensible, utilisable et accessible.Car une sécurité trop complexe finit souvent par exclure, fatiguer ou être contournée.

Avec AuthSezam, la confiance repose donc sur trois principes simples :

• ne plus utiliser les mots de passe ou de second facteur faible et contraignant,
• utiliser une preuve cryptographique forte (reconnu par l’ANSSI comme une protection robuste) – lien vers l’article technique,
• et laisser chaque utilisateur s’authentifier avec la méthode biométrique qu’il a choisi et qu’il considère la plus adaptée pour lui.