L'authentification forte : pourquoi deux facteurs, et lesquels
Deux facteurs valent mieux qu'un, à condition qu'ils appartiennent à deux catégories différentes. C'est tout l'objet de la règle.
Publié le Mis à jour le Rédaction Mafatih al-Khayr
Le principe des deux facteurs
L'authentification forte du client repose sur l'utilisation d'au moins deux éléments indépendants, appartenant à des catégories différentes, de sorte que la compromission de l'un ne compromette pas l'autre.
Les trois catégories sont la connaissance — quelque chose que seul l'utilisateur sait —, la possession — quelque chose que seul l'utilisateur détient — et l'inhérence — quelque chose que l'utilisateur est.
L'indépendance est la condition essentielle. Deux mots de passe ne constituent pas une authentification forte, parce qu'ils relèvent tous deux de la connaissance et sont susceptibles d'être obtenus par le même moyen.
Ce qui compte comme facteur
La connaissance recouvre un mot de passe, un code confidentiel, une réponse à une question secrète. Ce facteur est le plus fragile : il se transmet, s'observe et se devine.
La possession se matérialise par un appareil enrôlé, une application liée à un terminal identifié, une carte à puce ou un dispositif dédié. Un code reçu par message est parfois utilisé comme preuve de possession, avec les limites que l'on sait.
L'inhérence désigne un élément biométrique : empreinte digitale, reconnaissance faciale. La donnée biométrique reste normalement sur l'appareil et n'est pas transmise au prestataire, qui reçoit seulement le résultat de la vérification.
La combinaison la plus répandue associe un appareil enrôlé et une vérification biométrique locale, avec un code confidentiel de secours. Elle relève bien de deux catégories distinctes.
Le lien dynamique
Pour une opération de paiement à distance, la réglementation exige davantage que deux facteurs : elle impose un lien dynamique entre l'authentification et l'opération précise.
Concrètement, le code de validation doit être lié au montant et au bénéficiaire de l'opération, et l'utilisateur doit voir ces éléments au moment de valider. Une modification de l'un ou de l'autre invalide l'authentification.
C'est la raison pour laquelle un écran de validation affiche le montant et le nom du destinataire. Ces informations ne sont pas décoratives : elles sont l'objet même de ce que l'utilisateur authentifie.
L'habitude de valider sans lire annule l'intérêt du dispositif. C'est aujourd'hui le point de rupture le plus fréquent, et il est comportemental, non technique.
Les exemptions prévues
Les textes prévoient des cas où l'authentification forte n'est pas requise, afin de ne pas rendre les paiements courants impraticables. Ces exemptions sont limitativement énumérées et assorties de conditions.
Elles concernent notamment les paiements sans contact de faible montant avec des compteurs cumulés, certaines opérations récurrentes de même montant vers le même bénéficiaire, les bénéficiaires de confiance enregistrés par le payeur, et les opérations jugées à faible risque selon une analyse en temps réel encadrée.
Une exemption n'est pas un affaiblissement arbitraire : elle déplace la responsabilité. Lorsque le prestataire choisit de ne pas appliquer l'authentification forte, il assume les conséquences d'une opération non autorisée.
Les seuils et les modalités figurent dans les normes techniques adoptées au niveau européen, régulièrement mises à jour.
Ce que l'authentification ne protège pas
Elle protège contre l'usage frauduleux d'un instrument par un tiers. Elle ne protège pas contre une opération que le titulaire réalise lui-même, sous l'effet d'une manipulation.
C'est toute la difficulté des fraudes dites autorisées : la victime authentifie correctement une opération qu'elle croit légitime. Aucun facteur d'authentification ne détecte une erreur d'appréciation.
Les moyens de défense contre ce type de fraude sont d'une autre nature : temporisation avant exécution, vérification du nom du bénéficiaire, alertes contextuelles, et surtout information des utilisateurs.
Le principe pratique tient en une phrase : aucun établissement légitime ne demande de valider une opération pour annuler une fraude, ni de communiquer un code de validation par téléphone.
Où lire les textes
La directive européenne sur les services de paiement et les normes techniques de réglementation qui la complètent définissent l'authentification forte et ses exemptions. L'Autorité bancaire européenne publie des orientations et des réponses aux questions fréquentes.
En France, la Banque de France et l'Observatoire de la sécurité des moyens de paiement publient des recommandations et des statistiques de fraude par instrument et par canal.
Cet article décrit un cadre technique et juridique. Il n'évalue la sécurité d'aucun prestataire, ne recommande aucune solution et ne constitue pas un audit de sécurité.
Contenu informatif, à jour à la date de révision indiquée. Ne constitue ni un conseil juridique, ni une recommandation de prestataire. Les conditions générales de votre établissement prévalent sur toute description générale.