Authenticitation multifactorielle¶
1. Objectif du cours¶
Comprendre les enjeux, principes et bonnes pratiques de l'authentification multifactorielle (MFA) dans un contexte sensible (secteur médical) et savoir concevoir, déployer et suivre une solution MFA adaptée aux contraintes opérationnelles et réglementaires.
2. Notions et définitions essentielles¶
- Authentification multifactorielle (MFA) : usage d'au moins deux facteurs d'authentification distincts pour prouver une identité.
- Trois facteurs : « quelque chose que vous savez » (connaissance), « quelque chose que vous possédez » (possession), « quelque chose que vous êtes » (inhérence).
- TOTP : Time-based One-Time Password, mécanisme courant d'OTP utilisé par des applications mobiles.
- SSO / IdP / SP : Single Sign-On (SSO) repose sur un fournisseur d'identité (IdP), des fournisseurs de services (SP) et des mécanismes de fédération.
- PAM : Pluggable Authentication Modules, architecture d'authentification sous Linux.
- Windows Hello for Business : solution Microsoft exploitant TPM 2.0 et biométrie pour MFA côté postes de travail.
- Google Authenticator : implémentation TOTP pour Linux / applications web.
- TPM 2.0 : module matériel requis pour le chiffrement sécurisé des clés biométriques dans Windows Hello.
3. Fonctionnement et principes¶
- Pourquoi MFA : les mots de passe seuls sont insuffisants (réutilisation, phishing, force brute). MFA combine des preuves indépendantes pour réduire le risque d'accès non autorisé.
- Combinaison utile : au moins deux facteurs de catégories différentes (ex. connaissance + possession). Deux facteurs de même catégorie n'apportent pas l'efficacité recherchée.
- Approche par risque : inventorier systèmes, évaluer criticité (confidentialité, intégrité, disponibilité), analyser exposition, calculer score de risque puis prioriser les protections MFA.
- Principes stratégiques : proportionnalité (adapter le niveau de sécurité au risque), progressivité (déployer par étapes), flexibilité (prévoir options alternatives selon contraintes opérationnelles).
- Architectures : intégrer MFA en local (Active Directory, GPO, PKI) et en cloud (Azure MFA, accès conditionnel) ; pour Linux utiliser PAM + TOTP ; pour web s'appuyer sur SAML/OAuth/OpenID Connect et SSO.
4. Commandes et manipulations¶
Non abordé dans ce cours
5. Sécurité et bonnes pratiques¶
- Vérifier compatibilité matérielle (TPM 2.0 et capteurs biométriques) avant déploiement de Windows Hello.
- Tester les configurations sur un laboratoire (env. de test) et prévoir rollback documenté.
- Provisionner certificats via PKI interne et automatiser leur renouvellement.
- Prévoir procédures de récupération : codes de secours à usage unique, validation d'identité renforcée pour récupération, comptes d'urgence avec activation contrôlée.
- Mettre en redondance les services critiques (fournisseurs SMS multiples, serveurs géo-redondants) et tester basculement régulièrement.
- Classifier les incidents MFA par criticité et définir procédures d'escalade (déblocage immédiat pour urgences médicales).
- Former et accompagner les utilisateurs avec programmes adaptés par profil ; créer « champions » internes et groupe pilote.
- Journaliser exhaustivement les événements d'authentification et chiffrer les stockages pour conformité (rétention adaptée).
6. Points essentiels à retenir pour le TSSR¶
- Les trois facteurs MFA : connaissance, possession, inhérence — au moins deux catégories distinctes requises.
- Prioriser MFA sur accès privilégiés et services exposés (VPN, messagerie, portails patients).
- Windows Hello for Business requiert TPM 2.0 et capacités biométriques ; tester hardware avant déploiement.
- Sous Linux, Google Authenticator s'intègre via PAM (notamment /etc/pam.d/sshd) ; tester avec comptes de test avant activation.
- Stratégie MFA : proportionnalité, progressivité, flexibilité — déployer par phases avec pilotes.
- Prévoir plans de continuité : redondance fournisseurs, serveurs secours, procédures d'urgence validées par responsables.
- Mesurer adoption et impact (KPI) : taux d'adoption, temps moyen d'authentification, incidents support, satisfaction utilisateur.
- Séparer paliers utilisateurs : praticiens (application mobile, intégration AD, sessions longues) vs patients (SMS simple).
- SSO + MFA : centraliser l'authentification via IdP tout en conservant la fédération sécurisée avec les SP.
- Respecter la traçabilité et la rétention de logs (aspects réglementaires HDS/RGPD).
7. Tableau récapitulatif¶
| Cas d'usage / contrainte | Solution recommandée | Avantage principal |
|---|---|---|
| Postes Windows en bureau sécurisé | Windows Hello for Business | Biometrie + TPM (chiffrement matériel) |
| Serveurs Linux / SSH | Google Authenticator (PAM + TOTP) | Standard TOTP, économique |
| Patients grand public | SMS OTP (6 chiffres / 10 min) | Facile, pas d'app à installer |
| Praticiens mobiles | App mobile (Microsoft Authenticator) + AD | Mobilité + SSO intégré |
| Panne fournisseur SMS | Multi-fournisseurs + basculement | Continuité de service |
8. Vérifications pratiques¶
- Vérifier la présence et version TPM (TPM 2.0) et détection des capteurs biométriques avant Windows Hello.
- Effectuer des authentifications d'essai avec comptes de test après modification PAM (/etc/pam.d/sshd) pour éviter blocage.
- Suivre tableaux de bord : taux d'adoption, temps moyen d'authentification, nombre d'incidents support, satisfaction utilisateur.
- Tester régulièrement les procédures de basculement (fournisseur SMS, serveurs secours) — exécution mensuelle recommandée.
- Contrôler la journalisation : horodatage, IP source, type de dispositif, résultat des tentatives et conservation conforme aux durées réglementaires.
9. Flashcards Anki¶
Quels sont les trois facteurs d'authentification ? :: Quelque chose que vous savez ; quelque chose que vous possédez ; quelque chose que vous êtes Pour quels accès l'ANSSI recommande-t-elle la MFA ? :: Tous les accès privilégiés Quels prérequis matériels exige Windows Hello for Business ? :: TPM 2.0 et capacités biométriques Dans quel fichier PAM s'effectue la configuration pour Google Authenticator sous SSH ? :: /etc/pam.d/sshd Quelle durée de conservation des logs d'authentification est généralement mentionnée pour le secteur médical ? :: 3 à 10 ans Quels sont les trois principes d'une stratégie MFA efficace ? :: Proportionnalité, Progressivité, Flexibilité Quelle solution MFA est recommandée pour les patients dans l'exercice de cas ? :: SMS (codes à 6 chiffres valides 10 minutes) Quelle solution MFA est proposée pour les praticiens dans l'exercice de cas ? :: Application mobile Microsoft Authenticator intégrée à Active Directory Quels KPI sont cités pour suivre l'efficacité MFA ? :: Taux d'adoption, temps moyen d'authentification, incidents support, satisfaction utilisateur Quelle mesure permet d'éviter une panne unique du service SMS ? :: Utiliser plusieurs fournisseurs SMS et basculement automatique