Mots de passe et identité numérique : la sécurité au-delà de la MFA

Les humains n’ont pas été conçus pour gérer les mots de passe. C’est une phrase qui semble provocatrice, mais qui décrit bien un problème structurel : nous demandons aux gens de se souvenir de dizaines (parfois de centaines) d’identifiants, de les changer souvent, de les rendre « complexes », de ne pas les réutiliser et de les garder en sécurité. Le résultat est connu : des mots de passe faibles, répétés, notés là où ils ne devraient pas être, partagés « par commodité », récupérés trop de fois grâce à des procédures fragiles. Il ne s’agit pas d’un échec individuel : c’est un modèle qui, face aux dernières innovations dans le domaine numérique, ne tient tout simplement pas la route.

C’est pour cette raison que la Journée mondiale des mots de passe, célébrée cette année le 7 mai, risque de devenir un événement plus symbolique qu’utile. Aujourd’hui, en effet, il serait plus logique de parler de la Journée de la gestion de l’identité : une journée dédiée non pas au « mot de passe parfait » (qui en pratique existe rarement), mais à la gestion de l’identité numérique dans son ensemble.

Ce dernier, en effet, ne se limite pas à la simple combinaison de caractères que nous tapons pour accéder à un service, mais comprend l’ensemble des outils, signaux et contrôles qui nous permettent de vérifier si la personne qui tente de s’authentifier est bien la personne qu’elle prétend être.

Mots de passe et intelligence artificielle, une relation complexe

Pour rendre la situation encore plus complexe, ces dernières années se sont ajoutés des facteurs qui amplifient les risques. L’intelligence artificielle, par exemple, industrialise certaines phases de l’attaque : depuis la génération de campagnes de phishing plus crédibles jusqu’à l’automatisation des tentatives de connexion et l’augmentation de la fraude. En arrière-plan, la cryptographie quantique et l’évolution de l’informatique quantique alimentent un nouveau débat sur la résilience future de certains mécanismes de sécurité. Sans tenir compte des échelles de temps réelles, le message adressé aux organisations et aux utilisateurs est clair : s’appuyer sur un seul facteur, même aussi fragile et « centré sur l’humain » que le mot de passe, est un choix de moins en moins judicieux.

Le moment est peut-être venu de déroger partiellement aux « règles classiques » répétées depuis des années (longueur, complexité, fréquence des changements, interdiction absolue de la réutilisation) en introduisant enfin des contre-mesures plus efficaces et plus gérables. Cela ne signifie pas, soyons clairs, baisser la garde ; ce choix servirait plutôt à déplacer le centre de gravité de la théorie vers une défense réelle, qui résiste aux erreurs humaines et aux attaques à grande échelle.

Authentification à deux facteurs (MFA), SMS et jetons physiques

La première étape, désormais non négociable, est l’authentification à deux facteurs ou plus (2FA ou MFA). Mais ici aussi, la clarté s’impose : l’AMF est fondamentale, mais certainement pas miraculeuse. Il s’agit d’une exigence minimale qui réduit considérablement l’efficacité du vol de mots de passe, mais elle peut être mise en œuvre de manière plus ou moins robuste. Le choix du deuxième facteur fait donc la différence entre un contrôle « façade » et une protection du béton.

À cet égard et en termes opérationnels, la recommandation la plus solide pour la plupart des scénarios est d’activer l’authentification multifacteur via des applications d’authentification. Il s’agit d’une mesure relativement simple, désormais soutenue par presque tous les services, mais qui présente l’avantage de placer immédiatement la barre plus haut.

Au contraire, les SMS restent une option à considérer uniquement comme solution de repli : ils sont exposés aux interceptions et aux techniques telles que échange de carte SIMet plusieurs fournisseurs découragent son utilisation en raison des limitations intrinsèques du canal.

Lorsque cela est possible, le meilleur choix est d’aller plus loin et d’utiliser des jetons physiques ou des méthodes résistantes au phishing. La raison est concrète : même un smartphone, aussi « personnel » soit-il, peut être compromis par un malware ; De plus, l’utilisateur peut être amené à saisir des codes sur de faux sites. Les solutions qui lient l’authentification au domaine correct ou à un appareil dédié réduisent considérablement ce risque.

Gestionnaire de mots de passe, mot de passe, Pins « intelligents » et accès sans mot de passe

A côté de la MFA, il existe un outil souvent sous-estimé : le gestionnaire de mots de passe. L’objection qui surgit souvent spontanément ressemble plus ou moins à ceci : « s’ils crevaient ça, je perdrais tout » ; cependant, cette solution peut être abordée du point de vue inverse : centraliser, c’est aussi pouvoir bien protéger un seul point, avec des mécanismes robustes, et surtout pouvoir générer et utiliser des mots de passe vraiment uniques et complexes pour chaque service. Il s’agit d’un saut de qualité décisif, surtout là où le MFA n’est pas disponible ou ne peut pas être activé.

Enfin, il existe déjà des alternatives qui vont dans le bon sens : les mots de passe, les codes PIN « intelligents » et, dans un contexte d’entreprise, l’accès sans mot de passe. A partir de solutions intégrées aux systèmes d’exploitation (comme Windows Bonjour) jusqu’à la biométrie et aux certificats, l’objectif est de réduire la dépendance aux mots de passe et de rendre les accès plus sécurisés et moins « humainement fragiles ». Dans les contextes d’entreprise, ces options peuvent surpasser la « simple MFA » précisément parce qu’elles sont plus difficiles à contourner à grande échelle.

Conclusions

L’enjeu est finalement moins technologique qu’il n’y paraît. Les outils sont là, que les foyers, les PME ou les grandes organisations en aient besoin. Mais ce qui manque souvent, c’est la prise de conscience : reconnaître que le mot de passe seul ne suffit plus, choisir la combinaison de solutions la mieux adaptée à son contexte et l’adopter véritablement, sans attendre. Car la sécurité numérique n’est aujourd’hui plus un exercice de mémoire : c’est une gestion des identités.