Une notification arrive. Ton pouce est déjà à mi-chemin du bouton vert.
Il est 2 h 14. Ton téléphone vibre. Une notification demande d'approuver une connexion. Tu refuses, tu te rendors. Elle revient. Tu refuses encore. Elle revient toutes les deux minutes pendant une heure. Puis un message arrive sur WhatsApp : quelqu'un se présente comme le support informatique et t'explique que le système est en boucle, qu'il faut accepter une fois pour que ça s'arrête.
Ce scénario n'est pas une hypothèse d'école. C'est la description que fait Uber de son incident de septembre 2022.
La question qu'on pose d'habitude devant ce facteur, c'est de savoir s'il vaut mieux ou moins bien que le code à six chiffres. Elle ne mène nulle part, parce que les deux versions de la notification n'ont rien à voir entre elles. La question qui mord est ailleurs : est-ce que l'interface relie ton doigt à l'écran où tu es en train de te connecter, oui ou non. Tout ce qui suit tourne autour de ce point.
D'où ça vient
Duo Security est fondée en 2010 par Dug Song et Jon Oberheide, à Ann Arbor. La proposition tient en une observation : tout le monde a déjà un smartphone, donc distribuer des jetons matériels est un problème que le marché a réglé tout seul. Duo Push arrive au début des années 2010 et supprime la recopie du code. Une notification, un bouton, terminé.
L'argument est d'abord industriel. Un déploiement de second facteur en entreprise butait jusque-là sur la logistique : commander des jetons, les distribuer, les remplacer, gérer les piles. Une application mobile efface la ligne budgétaire et divise le temps d'installation.
L'argument est ensuite ergonomique, et c'est lui qui a fait l'adoption. Un second facteur qui coûte un geste au lieu de six chiffres se fait accepter par des gens qui refusaient l'authentification forte. Microsoft Authenticator et Okta Verify reprennent le mécanisme et l'installent comme défaut dans des millions d'organisations.
Le facteur a été conçu contre un attaquant qui était un script rejouant des mots de passe fuités. Il a fini déployé face à un attaquant qui décroche le téléphone.
Le problème que ça résout
Le même que le code par SMS et le code temporaire : le rejeu d'identifiants fuités s'arrête là. Un script qui rejoue une paire volée déclenche une notification qu'il ne peut pas approuver.
Deux avantages lui appartiennent en propre.
Rien ne se recopie, donc rien ne se dicte de mémoire ni ne s'écrit sur un papier. Le code n'existe pas, il n'y a rien à intercepter en transit ni à lire sur un écran verrouillé. La technique « SMS lu ou intercepté », que le simulateur compte à 0,30 pour un proche, n'a pas d'équivalent ici.
L'adhésion est meilleure, et ça pèse plus qu'on ne le dit. Un facteur activé sur tous les comptes vaut mieux qu'un facteur parfait activé sur deux. Le moteur ne mesure pas ce point, et il compte dans la vraie vie.
L'étude Google de mai 2019 le confirme sur son terrain : l'invite affichée sur l'appareil a bloqué 100 % des tentatives automatisées, 99 % de l'hameçonnage de masse et 90 % des attaques ciblées, au-dessus du SMS sur les trois lignes. Cette étude mesure des invites déclenchées par Google sur ses propres appareils, pas le harcèlement organisé qui allait devenir courant trois ans plus tard.
Les problèmes que ça ajoute
Le harcèlement par notifications. C'est le défaut de conception, et il est simple : approuver est gratuit, refuser aussi, mais l'attaquant peut relancer autant de fois qu'il veut. Il détient déjà ton mot de passe, il relance la connexion en boucle, et il lui suffit d'un seul oui.
Deux incidents documentés en 2022 ont fait basculer la profession.
Cisco, le 24 mai 2022. L'attaquant obtient les identifiants d'un employé via le compte Google personnel de celui-ci, où le mot de passe Cisco était synchronisé depuis le navigateur. Il combine ensuite, d'après le rapport de Cisco Talos, un volume élevé de demandes d'approbation et une série d'appels vocaux où il se présente comme un support de confiance. L'employé finit par accepter une notification.
Uber, en septembre 2022. Le mot de passe d'un prestataire externe circulait sur des places de marché, probablement après l'infection de son appareil personnel. L'attaquant relance la connexion en boucle pendant plus d'une heure, les demandes sont d'abord refusées, puis il contacte la personne sur WhatsApp en se faisant passer pour l'informatique interne. Le groupe Lapsus$ a revendiqué l'intrusion.
Retiens la structure commune : le harcèlement seul ne suffit pas, c'est le harcèlement plus un appel qui fonctionne. Le simulateur compte cette technique à [0,05, 0,40, 0,30]. La valeur de 0,40 sur l'attaquant ciblé est la plus élevée de tout le tableau des seconds facteurs.
Et la responsabilité ne tombe pas sur la personne qui a cédé à 2 h du matin. Elle tombe plus haut, sur le choix de garder un facteur qui se valide sans rien relier à l'écran de connexion.
L'approbation par réflexe. Une notification arrive dans le même flux que les messages et les alertes de livraison. Le geste d'accepter est appris, rapide, et il précède la lecture. C'est le réflexe d'ouvrir avec l'interphone sans demander qui sonne, parce que c'est l'heure du colis. Une personne qui se connecte quinze fois par jour approuve sans regarder la quinzième.
La page relais déclenche la vraie notification. Tu es sur une fausse page qui relaie vers le vrai service. Le service reçoit une vraie tentative de connexion et t'envoie une vraie notification. Tu l'attendais, tu approuves, et l'attaquant récupère la session. Le simulateur compte le relais à 0,33 pour un attaquant ciblé sur cet obstacle.
Le faux conseiller n'a même pas besoin d'un code. Il lui suffit de te faire dire oui. C'est la technique la plus efficace du tableau après le harcèlement, à 0,35 pour un attaquant ciblé.
Le téléphone unique. La notification vit sur un objet. Le perdre, c'est perdre l'accès. Dans les six scénarios de récupérabilité du modèle, la perte du téléphone porte le poids le plus lourd, 3 sur 10, et l'application qui reçoit les notifications ne se restaure pas toujours aussi facilement qu'une liste de codes.
Les niveaux
Le moteur ne connaît pas un facteur notification. Il en connaît deux paliers, et l'écart entre les deux est plus large que celui qui sépare la notification du code temporaire.
Notification simple. Un bouton accepter, un bouton refuser. C'est la version qui a fait tomber Uber et Cisco. Elle se harcèle, elle s'approuve par réflexe, et rien dans l'interface ne relie la demande à l'écran où tu es en train de te connecter.
Notification avec nombre à recopier. L'écran de connexion affiche un nombre à deux chiffres, l'application demande de le saisir. Pourquoi deux chiffres changent-ils autant de choses, alors qu'ils n'ajoutent aucun secret ? Parce qu'ils rendent l'approbation impossible sans l'écran de connexion sous les yeux. Une notification reçue à 2 h du matin ne peut plus être validée, même en le voulant. Le harcèlement perd son effet, puisqu'il ne suffit plus de céder.
Microsoft a rendu ce mécanisme obligatoire pour tous ses locataires le 8 mai 2023, en retirant aux administrateurs la possibilité de le désactiver. Cette date signe la fin d'un débat de cinq ans sur l'ergonomie contre la résistance.
Notification avec contexte. Certaines implémentations ajoutent le lieu approximatif, l'application demandeuse et le système d'exploitation. C'est un signal utile pour refuser, pas une preuve pour accepter : la géolocalisation par adresse IP se trompe souvent, et un attaquant qui te vise peut se placer dans ton pays pour quelques euros.
Le palier suivant sort du facteur. Une clé d'accès ne te demande pas d'approuver, elle vérifie le domaine elle-même et refuse de signer ailleurs. La CISA classe ce type de méthode comme résistant à l'hameçonnage dans sa fiche d'octobre 2022, et n'y range aucune forme de notification.