À travers l'écosystème mondial de Microsoft englobant Microsoft 365, Azure, Windows Hello et plus d'un milliard de comptes d'utilisateurs, les mots de passe sont identifiés comme le vecteur d'intrusion prépondérant (plus de 80 % des compromissions d'entreprise découlent d'attaques par bourrage d'identifiants ou de réutilisation de mots de passe). Microsoft Authenticator a ainsi évolué d'un simple client TOTP vers un point de terminaison Zero Trust sans mot de passe hautement sécurisé.
Exige de saisir sur le mobile le nombre affiché sur l'écran du navigateur, neutralisant les vagues de notifications intempestives (push bombing).
Autorisation biométrique couplée aux clés de l'enclave sécurisée du terminal, éliminant totalement l'usage du mot de passe.
Les clés privées professionnelles/scolaires sont intentionnellement exclues des sauvegardes cloud grand public à des fins de conformité.
Fatigue MFA (Push Bombing) & Obligation de correspondance de numéros
Historiquement, le mécanisme d'authentification multifacteur le plus ergonomique reposait sur la simple notification push binaire : une alerte entrante affichant deux boutons élémentaires, « Approuver » ou « Refuser ». Dans les environnements réels de production, cette interface sans friction a engendré une faille humaine critique : la fatigue MFA (MFA Fatigue).
1. Anatomie de l'intrusion par Push Bombing (Affaire Lapsus$)
Lors d'intrusions médiatisées contre des multinationales de premier plan (notamment Uber et Okta), les attaquants s'étaient procuré des mots de passe légitimes d'employés via des bases de données compromises en vente sur le Dark Web. Pour contourner la notification push secondaire, les assaillants ont déclenché par script des dizaines de requêtes d'approbation au beau milieu de la nuit (à 2 heures du matin). Submergées par la confusion, l'énervement ou le manque de sommeil, les victimes ont fini par cliquer sur « Approuver » simplement pour faire taire leur téléphone, accordant instantanément l'accès au réseau d'entreprise aux pirates.
2. Déploiement mondial obligatoire de la correspondance de numéros par Microsoft
Afin d'éradiquer ce vecteur d'attaque, Microsoft a rendu la correspondance de numéros (Number Matching) obligatoire sur l'ensemble des locataires Microsoft Entra ID (Azure AD) ainsi que sur les comptes grand public :
- Affichage dynamique d'un nombre : L'écran de connexion du navigateur présente un code pseudo-aléatoire à deux chiffres (ex. :
73). - Saisie manuelle dans l'application : La notification mobile invite l'utilisateur à déverrouiller son smartphone et à recopier ce nombre exact sur un clavier interactif. Il n'existe plus aucun bouton générique « Approuver ».
- Contexte géographique & Nom de l'application : L'invite affiche le nom du service demandeur (ex. : « Portail web Microsoft 365 ») ainsi que la localisation approximative déduite de l'adresse IP.
Étant donné qu'un attaquant distant ne peut pas voir le nombre affiché sur l'écran physique de la victime, et que l'utilisateur endormi ne peut pas deviner le nombre à renseigner, la correspondance de numéros ramène le taux de succès des attaques automatisées par fatigue push à un zéro absolu.
Architecture de la connexion sans mot de passe par téléphone
Une véritable authentification sans mot de passe ne consiste pas simplement à préremplir automatiquement un mot de passe en arrière-plan. Elle s'appuie sur la cryptographie asymétrique à clé publique normalisée par le consortium FIDO2, transformant votre smartphone en un module matériel de sécurité inviolable.
Fonctionnement cryptographique de la connexion par téléphone :
- Phase d'enrôlement : L'activation de la connexion par téléphone ordonne au composant matériel de sécurité du smartphone (l'enclave sécurisée Apple Secure Enclave ou Android StrongBox/TEE) d'engendrer une paire de clés asymétriques. La clé privée reste définitivement isolée dans le silicium matériel ; la clé publique est enregistrée auprès du cloud d'identité Microsoft.
- Émission du défi (Challenge) : Lorsque vous saisissez votre identifiant dans un navigateur, Microsoft génère un nonce cryptographique éphémère transmis via les réseaux de notification APNs/FCM à votre appareil enregistré.
- Autorisation biométrique : L'utilisateur valide son identité localement grâce à Face ID, Touch ID ou au code PIN de son système d'exploitation. Ce geste déverrouille l'accès matériel à la clé privée.
- Assertion cryptographique : La clé privée signe numériquement le défi reçu du serveur et renvoie la signature au service d'authentification Microsoft. Le service vérifie la signature à l'aide de la clé publique préenregistrée et accorde l'accès. Aucun mot de passe ne transite jamais sur le réseau.
- Ajoutez votre compte personnel à Microsoft Authenticator et activez l'option « Activer la connexion par téléphone ».
- Sur votre ordinateur, accédez aux paramètres de sécurité Microsoft :
account.live.com/proofs/manage/additional. - Dans la rubrique « Sécurité supplémentaire », localisez Compte sans mot de passe et cliquez sur Activer.
- Validez la demande de correspondance de numéros sur votre smartphone. Votre mot de passe est définitivement radié des bases de données de Microsoft !
Comptes personnels Microsoft (MSA) vs Comptes professionnels/scolaires (Entra ID)
Les utilisateurs regroupent fréquemment plusieurs profils au sein de leur application Authenticator. L'administration d'un compte personnel grand public aux côtés d'une identité d'entreprise Entra ID repose sur des modèles de gouvernance diamétralement opposés.
| Critère d'évaluation | Compte personnel Microsoft (MSA) | Compte professionnel / scolaire (Entra ID) |
|---|---|---|
| Domaines d'identité | @outlook.com, @hotmail.com, @live.com | @entreprise.com, @universite.fr |
| Gouvernance administrative | Contrôle exclusif de l'utilisateur | Administrateur global & Gestion MDM Intune |
| Stratégies d'accès conditionnel | Détection standard des risques grand public | Exigence de conformité du terminal, plages IP autorisées |
| Faisabilité de sauvegarde cloud | ✅ Sauvegarde intégrale dans le cloud personnel | ❌ Clés privées délibérément exclues |
| Vecteur de récupération de secours | E-mail secondaire, SMS, clé de secours de 25 caractères | Pass d'accès temporaire (TAP) délivré par l'équipe informatique |
Accès conditionnel & Hiérarchie des forces d'authentification
Au sein des stratégies d'accès conditionnel (Conditional Access) de Microsoft Entra ID, les administrateurs peuvent structurer les exigences de connexion en trois paliers rigoureux via les Forces d'authentification (Authentication Strengths) :
Authentification multifacteur
Accepte les codes OTP par SMS, les appels vocaux, les codes TOTP standard à 6 chiffres ou les approches push simples. Réservé aux profils à faible exposition.
Connexion mobile sans mot de passe
Exige Microsoft Authenticator (connexion par téléphone) ou Windows Hello Entreprise. Élimine tout mot de passe sensible à l'hameçonnage.
FIDO2 & Authentification par certificat
Accepte exclusivement les clés physiques de sécurité FIDO2 (YubiKey) et cartes à puce CBA. Socle obligatoire pour les Administrateurs globaux.
Clés d'accès (Passkeys FIDO2 WebAuthn) vs Connexion par téléphone : La distinction cryptographique
Les architectes système confondent couramment l'ancienne « Connexion par téléphone sans mot de passe » de Microsoft et les nouvelles « Clés d'accès (Passkeys) dans Authenticator ». Bien que ces deux technologies présentent une invite biométrique similaire à l'utilisateur, leur mécanique cryptographique interne diffère radicalement :
- Connexion par téléphone : Repose sur l'architecture propriétaire Azure AD Broker. L'appareil est lié directement à Entra ID via une clé asymétrique cantonnée au contexte d'exécution de l'application Authenticator.
- Clés d'accès (Passkeys WebAuthn FIDO2) : Conformes au standard ouvert international du W3C. La clé privée est générée et scellée dans l'enclave sécurisée (Apple Secure Enclave) ou le Keystore matériel / StrongBox (Android). Lors d'une authentification croisée entre terminaux, le protocole FIDO utilise un échange de QR code chiffré couplé à une balise Bluetooth Low Energy (BLE), garantissant que le smartphone est physiquement à proximité de l'écran et rendant toute attaque d'hameçonnage distant mathématiquement impossible.
Évaluation continue de l'accès (CAE) & Défense contre le vol de jetons :
Les jetons d'accès OAuth 2.0 conventionnels possèdent une durée de vie par défaut d'une heure. Si un assaillant subtilise un jeton de session actif par logiciel espion (infostealer), la désactivation du compte dans l'annuaire d'entreprise laissait jadis une fenêtre de vulnérabilité critique. Microsoft Entra ID neutralise cette menace grâce à l'Évaluation continue de l'accès (Continuous Access Evaluation - CAE). Grâce à un canal d'événements en temps réel entre Entra ID et les services Microsoft 365 (Exchange, Teams, SharePoint), les événements majeurs — comme la révocation du mot de passe, la désactivation de l'utilisateur ou une anomalie géographique d'IP — révoquent les jetons actifs en quelques minutes.
Revoke-MgUserSignInSession -UserId "[email protected]"
Protection des terminaux mobiles via Microsoft Intune MAM
Dans les déploiements BYOD (terminaux personnels utilisés au travail), les systèmes mobiles peuvent abriter des malwares, enregistreurs de frappe ou services d'accessibilité corrompus. Microsoft Authenticator s'intègre aux stratégies de protection d'applications Intune MAM pour appliquer un bac à sable matériel sans exiger une gestion intrusive de l'appareil (MDM) :
- Verrouillage biométrique strict : Obligation de déverrouiller Face ID / Touch ID / biométrie Android avant d'afficher le moindre jeton TOTP d'entreprise ou l'invite de correspondance de numéros.
- Blocage des captures d'écran : Interdiction absolue des captures et enregistrements vidéo au niveau de l'OS sur Android et iOS au sein de l'application Authenticator.
- Détection de jailbreak & root : Blocage immédiat de la délivrance des jetons et révocation des clés de connexion par téléphone dès que l'intégrité du système d'exploitation mobile est altérée.
Pass d'accès temporaire (TAP) : Intégration sans mot de passe
Lorsqu'un nouvel employé intègre l'entreprise, ou qu'un collaborateur égare son smartphone professionnel, comment peut-il enregistrer son application Authenticator si l'organisation proscrit l'usage des mots de passe ? La réponse réside dans le Pass d'accès temporaire (Temporary Access Pass - TAP) :
Cycle de vie de l'enrôlement par TAP en entreprise :
- Émission du TAP par l'administrateur : Le support informatique génère un code cryptographique temporaire à durée limitée (ex. : valide 4 heures, à usage unique) dans le centre d'administration Entra.
- Connexion au portail de sécurité : L'employé ouvre la page sécurisée
https://aka.ms/mysecurityinfodepuis son poste de travail. - Authentification via le code TAP : La saisie du code temporaire satisfait l'ensemble des critères d'accès conditionnel MFA pour la phase d'initialisation.
- Association du smartphone : L'employé scanne le QR code avec Microsoft Authenticator. À aucun moment de sa carrière un mot de passe permanent n'a été créé ou manipulé !
Gestion des codes TOTP RFC 6238 & Services tiers
En plus de piloter les identités de l'écosystème Microsoft, Microsoft Authenticator agit comme un moteur universel TOTP conforme au standard RFC 6238. Il peut héberger les clés d'authentification pour Amazon, GitHub, Google, AWS ou les plateformes d'échange crypto.
Enrôler un compte externe :
Appuyez sur le bouton « + » en haut à droite -> choisissez « Autre (Google, Facebook, etc.) ». Scannez le QR code fourni par la plateforme tierce. L'application initialise les calculs HMAC-SHA1 standards renouvelés toutes les 30 secondes.
Oui, tout à fait. Lors de la configuration de la validation en deux étapes dans les paramètres de sécurité de votre compte Microsoft, sélectionnez « Je souhaite configurer une autre application d'authentification ». Microsoft affiche alors une clé secrète au format Base32 standard. Vous pouvez copier cette clé dans 2FA-Tool.com afin de générer vos codes 100 % localement dans votre navigateur de bureau.
Sauvegarde cloud & Migration de smartphone : Trois pièges majeurs
Microsoft Authenticator intègre une fonction de sauvegarde dans le cloud, mais ses frontières d'isolation réservent de mauvaises surprises aux utilisateurs non avertis :
Piège 1 : Les comptes professionnels et scolaires ne sont jamais restaurés opérationnels
Lorsque vous restaurez une sauvegarde sur un nouvel appareil, l'ensemble des jetons TOTP tiers et les comptes Microsoft personnels réapparaissent sans encombre. En revanche, toutes les entrées d'entreprise Entra ID afficheront un point d'exclamation rouge : « Action requise - Réauthentification nécessaire ». Les règles de sécurité institutionnelles interdisent l'exportation des clés cryptographiques d'entreprise vers des clouds personnels grand public. Vous devez impérativement réenrôler le nouveau terminal depuis une session bureautique active !
Piège 2 : Le cloisonnement étanche entre iOS et Android
Sur iOS, Microsoft Authenticator chiffre la sauvegarde dans le Trousseau iCloud d'Apple. Sur Android, il l'enregistre sur votre compte personnel Microsoft OneDrive. Il n'existe aucune interopérabilité entre ces deux infrastructures cloud. Vous ne pouvez en aucun cas restaurer la sauvegarde d'un iPhone sur un appareil Android, et réciproquement. Une migration multiplateforme impose d'ajouter manuellement chaque compte sur le nouvel appareil avant de réinitialiser l'ancien.
Piège 3 : Le blocage « Connexion vs Restauration » (impasse circulaire)
Lors de la première ouverture d'une installation neuve d'Authenticator, un lien discret apparaît tout en bas de l'écran d'accueil : « Restaurer à partir d'une sauvegarde ». Vous devez impérativement cliquer sur « Restaurer à partir d'une sauvegarde » avant d'ajouter le moindre compte ! Si vous cliquez d'abord sur « Ajouter un compte », l'application exigera un code 2FA pour vérifier votre identité — code précisément enfermé dans la sauvegarde non restaurée, vous bloquant dans une impasse totale.
Dépannage : Pannes de notifications push & Procédures de récupération
Problème 1 : Les notifications de correspondance de numéros n'arrivent jamais sur le téléphone
- Optimisation agressive de batterie (Android) : De nombreuses surcouches constructeurs coupent les processus d'écoute en arrière-plan. Désactivez l'optimisation de batterie pour Microsoft Authenticator dans les paramètres de l'OS.
- Absence des Services Google Play : Les smartphones dépourvus de l'écosystème Google ne reçoivent pas les alertes push FCM. Ouvrez l'application manuellement pour forcer l'actualisation des requêtes.
- Filtrage par tunnel VPN : Certains tunnels VPN d'entreprise ou régionaux bloquent les sockets TLS persistants vers les passerelles de notification Microsoft.
Problème 2 : Téléphone détruit sans sauvegarde — Récupérer l'accès d'entreprise
Tandis que les comptes personnels s'appuient sur des clés de récupération en libre-service, les utilisateurs professionnels Entra ID disposent d'une filière dédiée :
Contactez le support informatique de votre entreprise. Un administrateur peut accéder au centre d'administration Entra, consulter vos méthodes d'authentification et vous émettre un Pass d'accès temporaire (TAP) valable 8 heures. Ce code à usage unique contourne les exigences MFA et vous permet d'enregistrer immédiatement votre nouvel appareil.
Foire aux questions (FAQ)
Puis-je utiliser la connexion par téléphone lorsque mon appareil est en mode avion ? ▼
Les invites de correspondance de numéros nécessitent une connexion réseau active pour recevoir les défis cryptographiques. Si votre téléphone est hors ligne, sélectionnez « Je ne peux pas utiliser mon application Microsoft Authenticator pour l'instant » sur l'écran de connexion du navigateur, puis choisissez « Utiliser un code de vérification ». Ouvrez votre application Authenticator et saisissez le code TOTP à 6 chiffres généré localement, qui fonctionne parfaitement hors ligne.
En quoi Microsoft Authenticator se compare-t-il à Google Authenticator ? ▼
Pour les environnements Microsoft 365, Azure et les flux professionnels d'entreprise, Microsoft Authenticator est nettement supérieur grâce à la correspondance native des numéros et à la prise en charge des clés d'accès (Passkeys) sans mot de passe. Pour la gestion générale des codes TOTP grand public sur des appareils hétérogènes (transition fluide entre iOS et Android), la synchronisation cloud unifiée de Google Authenticator via le compte Google offre une migration multiplateforme plus simple.
Que se passe-t-il si je supprime accidentellement l'application Microsoft Authenticator ? ▼
Si la sauvegarde dans le cloud était activée avant la suppression, réinstallez l'application et appuyez sur « Restaurer à partir d'une sauvegarde » sur l'écran initial. Authentifiez-vous avec le compte Microsoft de récupération (ou votre identifiant Apple) pour récupérer vos jetons. Si la sauvegarde n'était pas active, utilisez votre adresse e-mail de secours, un code par SMS ou votre clé de récupération de compte à 25 caractères pour rétablir l'accès.
Générez vos codes 2FA universels en toute sécurité
Besoin de calculer des codes TOTP RFC 6238 pour vos consoles cloud d'entreprise, dépôts Git ou comptes administratifs ? Utilisez l'outil web 2FA-Tool, 100 % hors ligne et respectueux de votre vie privée.