Nope, ce n'est qu'un facteur. Utilisé seul, il est bien plus sûr qu'un mot de passe1, mais il ne permet pas d'obtenir de l'authentification forte. C'est cette dernière qui est le but, pas le 2FA en tant que tel.
Pour qu'il puisse être utilisé en authentification forte, il faut que associer à ton certificat client une méthode de dévérouillage (un PIN/password ou de la biométrie). Par exemple en stockant le certificat sur une carte à puce (ou un dongle USB encapsulant un processeur sécurisé).
Ce qu'on appelle aujourd'hui le 2FA est le moyen d'ajouter un facteur à un autre existant, que ce soit sous la forme d'un token matériel ou d'une app, pour prouver qu'on connaît un autre secret/possède un autre matériel.
1: D'ailleurs je l'ai utilisé par le passé dans des architecture de produits de sécurité, et j'ai du mal à comprendre que ça ne rencontre pas plus de succès (même si Vault et la montée en grade du 0-trust lui redonnent du brillant).
Mon hypothèse, c'est que le outils pour déployer une PKI locale sont tellement bloatés que personne ne veut déployer ça sur son infra, et qu'en plus "ça uilise de la crypto personne y comprend rien". Ajoute à ça que ça oblige à remonter de l'info (et travailler) avec la couche 3, et que les architectes softwares aiment bien rester en couche application...
[^] # Re: Pas de smartphone, mais...
Posté par aiolos . En réponse au lien MitID : le fournisseur d'identité danois sans appli mobile obligatoire. Évalué à 4.
Nope, ce n'est qu'un facteur. Utilisé seul, il est bien plus sûr qu'un mot de passe1, mais il ne permet pas d'obtenir de l'authentification forte. C'est cette dernière qui est le but, pas le 2FA en tant que tel.
Pour qu'il puisse être utilisé en authentification forte, il faut que associer à ton certificat client une méthode de dévérouillage (un PIN/password ou de la biométrie). Par exemple en stockant le certificat sur une carte à puce (ou un dongle USB encapsulant un processeur sécurisé).
Ce qu'on appelle aujourd'hui le 2FA est le moyen d'ajouter un facteur à un autre existant, que ce soit sous la forme d'un token matériel ou d'une app, pour prouver qu'on connaît un autre secret/possède un autre matériel.
1: D'ailleurs je l'ai utilisé par le passé dans des architecture de produits de sécurité, et j'ai du mal à comprendre que ça ne rencontre pas plus de succès (même si Vault et la montée en grade du 0-trust lui redonnent du brillant).
Mon hypothèse, c'est que le outils pour déployer une PKI locale sont tellement bloatés que personne ne veut déployer ça sur son infra, et qu'en plus "ça uilise de la crypto personne y comprend rien". Ajoute à ça que ça oblige à remonter de l'info (et travailler) avec la couche 3, et que les architectes softwares aiment bien rester en couche application...