Résumé

  • La révision 02 d’Additional Authentication Method Reference Values, publiée le 2 octobre 2026, propose sqa pour les réponses aux questions de sécurité, tout en précisant que les recommandations actuelles du NIST ne les considèrent pas comme des secrets acceptables.
  • Cette juxtaposition fixe la bonne frontière : le registre décrit une méthode existante ; le service qui s’y fie décide séparément si elle est permise, suffisante ou interdite.

Un registre technique n’est pas un palmarès. Il doit parfois donner un nom stable à une pratique précisément parce que les exploitants veulent la repérer, la contenir ou la retirer. Le projet draft-skyfire-oauth-amr-values-02 l’illustre sans détour : sqa rendrait déclarable l’emploi de questions de sécurité, mais l’avertissement NIST empêche de lire cette déclaration comme un brevet de solidité.

Le texte propose aussi des références pour la confirmation dans une application, les signaux comportementaux, le courrier électronique, les codes à usage unique, les interactions par URL, les notifications poussées, la détection de présence faciale et les passkeys. Entre les versions, psk est devenu passkey afin d’éviter la confusion avec une clé prépartagée ; call a disparu au profit d’une mise à jour de tel. C’est un travail de vocabulaire, non une homologation.

OpenID Connect sépare déjà la méthode constatée (amr) de la classe de contexte (acr). RFC 8176 normalise des identifiants courts et donne un exemple associant pwd et kba. Le registre IANA actif contient toujours kba. Ce patrimoine lexical permet de comprendre une assertion ancienne ou hétérogène ; il ne rend pas l’authentification fondée sur des connaissances convenable pour une opération sensible aujourd’hui.

Le NIST place la décision ailleurs. Son modèle actuel indique que les questions fondées sur la connaissance ne constituent pas un secret acceptable pour l’authentification numérique. Ses règles relatives aux authentificateurs interdisent aussi de demander de telles questions lors du choix d’un mot de passe. Le registre conserve donc une identité sémantique tandis que la politique en fixe l’usage.

Même prudence pour bg. Cette valeur pourrait couvrir l’authentification silencieuse d’un numéro sur le réseau, la reconnaissance d’un appareil ou la géolocalisation. Pour le NIST, ces indicateurs de fraude peuvent nourrir une appréciation du risque, mais ils ne modifient pas le niveau d’assurance et ne remplacent pas un facteur. Observer n’est pas authentifier.

La signature d’un JWT ne change pas la nature de la méthode. Une validation correcte protège l’origine, l’audience, l’intégrité et les contraintes temporelles de l’assertion. RFC 8725 impose néanmoins des choix locaux explicites. La cryptographie certifie la phrase « cet émetteur a déclaré cette méthode » ; elle ne certifie pas que la méthode mérite confiance.

L’IANA, enfin, attribue des noms stables après examen d’experts. Lors de la capture, les valeurs de la révision 02 n’étaient pas dans le registre actif et le Datatracker présentait encore un Internet-Draft individuel, sans stream ni niveau de normalisation. Une future inscription fixerait l’orthographe et la référence, pas la politique de déploiement.

L’exploitation doit donc conserver deux traces. La première décrit le fait interopérable : émetteur, jeton, version du vocabulaire et valeur AMR. La seconde est un reçu de décision local : contexte, risque, méthode autorisée, restreinte, combinée ou interdite, version de politique, responsable de l’exception et mesure de remplacement.

La spécification initiale minimale de Lu Heng invite à normaliser le symbole commun le plus petit et à laisser les décisions futures au niveau local. Running-Code Primacy réclame la preuve de ce qui a effectivement fonctionné. Reality Layers empêche qu’une inscription, une assertion, un signal de risque, une classe d’assurance et une autorisation soient fondus en un unique feu vert.

sqa ne réhabilite donc pas la question de sécurité. Il donne aux systèmes un moyen précis de la reconnaître pendant qu’ils la limitent et la font disparaître. Le registre peut dire ce qui existe ; la responsabilité de dire ce qui compte demeure locale.

Sources