Tout ce que vous devez savoir sur l’authentification à 2 facteurs. Même ses points faibles

L’authentification à deux facteurs a été lancée par AT&T en 1998. Cette société a breveté une « méthode automatisée pour avertir un client qu’une transaction est en cours et pour autoriser la transaction sur la base d’une confirmation/approbation par le client ».

Si ces termes ne vous sont pas familiers, lisez la suite, car, dans cet article, nous allons aborder les informations essentielles, notamment les points faibles.

Que signifient 2FA et AMF ?

L’authentification à deux facteurs (2FA) est un processus de vérification par lequel vous devez passer par deux étapes pour accéder à des informations sensibles. L’authentification multifacteur (AMF) est un système plus complexe qui repose sur plus de deux facteurs pour vérifier l’authenticité d’une connexion.

De nos jours, la méthode 2FA est courante et recommandée pour tous les comptes en ligne afin de réduire le risque d’accès non autorisé. Il existe même un site spécialisé qui répertorie tous les services utilisant le 2FA et qui fournit des informations détaillées sur les méthodes d’authentification disponibles.

Qu’est-ce qu’un facteur ?

Un facteur correspond simplement à un type d’authentification. Ci-dessous, nous avons répertorié les plus courants.

Quelque chose que vous connaissez

C’est le facteur d’authentification le plus courant que nous utilisons au quotidien. Il vous demande de saisir des identifiants de connexion pour accéder à votre compte. Le meilleur exemple de ce facteur serait le nom d’utilisateur et le mot de passe.

Quelque chose que vous avez

Ce facteur vous oblige à indiquer un compte e-mail, un téléphone ou un autre moyen de recevoir un code de vérification. Voici quelques-unes des formes d’authentification les plus courantes :

• Code SMS. Il s’agit d’un code spécifique, à usage unique, généralement composé de six chiffres, qui est envoyé par SMS sur votre téléphone.

• Applications d’authentification. Le fonctionnement est très similaire à celui du code SMS. L’application génère un code à usage unique composé de six chiffres, mais au lieu d’envoyer un SMS, vous recevez ce code par le biais d’une application. Vous pouvez utiliser l’une des nombreuses applications d’authentification, comme Google Authenticator, à télécharger sur votre smartphone.

• Jeton matériel d’authentification. Il s’agit d’un appareil, tel que YubiKey, qui génère un code d’accès unique chiffré. Généralement, il se présente sous la forme d’une chaîne de six chiffres que vous utilisez de la même manière que le texto ou le code numérique généré par les applications d’authentification. Ici, l’avantage supplémentaire de ce jeton matériel est qu’il se présente sous la forme d’un appareil séparé que vous emportez avec vous.

Quelque chose que vous êtes

Il utilise des données biométriques comme les empreintes digitales, la reconnaissance vocale ou le scan de la rétine pour vérifier la connexion. Il est difficilement possible de répliquer et de contourner ce facteur, car il est basé sur des identifiants biologiques uniques. C’est l’une des principales raisons pour lesquelles la biométrie gagne en popularité en tant que facteur d’authentification.

Quelque part où vous êtes

Ce facteur est lié à votre localisation et généralement détecté sur la base de votre adresse IP. Certaines entreprises collectent vos informations de géolocalisation afin de signaler toute tentative de connexion depuis des lieux inhabituels. Par exemple, vous vivez en France, mais quelqu’un a essayé de se connecter à votre compte depuis la Chine. Dans ce cas, le service vous informe d’une tentative de connexion et vous demande de confirmer le nouvel emplacement. Ce facteur d’authentification permet d’identifier très tôt les accès non autorisés.

Pourquoi utiliser l’authentification à deux facteurs ?

La principale raison d’utiliser la 2FA ou l’AMF est la sécurité supplémentaire apportée. Cela ne signifie pas qu’en ajoutant la 2FA, vous éliminez tous les risques de piratage. Cependant, votre compte devient moins vulnérable face aux hackers.

En effet, un pirate devrait désactiver non seulement votre mot de passe, mais aussi votre 2FA. Il devra pour ce faire avoir recours à une attaque par phishing, ou hameçonnage, des malwares, ou essayer d’activer la récupération de votre compte. Ensuite, il devra réinitialiser votre mot de passe, et ce n’est qu’ensuite qu’il pourra essayer de désactiver votre 2FA. Il s’agit là d’un travail supplémentaire que les pirates ne sont généralement pas disposés à effectuer pour les comptes d’individus.

L’authentification à 2 facteurs est-elle vraiment sûre ?

Malgré les meilleures intentions destinées à protéger les comptes en ligne, les pirates deviennent de plus en plus créatifs et cherchent de nouvelles façons de contourner le 2FA. Et toutes les méthodes sont sûres jusqu’à la première tentative réussie. L’authentification par SMS est la première à être connue comme étant vulnérable. C’est pourquoi, en 2016, le National Institute of Standards and Technology (NIST), qui fait désormais partie du ministère américain du commerce, a interdit les SMS pour la 2FA. L’augmentation des abus tels que le phishing par SMS (ou smishing) et le portage de téléphone, qui font perdre aux victimes le contrôle de leur numéro de téléphone, sont les premiers responsables. Il est toutefois plus sûr de ne pas l’utiliser du tout. S’il n’y a pas d’autres alternatives, il est préférable de l’activer.

Comment pouvez-vous améliorer la sécurité d’un compte en ligne ?

• Les mots de passe constituent votre ligne de front en matière de sécurité des comptes en ligne. Ils sont la première étape de la sécurisation de votre compte en ligne. Faites donc tout ce qui est en votre pouvoir pour qu’ils soient forts. Vérifiez la force du mot de passe et assurez-vous qu’il n’a pas déjà été divulgué. Si nécessaire, remplacez-le par un mot de passe sûrs que vous pouvez générer avec notre générateur de mot de passe en ligne.

• Veillez à conserver vos mots de passe en toute sécurité. Les note autocollantes ou les fichiers Excel sur votre ordinateur ne sont pas les méthodes que nous recommandons pour conserver les mots de passe en toute sécurité.

• Activez la fonction 2FA sur tous vos comptes électroniques qui la prennent en charge. En général, vous devez vous rendre dans les paramètres du compte et rechercher les éventuelles options 2FA dans la section Sécurité.

• Et restez vigilant. Les pirates cherchent et emploient continuellement de nouvelles tactiques de piratage toujours plus sophistiquées.