Qu'est-ce que l'authentification à deux facteurs (2FA) et pourquoi vous en avez besoin

Vous pouvez avoir le mot de passe le plus fiable au monde et quand même perdre votre compte, car les mots de passe fuient constamment lors de violations de données. L'authentification à deux facteurs (2FA) est le simple deuxième verrou qui empêche qu'un mot de passe volé soit suffisant pour entrer. Si vous faites une chose pour votre sécurité en ligne cette semaine, faites-la ceci.

Qu'est-ce que la 2FA ?

Les facteurs d'authentification sont de trois sortes : quelque chose que vous connaissez (un mot de passe), quelque chose que vous avez (votre téléphone ou une clé de sécurité) et quelque chose que vous êtes (une empreinte digitale ou un visage). 2FA en nécessite simplement deux au lieu d’un. Ainsi, même si un attaquant vole votre mot de passe, il ne pourra toujours pas se connecter sans votre deuxième facteur.

Les types, du plus faible au plus fort

• Codes SMS : un texte avec un code à usage unique. Mieux que rien, mais vulnérable aux attaques par « échange de carte SIM » où les criminels détournent votre numéro de téléphone.
• Applications d'authentification : des applications telles que Google Authenticator ou Authy génèrent des codes rotatifs sur votre appareil. Beaucoup plus sûr que les SMS et gratuit.
• Clés de sécurité matérielles : appareils physiques (comme une YubiKey) que vous branchez ou appuyez sur. La référence – pratiquement à l'épreuve du phishing.

Dans la mesure du possible, choisissez une application d'authentification ou une clé matérielle par SMS.

Pourquoi il arrête la plupart des attaques

La grande majorité des piratages de comptes reposent sur des mots de passe volés ou réutilisés (c'est pourquoi vous ne devez jamais les réutiliser – consultez notre guide des mots de passe forts). La 2FA brise complètement cette attaque : le mot de passe seul est inutile. Les principales agences de sécurité, y compris la CISA des États-Unis, classent l'activation de la MFA parmi les mesures les plus efficaces que les individus puissent prendre.

Par où l'activer en premier

Commencez par votre e-mail : c'est la clé principale, car les réinitialisations de mot de passe pour tout le reste y vont. Puis votre banque, votre gestionnaire de mots de passe et vos principaux comptes sociaux et cloud. La plupart des services l'ont sous Paramètres → Sécurité.

N'oubliez pas les codes de secours

Lorsque vous activez 2FA, vous obtenez généralement des codes de secours. Enregistrez-les dans un endroit sûr (pas au même endroit que votre mot de passe). Ils vous permettent de revenir si vous perdez votre téléphone. Sans eux, vous pourriez ne plus avoir accès à votre propre compte.

Pourquoi les applications d'authentification battent les SMS

Les codes SMS sont populaires car ils sont simples, mais ils constituent la forme courante la plus faible de 2FA. Lors d'une attaque « SIM swap », un criminel convainc votre opérateur de téléphonie mobile de déplacer votre numéro sur sa carte SIM, et soudain, vos codes arrivent sur son téléphone. Les SMS peuvent également être interceptés. Les applications d'authentification génèrent elles-mêmes des codes sur votre appareil, sans réseau impliqué, il n'y a donc rien à intercepter ou à rediriger. Si un service propose une 2FA basée sur une application, préférez-la à chaque fois aux SMS.

Comment fonctionnent réellement les codes TOTP

Ces codes à six chiffres qui s'actualisent toutes les 30 secondes utilisent une norme appelée TOTP (Time-based One-Time Password). Lorsque vous scannez le code QR de configuration, votre application et le serveur partagent un secret ; les deux combinent ensuite ce secret avec l’heure actuelle pour calculer le même code indépendamment. Aucun code n'est jamais envoyé sur le réseau : les deux parties se contentent de le calculer. C'est pourquoi une application d'authentification fonctionne même en mode avion, et pourquoi les codes sont si difficiles à hameçonner en masse.

Clés d'accès : la prochaine étape au-delà de la 2FA

Une technologie plus récente, les mots de passe, commence à remplacer complètement les mots de passe plus 2FA. Un mot de passe utilise les données biométriques de votre appareil (empreinte digitale ou visage) et la cryptographie à clé publique, il n'y a donc pas de mot de passe à hameçonner ou à divulguer et rien à saisir. Lorsqu'un service propose des mots de passe, ils sont à la fois plus sécurisés et plus pratiques qu'un mot de passe et un code. La 2FA reste essentielle aujourd'hui, mais les clés d'accès sont la direction vers laquelle se dirige la sécurité des comptes.

Résultat

2FA nécessite une deuxième preuve d'identité, donc une fuite de mot de passe ne suffit pas pour entrer par effraction. Utilisez une application d'authentification ou une clé matérielle plutôt que SMS, activez-la d'abord sur votre courrier électronique et stockez vos codes de sauvegarde en toute sécurité. Il s'agit des cinq minutes les plus efficaces que vous puissiez consacrer à votre sécurité.