De plus en plus répandue, l’authentification multifacteurs n’est pas pour autant devenue la norme en matière de cybersécurité. Elle s’avère pourtant plus indispensable que jamais pour contrer certaines attaques sur vos comptes et services personnels.
A l’origine étaient les mots de passe
Si vous avez lu notre article concernant la gestion des mots de passe, vous savez qu’il est fondamental d’utiliser un gestionnaire de mots de passe pour générer et stocker de façon sécurisée des mots de passe complexes et uniques. Bien.
Maintenant, imaginons un instant que vous créez un compte sur un réseau social. Vous avez sécurisé ce compte avec un mot de passe fort, robuste et complexe à l’aide de votre gestionnaire de mots de passe. Le mot de passe fait 40 caractères : majuscules, minuscules, chiffres, caractères spéciaux. C’est formidable. Vous vous sentez à l’abri. Oui, mais…
Il se trouve que le réseau social vient de se faire pirater une partie de sa base de comptes dont votre compte personnel faisait partie. Les pirates ont accès à votre mail et votre mot de passe dont on découvre d’ailleurs qu’il était stocké à l’aide d’un protocole ancien ou inadapté et facilement déchiffrable. Que votre mot de passe soit d’une longueur de 5 ou 40 caractères n’a plus d’importance. C’est maintenant une question de temps avant qu’un hacker utilise vos identifiants pour prendre le contrôle de votre compte. L’authentification mutlifacteurs doit donc maintenant apporter le surplus de sécurité qui va permettre de palier à ce type d’attaque.
Qu’est ce que l’authentification multifacteurs ?
Si le mot de passe continue d’être la première barrière, la plus importante entre vous et les attaquants, elle peut néanmoins être contournée par le vol, une vulnérabilité technique, la manipulation (ingénierie sociale) etc.
L’authentification multifacteurs aussi appelée « 2FA » ou « MFA » pour « 2 factor authentication », « Multi factor authentication » permet d’ajouter un second vecteur d’authentification. Concrètement, vous vous authentifiez à l’aide de votre mot de passe sur le service voulu qui va ensuite vous demander un second code ou une seconde vérification que vous recevrez par mail, SMS, ou via une application d’authentification par exemple. Sans ce second vecteur d’authentification, vous ne pourrez pas accéder à votre service.
De plus en plus de services en ligne proposent d’activer cette sécurité qui permet d’ajouter une solide couche de sécurité. On voit ainsi régulièrement des attaques qui échouent parce que l’utilisateur a activé l’authentification multifacteurs. C’est donc une solution de sécurité à utiliser dès qu’elle est proposée. Même la CNIL vous le conseille.
Les différents types d’authentification multifacteurs
- OTP (One time password) : vous recevez un code à usage unique via SMS ou mail.
- TOTP (Time-based One-time Password) : Vous installez une application sur votre smartphone qui génère un code dont la validité est limitée dans le temps. C’est une bonne solution à condition de bien gérer les jetons d’authentification. Nous y reviendrons juste après.
- Clé physique : vous devez utiliser une clé physique via le port USB ou en NFC par exemple pour valider l’ouverture du compte. C’est une solution très robuste.
L’authentification multifacteurs via une application compatible TOTP
Nous recommandons cette méthode car elle permet de s’authentifier indépendamment de son mail et de son numéro de téléphone. On a déjà vu certains GAFAM utiliser ces informations pour des objectifs publicitaires sous prétexte de fournir de la sécurité.
Gardez en tête que vous pouvez aussi investir dans une clé physique de sécurité. A vous de voir.
L’authentification se déroule de la façon suivante :
- Le service vous propose d’activer l’authentification multifacteurs par l’installation d’une application sur votre smartphone. Privilégiez une application libre : Freeotp+, Aegis que vous pouvez télécharger via le store F-Droid
- Sécurisez ensuite l’accès à l’application avec un mot de passe/code pin ou autre
- Vous devrez ensuite scanner un QR code depuis cette application. L’application va ensuite générer un jeton en lien avec le service à sécuriser. C’est ce jeton qui va générer des codes aléatoires utilisables pour vous vous authentifier une seconde fois.
- Dans certains cas, le site vous proposera des codes de récupération à utiliser au cas ou vous perdriez votre smartphone ou vos jetons d’authentification. Stockez les en sécurité, (dans votre gestionnaire de mots de passe!)
- Désormais, à chaque connexion vous devrez ouvrir l’application pour obtenir le code lié au service voulu et nécessaire à l’authentification.
- ATTENTION : Il est extrêmement important de sauvegarder tous vos jetons de connexion. Sans eux, la connexion sera impossible, à moins que vous ayez vos codes de récupération. N’hésitez donc pas à les sauvegarder de façon sécurisée, avec un chiffrement dans un endroit sûr.
- Pour l’application AEGIS : Paramètres/Importer et exporter/exporter/partager
Il ne vous reste plus qu’à activer la MFA partout ou cela est possible !
