Que ce soit Google, Facebook, Dropbox ou Paypal : ils possèdent tous des comptes en ligne remplis de données sensibles qui ne doivent si possible pas tomber entre les mains de tiers non autorisés. Les services Internet ne sont généralement protégés que par un mot de passe – un jeu d’enfant pour un pirate informatique expérimenté. Avec une authentification à deux facteurs (2FA), il est possible de mettre en place une deuxième barrière après le mot de passe et d’assurer ainsi une plus grande sécurité. Cela fonctionne le plus simplement avec une application Authenticator, dont nous vous présentons dans cet article les représentants les plus populaires pour Android et iPhone. En outre, vous apprendrez quelles sont les méthodes d’authentification disponibles et à quel point elles sont réellement sûres.

1. comment fonctionne l’authentification à deux facteurs ?

Pour accéder à votre compte en ligne, vous devez dans un premier temps saisir votre nom d’utilisateur et votre mot de passe, qui correspondent au premier facteur dans le cadre d’une 2FA. Le système auquel vous vous connectez vérifie ensuite l’exactitude de ces données. Après confirmation, vous n’êtes toutefois pas directement redirigé vers le contenu, comme c’est habituellement le cas lors d’une authentification simple, mais vers une deuxième barrière, respectivement le deuxième facteur.

Après la demande du mot de passe, la plupart des systèmes 2FA font appel à des services externes pour effectuer la deuxième étape de la vérification. Le code généré vous est envoyé au choix par SMS ou par e-mail, mais il peut aussi être obtenu via un jeton USB ou une carte à puce, ou encore être une empreinte digitale (sur un capteur correspondant). Dans l’idéal, les facteurs devraient toutefois provenir de différentes catégories, c’est-à-dire représenter une combinaison de connaissances (p. ex. mot de passe ou code PIN), de possessions (p. ex. générateur TAN ou carte à puce) ou de biométrie (p. ex. empreinte digitale).

C’est bon à savoir : Avec une application d’authentification, vous pouvez utiliser la 2FA même si, par exemple, le service SMS n’est pas disponible à ce moment-là.

2. quelles sont les méthodes d’authentification disponibles ?

Le deuxième facteur doit certes en principe augmenter la sécurité, mais la mesure dans laquelle cela fonctionne dépend en fin de compte de sa mise en œuvre et de son utilisation. On distingue essentiellement trois procédures d’authentification différentes :

.

• Avec les systèmes TAN/OTP („One Time Password“) , un mot de passe à usage unique (HOTP, HMAC-based One-time Password) est transmis comme deuxième facteur. Cette méthode est toutefois considérée aujourd’hui comme dépassée et pas assez sûre. Il est préférable d’utiliser des générateurs de TAN ou des applications qui fournissent le code nécessaire au moyen de TOTP („Time-based One-time Password“), où les codes changent par exemple toutes les minutes.
• Lesjetons cryptographiques stockent une clé cryptographique privée. L’authentification s’effectue ensuite par l’envoi d’une requête au jeton, auquel celui-ci ne peut répondre correctement qu’à l’aide de la clé privée. La clé elle-même peut être stockée, par exemple, sous forme de certificat logiciel ou sur une carte à puce ou une clé USB/token NFC spéciale.
• Les systèmes biométriques vérifient l’existence d’une caractéristique physique préalablement enregistrée (visage, empreinte digitale, rétine, etc.). Celles-ci sont généralement visibles par tous, d’où l’importance de la reconnaissance de la vie. Sinon, le système pourrait être déjoué par une simple photo, par exemple.

3. aperçu des applications d’authentification les plus populaires

Aujourd’hui, de nombreux services en ligne et entreprises utilisent déjà la procédure d’authentification à deux facteurs pour se connecter en toute sécurité. Dans la section suivante, nous vous présentons différentes applications d’authentification avec lesquelles la configuration et l’utilisation de 2FA sont particulièrement simples et confortables.

3.1 Google Authenticator pour Android & iOS

Le Google Authenticator génère un code sur votre smartphone ou votre tablette, que vous devez saisir lorsque vous vous connectez à votre compte Google. La configuration est relativement simple. Dans un premier temps, vous devez confirmer votre compte :

1. Connectez-vous à votre compte Google et cliquez sur l’option „Sécurité“ dans le menu.
2. Sélectionnez ensuite l’option „Confirmation en deux étapes“ dans la section „Se connecter à Google„.
3. Cliquez sur „Commencer maintenant„.
4. Pour la connexion uniquement, vous pouvez utiliser au choix un appareil Android associé, un SMS, une clé de sécurité ou un appel audio.
5. Pour finir, définissez encore une option de remplacement (par ex. un autre numéro de téléphone) et confirmez vos saisies en cliquant à nouveau.

L’étape suivante consiste à installer et à configurer l’application Authenticator proprement dite. Celle-ci peut être téléchargée gratuitement dans le Play Store (Android) et dans l’Apple Store (iOS).

1. Lancez l’application Authenticator et ajoutez votre compte Google via „Scanner le code-barres“ ou „Saisir la clé„.
2. Revenez sur le PC et sélectionnez à nouveau „Confirmation en deux étapes“ sous „Sécurité„.
3. Sous le point „Application Authenticator„, cliquez sur „Configurer“ et sélectionnez votre type de smartphone.
4. Un code-barres à six chiffres s’affiche alors à l’écran. Scannez-le à l’aide de l’appareil photo de votre smartphone et cliquez sur l’option „Ajouter un compte„. Saisissez le code affiché dans App dans votre compte Google sur le bureau.
5. Le système 2FA est configuré et prêt à l’emploi.

C’est bon à savoir : Google Authenticator ne fonctionne pas seulement avec votre compte Google ou les services Google, mais peut également être utilisé avec de nombreuses autres applications, comme par exemple Facebook, Dropbox ou différentes solutions de paiement mobile. Pour cela, il faut toutefois que le service concerné prenne en charge la 2FA.

3.2 LastPass Authenticator

LastPass compte parmi les gestionnaires de mots de passe les plus populaires du marché et propose également depuis quelque temps une application d’authentification pratique, le LastPass Authenticator. Pour l’inscription, vous n’avez pas besoin de saisir de code, celle-ci s’effectue en appuyant sur une touche et sur la base d’un message push dans lequel vous sélectionnez les sites web souhaités.

Les inscriptions dites „One-Tap“ fonctionnent dans LastPass lui-même ainsi qu’avec cinq sites web (librement choisis) de fournisseurs tiers, dont par exemple Google, Facebook, Amazon (à l’exception d’AWS) ou Dropbox. Pour utiliser l’OTA, vous devez toutefois disposer d’un compte LastPass (gratuit). En outre, l’extension de navigateur correspondante doit également être installée et activée.

Si vous vous connectez sur un site web compatible, l’extension du navigateur envoie un message push à votre téléphone portable, dans lequel vous confirmez l’inscription du bout du doigt. L’application renvoie ensuite le code d’authentification à cette extension de navigateur. La vidéo suivante montre comment cela fonctionne exactement :

C’est bon à savoir : Les connexions „One-Tab“ sont spécifiques à chaque navigateur. Cela signifie que si vous vous êtes connecté à Chrome, par exemple, vous devrez saisir à nouveau les données de connexion si vous utilisez un autre navigateur (par exemple Microsoft Edge).

3.2 Application d’authentification Authy

L’un des inconvénients du 2FA réside entre autres dans le fait que vous devez réactiver tous les codes d’authentification lorsque vous changez de smartphone. Grâce à Authy, cela est désormais terminé, car l’outil enregistre tous vos tokens dans le cloud. Pour utiliser cette fonction, il vous suffit d’activer la sauvegarde cryptée. Ensuite, les tokens sont enregistrés sur les serveurs d’Authy. Vous pouvez ainsi accéder à vos codes à tout moment lorsque vous vous connectez à une application Authy sur votre smartphone, votre ordinateur ou votre tablette. Les sites web qui supportent le Google Authenticator fonctionnent également avec Authy, ce qui garantit une compatibilité maximale.

Pour créer un nouveau compte Authy, il suffit de scanner le code QR affiché avec la caméra de votre smartphone et de saisir ensuite manuellement la clé d’authentification sur le bureau. Les comptes créés sont clairement affichés en bas de l’écran, ce qui facilite le changement.

Attention : l’accès multiple à vos codes 2FA est certes très pratique en soi, mais il présente aussi un inconvénient majeur. En effet, selon Authy, les sauvegardes sont cryptées à l’aide d’un mot de passe saisi sur le smartphone avant d ‚être transférées vers le cloud. Il s’agit donc de la seule possibilité de décryptage. Si vous oubliez le mot de passe, vous n’avez plus accès à vos codes 2FA et vous êtes donc bloqué d’un seul coup pour tous les comptes. La manière dont vous pourrez récupérer l’accès, et si oui, dépendra alors de la politique de récupération de compte du service concerné.

En outre, Authy permet également de créer des sauvegardes chiffrées dans le cloud et de synchroniser les données sur plusieurs terminaux. L’outil peut être téléchargé gratuitement pour Windows, Apple Mac, Android, iOS et Chrome OS.