Qu’est-ce que l’authentification à deux facteurs (2FA)?

Des mots de passe forts peuvent vous aider à vous protéger en ligne, mais le 2FA ajoute une couche de sécurité supplémentaire à vos comptes et données

 

Lorsque faille de sécurité informatique en ligne à lieu, il est possible qu’il ait un effet vraiment néfaste sur notre vie, ainsi que la vie de ceux qui vous entourent. Tout au moins, cette faille pourrait signifier qu’une personne ou un groupe organisé accèdent : aux comptes de vos réseaux sociaux. Au pire, cela pourrait aider de fraudeur à pirater votre compte bancaire et voler vos économies, ou des criminels se connectant à la caméra de sécurité intelligente de votre maison pour voir quand vous n’êtes pas chez vous. Des choses effrayantes, mais c’est aussi quelque chose qui pourrait potentiellement être évité avec les bonnes méthodes et outils.

Il y a quelques mois, je donnais des trucs sur la façon de créer des mots de passe forts « en suivant ce lien ». Cette fois, je vais encore plus loin et vous présente l’authentification à deux facteurs (parfois appelée 2FA), un moyen doublement efficace de protéger vos comptes numériques. Découvrez comment un progiciel antivirus peut vous protéger en ligne.

 

Qu’est-ce que 2FA (authentification à deux facteurs) ?

C’est lorsque vous ajoutez une deuxième étape au processus de connexion. Donc, plutôt que de simplement taper votre mot de passe, vous devez également effectuer une deuxième étape. Cela peut être la saisie d’un code qui vous est envoyé par SMS ou généré par une application sur votre téléphone ; cela peut être de brancher une clé de sécurité — une clé USB spéciale — pour confirmer votre identité sur le site Web auquel vous vous connectez, ou cela peut confirmer que c’est vous avec une empreinte digitale ou une analyse de votre visage.

Il existe également une authentification multifacteur (MFA), qui ajoute une couche supplémentaire au processus de connexion, mais 2FA est de loin la plus couramment utilisé et largement disponible, et c’est l’objectif de vous expliquer ce qu’elle fait dans cet article.

Pourquoi devrais-je activer 2FA pour mes connexions et comptes en ligne ?

Si je pouvais suggérer une seule chose à vous conseiller pour protéger vos comptes, ce serait d’activer 2FA partout où vous le pouvez. Il arrêtera la plupart des tentatives de piratage, car le deuxième facteur dépend de quelque chose qui vous accompagne : votre téléphone, votre empreinte digitale, votre visage ou votre clé de sécurité.

Notez qu’il n’est pas complètement impossible de pirater 2FA, mais cela empêchera la plupart des tentatives. Il est particulièrement important de l’activer pour tout compte où vous avez stocké des informations de paiement.

Puis-je activer 2FA sur chaque site Web, applications et services numériques ?

Malheureusement non, la plupart des marques bien connues avec des millions de clients, telles que Cosctco et Netflix, n’offrent actuellement pas 2FA mais devraient le faire.

Les sites Web populaires qui ont stocké les détails de vos cartes et les comptes de messagerie et de médias sociaux qui contiennent probablement un trésor de données personnelles devraient être une priorité. Par exemple, Uber vous permet d’activer la vérification en deux étapes via « Sécurité » dans votre compte.

Courriel

Votre courriel est l’un des services les plus importants à sécuriser avec 2FA : c’est la passerelle vers tous vos autres comptes en ligne. Un pirate entrant dans votre compte de messagerie peut provoquer des ravages.

Tous les principaux fournisseurs de services de messagerie, notamment AOL, Gmail, Outlook, Yahoo et Zoho, proposent une authentification à deux facteurs. Certains vous permettent de vous authentifier par SMS « texto », appel téléphonique ou autre compte de messagerie vérifié. Cette fonction se trouve généralement dans la section sécurité des paramètres de votre compte.

Réseaux sociaux

Les sites de réseaux sociaux, tels que Facebook, Instagram, LinkedIn, Snapchat et Twitter, proposent 2FA pour essayer d’empêcher les pirates d’accéder à vos comptes. Il y a toutes sortes de risques si quelqu’un pirate votre compte, notamment en détournant votre profil pour vous usurper votre identité et en contactant vos amis ou votre famille pour demander de l’argent, ou en collectant des informations personnelles pour créer un profil détaillé de vous, pour commettre une fraude.

Si le site Web ou le service que vous utilisez n’offre pas 2FA, assurez-vous d’avoir au moins un mot de passe fort. Assurez-vous également que votre mot de passe est unique — c’est-à-dire qu’il n’est utilisé pour aucun autre de vos comptes en ligne ni une variante de ceux-ci. Quelques recommandations pour mettre vos mots de passe sécuritaires et forts.

J’ajouterais que si vous êtes un entrepreneur en plus d’avoir une couche supplémentaire 2FA vous vous devez d’avoir des comptes courriel différents pour chacun de vos réseaux sociaux !

Services bancaires

En ce qui concerne les services bancaires en ligne, à partir de mars 2020, les banques devront avoir introduit une approche multicouche de la connexion, dans le cadre de la nouvelle règlementation « d’authentification forte du client ». Certaines banques le font depuis un certain temps, tandis que d’autres accusent un retard honteux. Pour que cela fonctionne, vous devez avoir configuré un appareil autorisé ou fourni un numéro de téléphone portable à jour. *Mise à jour au Canada 29 aout 2020 : Les grandes banques du Canada n’ont toujours pas mis en place des 2FA.

Le 2FA peut-il être compromis ?

Oui, il peut. Cela se produit le plus souvent via ce que l’on appelle une attaque par échange de SIM. C’est là qu’un criminel convainc votre fournisseur de téléphonie mobile de lui donner une carte SIM à votre nom et avec votre numéro de téléphone mobile afin qu’il obtienne tous vos codes 2FA sur les sites Web. Les codes SMS pourraient également être volés lors d’un vol à main armé. Les SMS ne sont pas cryptés et peuvent donc être interceptés lorsqu’envoyés sur votre téléphone.

Si vous utilisez la biométrie comme deuxième facteur — la reconnaissance faciale ou une empreinte digitale — une personne avec vous pourrait accéder rapidement et facilement à vos comptes. Cela pourrait être une agression armée ou une extorsion, mais il pourrait aussi s’agir d’un fonctionnaire à la frontière, tenant simplement votre téléphone face à votre visage, ou même votre enfant tenant votre téléphone à votre insu pendant que vous dormez pour acheter des choses en ligne.

C’est pourquoi les experts en sécurité mettent en garde contre l’utilisation de SMS ou de la biométrie pour 2FA et recommandent plutôt d’utiliser une application d’authentification telle que Microsoft Authenticator ou Authy, qui génère les codes sur votre téléphone, ou une clé de sécurité telle qu’un Yubikey.

Est-ce qu’un mot de passe fort fera l’affaire tout seul ? Un mot de passe fort et unique est meilleur qu’un mot de passe faible pour protéger vos comptes, mais l’ajout du deuxième facteur donne une couche de protection supplémentaire et une plus grande tranquillité d’esprit. Google Authentificator n’est pas recommandé, car depuis 2018 il a une faille que j’ai personnellement vérifiée qui permet de faire une capture d’écran quand l’application fonctionne.