L’authentification à deux facteurs (également appelée 2FA ou vérification en deux étapes) oblige les utilisateurs à vérifier leur identité en fournissant deux types d’informations différents avant d’accéder à un compte ou à une application.

Généralement considérée comme plus robuste que les combinaisons traditionnelles de nom d’utilisateur et de mot de passe, l’authentification à deux facteurs agit comme une couche de sécurité supplémentaire et empêche l’accès non autorisé aux détails et ressources sensibles. Mais pourquoi 2FA est-il nécessaire et comment ça marche? Continuez à lire pour le découvrir!

Qu’est-ce que 2FA?

Vous devrez souvent vérifier votre identité avant de vous connecter à un compte ou à une application, de vous connecter à un réseau ou d’accéder à des ressources. Les services avec une authentification simple peuvent ne nécessiter qu’un mot de passe de votre part, mais d’autres peuvent insister pour que vous fournissiez des preuves supplémentaires avant d’accéder.

L’authentification à deux facteurs signifie simplement que deux éléments de preuve sont nécessaires pour vérifier votre identité.

De cette manière, les utilisateurs peuvent confirmer qu’ils sont bien qui ils prétendent être lorsqu’ils tentent d’accéder à un compte, et quiconque d’autre – pirate informatique ou cybercriminels – ne pourra pas jeter un coup d’œil aux informations sensibles sans les preuves supplémentaires requises, car elles incroyablement improbable qu’ils l’aient!

Même si vous n’êtes pas familier avec le fonctionnement interne de l’authentification à deux facteurs, vous l’avez certainement déjà utilisé. Un guichet automatique, par exemple, nécessite deux preuves avant de vous permettre d’effectuer des transactions – à savoir votre carte bancaire et votre code PIN!

Types d’authentification à deux facteurs

Donc, maintenant que nous connaissons ce qu’est l’authentification à deux facteurs (2FA) et la raison pour laquelle elle est utile, examinons comment elle est mise en œuvre.

L’authentification à deux facteurs oblige l’utilisateur à présenter au moins deux éléments de preuve avant d’être autorisé à accéder à une certaine ressource, comme un site Web, une application ou un réseau. Ces preuves sont également connues comme un facteur et elles ont tendance à appartenir à l’une des catégories suivantes:

• Quelque chose que l’utilisateur sait – de loin le facteur le plus populaire, il fait référence à un mot de passe, un code PIN ou tout autre élément de connaissance pouvant être prouvé par l’utilisateur. Les questions de sécurité (comme le classique « Quel est le nom de jeune fille de votre mère? ») Tombent techniquement dans cette catégorie aussi, mais sont considérées comme incroyablement peu sûres, car les pirates pourraient intuitivement ces réponses avec des techniques d’ingénierie sociale.
• Quelque chose que l’utilisateur a – pensez à une clé et à une serrure, et vous comprendrez ce facteur en un instant! L’utilisateur devra garder cet élément spécial sur sa personne à tout moment, et il peut s’agir d’une clé, d’une carte bancaire ou d’une clé USB. Quoi qu’il en soit, il devra se connecter à l’ordinateur pour accéder à des comptes sécurisés. Il est de plus en plus populaire d’utiliser les smartphones en tant que quelque chose de spécial qu’un utilisateur «possède», maintenant, étant donné que nous y sommes collés!
• Quelque chose que l’utilisateur est – ce facteur peut sembler un peu de science-fiction, étant donné qu’il traite des analyses d’empreintes digitales ainsi que de l’iris et de la reconnaissance faciale, mais il ne tire en fait que sur la technologie déjà disponible dans la plupart des téléphones modernes! La biométrie comportementale utilise l’individu lui-même comme facteur.

Il existe aujourd’hui toutes sortes de méthodes d’authentification à deux facteurs, et certaines sont beaucoup plus puissantes que d’autres. Cependant, quelle que soit sa forme, 2FA est forcément plus sûr que de s’appuyer sur un mot de passe. Nous examinerons de plus près les mots de passe un peu plus tard, mais pour l’instant, examinons certains des types les plus courants de 2FA.

SMS

De nos jours, si un service propose une authentification à deux facteurs, ils l’offrent probablement par SMS. SMS 2FA interagit directement avec le téléphone de l’individu, et une fois qu’il a entré un nom d’utilisateur et un mot de passe, lui envoie un code secret unique. Pour accéder à l’application ou au compte, l’individu doit simplement saisir ce code d’accès à usage unique sur le site!

Ces codes de passe en constante évolution offrent une meilleure sécurité que les mots de passe statiques, et il n’est pas nécessaire de s’inquiéter de l’emplacement d’un jeton physique supplémentaire comme un porte-clés.

Cependant, SMS 2FA pose quelques problèmes. Les téléphones sont pratiques, étant donné que nous les utilisons toujours, mais ils peuvent être compromis, et les pirates peuvent toujours utiliser des attaques de phishing pour essayer de collecter le mot de passe à usage unique d’un utilisateur, ainsi que son mot de passe.

Jetons matériels

Bien que cette forme de 2FA soit devenue un peu obsolète ces dernières années, c’est toujours une méthode populaire et utilise des jetons physiques et des codes numériques générés pour sécuriser les comptes et les réseaux privés. Ainsi, si un utilisateur souhaite accéder à un ordinateur sécurisé, il doit regarder son porte-clés et saisir le code qu’il affiche dans l’ordinateur.

Cependant, la création de ces petits jetons est un travail coûteux et il est trop facile de les égarer, ce qui augmente encore les coûts de distribution.

Notifications push

Notification push 2FA élimine le besoin de jetons volumineux et tire parti de la nature omniprésente des téléphones et envoie à l’utilisateur une notification en cas de tentative d’authentification. Ensuite, l’utilisateur regarde les détails et vérifie la tentative avec un robinet.

Comme aucun mot de passe n’est nécessaire ici, la notification push 2FA met un terme aux escroqueries par hameçonnage, et même aux attaques de type « man-in-the-middle ». Il établit simplement une connexion directe de l’application au service 2FA.

Cependant, cette méthode nécessite un accès Internet et nécessite un appareil capable d’installer des applications.

Les mots de passe sont-ils sécurisés?

Les mots de passe sont certainement toujours la norme de sécurité d’aujourd’hui lorsqu’il s’agit de protéger nos comptes, mais il y a un doute quant à savoir s’ils devrait être. D’innombrables violations ont compromis de vastes pans de mots de passe (et les ont même mis en vente avec leurs homologues de messagerie sur le Web sombre), et les utilisateurs se rendent un mauvais service en utilisant des phrases faibles ou en réutilisant les mots de passe sur différents sites et services. C’est le rêve d’un pirate informatique, car ils peuvent simplement saisir ces combinaisons de mots de passe et d’e-mails connus dans des sites Web et vérifier ceux qui fonctionnent.

Les mots de passe sécurisés peuvent être difficiles à mémoriser et c’est pourquoi nous vous recommandons d’utiliser des mots de passe. Consultez notre meilleure page de gestionnaire de mots de passe pour obtenir une liste des meilleurs services et des conseils sur la protection des mots de passe.

Donc, si vous comptez sur un mot de passe pour protéger vos appareils, l’obstacle que les pirates doivent surmonter est assez petit. Pour cette raison, de plus en plus de gens profitent de l’authentification à deux facteurs.