Dans le contexte: Microsoft fait pression pour de nouvelles normes de sécurité depuis des années. Récemment, la société a intensifié ses efforts pour supprimer les mots de passe, et maintenant, le directeur de la sécurité des identités, Alex Weinert, exhorte le public à rester à l’écart des méthodes traditionnelles d’authentification à deux facteurs par SMS.
Avant d’aller plus loin, clarifions une chose: certains l’authentification à deux facteurs, même par SMS, est de loin, bien meilleure que non 2FA. Se fier uniquement à votre mot de passe est une entreprise risquée, surtout si vous réutilisez le même mot de passe sur plusieurs sites Web ou services.
Cependant, parmi les nombreuses options 2FA disponibles pour les utilisateurs de nos jours, l’authentification par téléphone est la moins sécurisée, selon Weinert. Premièrement, dit-il, bon nombre des tactiques utilisées par les pirates pour exposer les mots de passe qui ne sont pas protégés par un authentificateur, comme le vol d’appareils, la «prise de contrôle de compte» et l’ingénierie sociale, fonctionnent toujours avec l’authentification multifacteur basée sur SMS. En d’autres termes, il a quelques avantages uniques.
Qu’est-ce que c’est Est-ce que ont, dit Weinert, sont plusieurs disavantages. Pour commencer, le 2FA basé sur SMS n’est pas «adaptable». Parce qu’il n’est pas basé sur un logiciel, il ne peut pas changer en réponse aux nouvelles stratégies de piratage, aux progrès technologiques ou aux «attentes en matière d’expérience utilisateur». C’est toujours la meme chose.
Plus important encore, les protocoles SMS et vocaux sont transmis «en clair», ce qui signifie que tout attaquant «déterminé» peut intercepter les messages 2FA et les appels téléphoniques pour faire glisser vos codes de connexion.
« Malheureusement, les agents du service client sont vulnérables au charme, à la coercition, à la corruption ou à l’extorsion. »
Weinert pense également que le 2FA basé sur SMS est la méthode MFA la plus simple pour l’ingénierie sociale. « Malheureusement, les agents du support client sont vulnérables au charme, à la coercition, à la corruption ou à l’extorsion », écrit-il. « Si ces efforts d’ingénierie sociale réussissent, le support client peut fournir un accès au SMS ou au canal vocal. »
Les solutions basées sur les applications comme Authy, ou même les méthodes MFA matérielles comme les clés de sécurité, sont toutes deux immunisées contre l’ingénierie sociale: vous êtes le seul à avoir accès aux codes générés par ces applications et elles s’actualisent très rapidement (souvent en 15 à 30 secondes) .
Weinert expose un certain nombre d’autres raisons d’envisager de passer du 2FA basé sur les SMS, mais nous avons couvert les plus importantes ici. Naturellement, vers la fin de son message, il recommande Authentificateur Microsoft à tous ceux qui recherchent une application MFA.
Cependant, si vous ne souhaitez pas utiliser le service de Microsoft, il existe d’autres options: Google Authenticator et Authy sont deux excellentes alternatives, et ce dernier propose une version de bureau.
Crédit d’image: Golubovystock
