L’authentification à deux facteurs (2FA) démystifiée

Introduction

Nous avons tous vu les manchettes des dernières années. De grandes entreprises se font pirater, des brèches de données surviennent chaque jour et les utilisateurs risquent de voir leurs données exposées, souvent en subissant des conséquences financières découlant du manque de sécurité de leurs applications et de leurs logiciels. C’est pourquoi il est essentiel de bien comprendre des technologies comme l’authentification à deux facteurs.

L’authentification à deux facteurs (souvent abrégée en 2FA) est l’une des méthodes de sécurité les plus courantes pour vérifier l’identité d’un utilisateur en recourant, comme son nom l’indique, à deux facteurs distincts dans le processus d’authentification. L’authentification à deux facteurs est une mesure de sécurité très importante qui empêche les utilisateurs non autorisés d’accéder à un système ou à des renseignements sensibles.

Alors que les entreprises, leur personnel et les consommateurs dépendent de plus en plus des technologies numériques et des services en ligne, on ne saurait trop insister sur la nécessité de meilleures méthodes d’authentification comme la 2FA. Cela est d’autant plus vrai que le nombre de brèches de données liées aux mots de passe augmente régulièrement dans tous les secteurs, quelles que soient la taille et la nature de l’organisation.

Ce guide permettra au lecteur de bien comprendre le fonctionnement de la 2FA, son importance et les défis que pose un tel système.

Comprendre l’authentification à deux facteurs

Le terme « facteur » dans l’expression « authentification à deux facteurs » désigne un type précis d’information pouvant servir au processus d’authentification. Pour saisir pleinement ce qu’est l’authentification à deux facteurs, il est utile de savoir d’abord qu’en cybersécurité, les trois principaux facteurs d’authentification sont habituellement classés de la façon suivante :

1. Ce que vous savez (facteurs de connaissance) : il s’agit d’une information mémorisée d’une manière ou d’une autre par l’utilisateur, comme un mot de passe, un NIP, la réponse à une question de sécurité, un schéma ou même une combinaison de couleurs.
2. Ce que vous possédez (facteurs de possession) : ce facteur renvoie davantage à l’idée de posséder physiquement quelque chose (généralement un appareil). Les jetons de sécurité et les codes envoyés par SMS à un téléphone intelligent entrent habituellement dans cette catégorie. On trouve aussi des clés d’authentification spéciales comme les badges, les cartes à puce et les clés USB.
3. Ce que vous êtes (facteurs inhérents) : c’est ce qu’on appelle couramment un facteur biométrique. Les empreintes digitales, la reconnaissance faciale, la reconnaissance vocale et même l’ADN en sont des exemples courants.

En combinant ces différents types de facteurs dans un processus d’authentification, la 2FA offre une couche de sécurité supplémentaire à l’utilisateur final. Avec l’authentification à deux facteurs, il ne suffit plus à un attaquant d’obtenir un mot de passe ou un NIP pour accéder aux renseignements protégés. Quiconque souhaite y parvenir doit également obtenir le second facteur, qui peut être très difficile à se procurer selon la configuration. Il suffit de songer à quel point la 2FA complique toute tentative d’accès à une plateforme protégée, comme un service bancaire en ligne, sans accès physique à la sphère personnelle de la victime.

Mettre en œuvre l’authentification à deux facteurs

Pourquoi mettre en œuvre la 2FA

La plupart des grandes plateformes en ligne rendent aujourd’hui l’activation de la 2FA facultative ou obligatoire pour votre compte. C’est le cas de la majorité des fournisseurs de courriel, des plateformes de médias sociaux, des banques et des institutions financières ainsi que des sites de commerce électronique.

Plusieurs raisons peuvent inciter une entreprise ou toute autre organisation à intégrer l’authentification à deux facteurs à son infrastructure numérique :

1. Adaptation aux menaces : elle demeure efficace face à l’évolution des cybermenaces, ce qui assure une protection continue.
2. Conformité réglementaire : la mise en œuvre de la 2FA aide à respecter les exigences de sécurité du secteur et prévient d’éventuels problèmes juridiques.
3. Défense contre l’hameçonnage : l’authentification à deux facteurs donne à l’organisation l’occasion d’atténuer les risques liés aux mots de passe faibles ou aux mots de passe perdus ou volés.

Comment mettre en œuvre la 2FA

Pour configurer l’authentification à deux facteurs, vous disposerez de plusieurs options.

Code de vérification : Il s’agit de l’une des méthodes les plus couramment mises en œuvre, par message texte ou par courriel. Ce code se compose généralement de six chiffres, n’est valide que pendant une période limitée et n’est pas réutilisable. Cette méthode est très pratique, car elle n’exige aucun matériel ni logiciel externe. Cependant, comme toute autre méthode d’authentification, elle comporte ses vulnérabilités. En particulier, une attaque par échange de carte SIM peut permettre à un attaquant de recevoir les messages textes envoyés à votre numéro une fois qu’il a réussi à accéder à vos messages.

Application d’authentification : Un autre facteur couramment utilisé en 2FA est le recours à une application d’authentification comme Google Authenticator, Microsoft Authenticator ou Duo. Ces applications sont habituellement installées sur votre téléphone et génèrent automatiquement un code de vérification toutes les 60 secondes afin d’empêcher les attaquants d’avoir le temps d’exploiter le système. Cette méthode est plus sûre que la précédente, puisqu’elle n’est pas vulnérable à l’échange de carte SIM, mais elle comporte ses propres faiblesses, à commencer par le téléphone lui-même.

Jetons matériels : Il s’agit généralement de dispositifs physiques pouvant servir de second facteur d’authentification. Ils présentent l’avantage d’être complètement distincts de l’appareil à partir duquel vous tentez de vous connecter et ne sont habituellement pas reliés à Internet. Ces clés sont fréquemment fournies par les entreprises à leurs employés pour accéder à un réseau donné.

Activer l’authentification à deux facteurs

Pour activer l’authentification à deux facteurs, accédez aux paramètres de votre compte et cherchez « authentification à deux facteurs » ou « 2FA » dans le menu. Une fois l’option repérée, suivez les étapes décrites sur le site Web. En général, vous devriez la trouver en cherchant des termes comme « authentification à deux facteurs Twitter », « authentification à deux facteurs Facebook » ou « authentification à deux facteurs Instagram » dans vos paramètres.

La 2FA est recommandée dans la mesure du possible, mais les utilisateurs devraient d’abord protéger les comptes en ligne contenant les données les plus sensibles : services bancaires en ligne, applications de paiement, fournisseurs de soins de santé en ligne et comptes de médias sociaux. Il est également de bonne pratique d’activer l’authentification à deux facteurs sur les sites Web où des données de carte de crédit sont enregistrées, comme les plateformes de commerce électronique.

La plupart des utilisateurs n’aiment pas avoir à configurer leur authentification à deux facteurs, mais il faut comprendre que quelques minutes consacrées à cette configuration peuvent vous épargner plusieurs jours d’efforts pour récupérer un compte compromis — ou pire, tout le processus administratif qu’entraîne un vol d’identité.

Défis et considérations

En cybersécurité, aucune solution ne garantit à elle seule une protection à 100 % contre tous les types d’attaques. De plus, il existe généralement un compromis entre la sécurité et la convivialité, ce qui amène chaque entreprise et chaque utilisateur à retenir une configuration différente, la mieux adaptée à ses besoins particuliers et au contexte de l’authentification.

En ce sens, la 2FA ne se distingue pas des autres systèmes d’authentification : elle rehausse la sécurité tout en présentant un certain nombre de défis et de problèmes dont il faut tenir compte.

• Les utilisateurs n’activent pas la 2FA : Le premier grand défi est la résistance de certains utilisateurs à activer l’authentification à deux facteurs. Cela s’explique surtout par le manque de sensibilisation du grand public à la sécurité des données et par la méconnaissance de la fréquence des brèches de données. Résultat : de nombreux utilisateurs ne l’activent pas, à moins que la plateforme en ligne ou leur employeur ne l’exige explicitement.
• Interopérabilité : Une autre préoccupation majeure tient aux problèmes fréquents de compatibilité entre la plateforme et les appareils (p. ex. les clés de sécurité et les cartes à puce), les applications d’authentification (p. ex. Google Authenticator, Microsoft Authenticator et Duo) ou les autres facteurs utilisés en 2FA.
• Perte du second facteur : Cette méthode d’authentification pose un autre défi, qui apparaît clairement lorsqu’un utilisateur perd l’appareil physique qui génère le second facteur du processus d’authentification. Dans ces situations, il est crucial de disposer d’un système de secours : des codes de récupération — à conserver en lieu sûr et difficile d’accès —, un second appareil pouvant servir de substitut, ou encore une vérification d’identité auprès du fournisseur de services ou de l’administrateur système lorsque c’est possible.
• Le même mot de passe pour les deux facteurs : La 2FA, conçue pour éviter d’utiliser les mots de passe comme méthode d’authentification à facteur unique, repose souvent sur un code envoyé à une adresse de courriel. Il faut souligner que cela peut être très problématique, car le courriel n’est souvent protégé que par un seul mot de passe : dans ces cas, on ne crée qu’une illusion de sécurité pour l’utilisateur final.

Pour surmonter ces défis, il est essentiel que la communauté de la cybersécurité et les grandes entreprises qui établissent les normes réduisent le plus possible la friction pour les utilisateurs finaux. Le compromis entre la sécurité et l’expérience utilisateur subsistera toujours dans une certaine mesure. Néanmoins, dans bien des cas, il peut être atténué par l’innovation et par des solutions créatives qui améliorent la commodité pour l’utilisateur

Sujets avancés sur l’authentification à deux facteurs

Les méthodes d’authentification à deux facteurs sont généralement jugées beaucoup plus sûres que les méthodes traditionnelles que nous utilisons tous depuis des décennies. Toutefois, pour renforcer encore la sécurité — au prix inévitable d’une moindre convivialité — l’authentification multifactorielle (MFA) est une méthode d’authentification capable d’offrir un éventail plus large de fonctions de sécurité. Avec l’authentification multifactorielle, les utilisateurs fournissent plus d’un élément vérifiable, ce qui signifie que les facteurs peuvent être au nombre de trois, de quatre, voire davantage.

À la lumière de cette définition, il est clair que la 2FA peut être considérée comme une forme particulière de MFA, puisqu’elle exige plus d’un facteur pour authentifier. Et comme pour la 2FA, les facteurs utilisés en MFA doivent être de nature différente. Par exemple, vous pourriez avoir besoin d’un nom d’utilisateur et d’un mot de passe, ainsi que d’un porte-clés et d’une empreinte digitale.

L’authentification à deux facteurs est une méthode en constante évolution, la technologie multipliant les possibilités de facteurs plus sûrs et plus faciles à utiliser. L’un des domaines les plus prometteurs en matière d’authentification est la biométrie, qui s’améliore sans cesse et ouvre la voie à de nouveaux produits et à des procédures d’authentification sécurisées.

Un autre domaine où l’on peut s’attendre à voir un large éventail de technologies améliorer l’authentification est ce qu’on appelle l’authentification contextuelle, qui adapte les politiques d’authentification à certains facteurs précis, comme les attributs de connexion et le comportement de l’utilisateur. Par exemple, ces méthodes peuvent ajouter une couche de sécurité en localisant une adresse IP et en bloquant l’accès si celle-ci provient d’un pays figurant sur une liste noire. Les avantages sont considérables, notamment parce que tout se déroule sans que l’utilisateur s’en aperçoive.

Pratiques exemplaires en matière d’authentification à deux facteurs

Les experts du secteur recommandent un certain nombre de pratiques exemplaires aux utilisateurs du monde entier en matière de 2FA. Voici quelques-unes des plus importantes :

Choisir des mots de passe robustes

Si l’un des deux facteurs est un mot de passe, assurez-vous qu’il est robuste. Les meilleurs mots de passe comptent au moins 12 caractères, ne contiennent pas d’expressions courantes comme des titres de chansons ni de renseignements personnels et comprennent idéalement des chiffres et des caractères spéciaux. Un mot de passe faible est l’une des erreurs les plus courantes commises lors de la configuration de l’authentification à deux facteurs.

Gérer les configurations de 2FA

Révisez et gérez régulièrement les configurations et les paramètres de 2FA. Cela comprend, par exemple, l’ajout ou le retrait d’appareils et de comptes, ainsi que la mise à jour des codes de récupération ou de tout autre mécanisme de secours en place.

Activer la 2FA sur tous les comptes

Veillez à activer l’authentification à deux facteurs sur tous vos comptes. Il est utile d’en faire une règle générale plutôt que de décider au cas par cas. Autrement dit, des comptes de médias sociaux aux services bancaires en ligne, prenez simplement l’habitude d’activer systématiquement la 2FA. C’est facile : cherchez des termes comme « authentification à deux facteurs Twitter », « authentification à deux facteurs Facebook » ou « authentification à deux facteurs Instagram » dans vos paramètres.

Surveiller l’activité des comptes

Lorsque c’est possible, surveillez l’activité de vos comptes et activez les notifications pour toutes les tentatives de connexion, en particulier celles qui sont suspectes.

Conclusion

Le monde s’éloigne peu à peu de l’authentification à facteur unique et toutes les grandes plateformes proposent la 2FA en option. Nous avons souligné à quel point elle est importante pour empêcher les pirates d’accéder à nos données personnelles, comme les renseignements de carte de crédit et les numéros d’assurance sociale, lorsqu’une brèche de données survient.

Il ne s’agit pas d’une méthode d’authentification parfaite ni d’une solution universelle : dans bien des cas, la protection qu’elle offre pourrait s’avérer insuffisante compte tenu de la valeur de l’information ou de l’importance du réseau auquel on tente d’accéder. L’inverse est vrai également : la 2FA peut représenter une contrainte excessive lorsque les données ont peu de valeur.

Par ailleurs, la 2FA est aussi un terme générique qui recouvre tout un éventail de combinaisons de facteurs, plus ou moins sûres. On peut avoir des configurations très différentes qui correspondent toutes à la définition de l’authentification à deux facteurs, mais dont les niveaux de sécurité varient grandement.

Il n’en demeure pas moins qu’il est généralement recommandé à la plupart des entreprises et des organisations de mettre en place un système de 2FA, puisqu’il offre habituellement un bon compromis entre la sécurité et l’expérience utilisateur, et qu’il est nettement plus sûr que l’authentification à facteur unique et les méthodes fondées sur les mots de passe auxquelles nous sommes tous habitués.

Les organisations qui souhaitent renforcer leur sécurité devraient envisager des solutions MFA de nouvelle génération. Multi-Pass est un passeport biométrique universel qui offre un niveau de sécurité élevé et une grande facilité d’accès pour les employés et les clients. Contrairement aux méthodes traditionnelles d’authentification à deux facteurs qui exigent des mots de passe, Multi-Pass s’appuie uniquement sur des facteurs sans mot de passe comme les cartes à puce, la cryptographie et les données biométriques. Multi-Pass procure une expérience utilisateur et une sécurité nettement supérieures à celles des méthodes 2FA classiques. Mises au point par KZero Passwordless, les clés de sécurité avancées utilisées par Multi-Pass permettent une authentification fluide, sans port USB ni saisie manuelle de code. Il en résulte un équilibre optimal entre un accès convivial et une protection robuste de l’infrastructure informatique de l’entreprise.

Mark Furfaro



Mark s’est joint à KZero Passwordless en 2019 et travaille actuellement au sein de notre équipe des opérations de revenus. À ce titre, il est chargé d’harmoniser les ventes, le marketing et les opérations stratégiques de KZero Passwordless afin de stimuler la croissance par l’efficacité opérationnelle.