MDP & 2FA

En atten­dant la sup­pres­sion pure et simple des mots de passe (sur laquelle Google, Apple & Cie sont en train de bos­ser), le moyen le plus sûr pour un site de véri­fier notre iden­ti­té est « l’authentification à deux fac­teurs » dont le prin­cipe est d’a­jou­ter au mode de connec­tion par mot de passe une 2ème confir­ma­tion, par une autre méthode.
La plus répan­due est le sms qu’on nous envoie, conte­nant un code unique qu’il faut taper sur le site où l’on est en train de faire un achat, par exemple, ou pour se connec­ter à sa banque.
D’autres moyens existent, plus sûrs : ça pour­rait être par un lec­teur d’empreinte digi­tale ou une empreinte réti­nienne via une web­cam, ou par une appli­ca­tion dédiée — la solu­tion expli­quée ci-des­sous.
Le site qui demande cette 2ème authen­ti­fi­ca­tion est connec­té en même temps aux 2 appa­reils (ou aux 2 applis, si c’est sur le même appa­reil, en l’oc­cur­rence un navi­ga­teur et l’ap­pli de géné­ra­tion du code) ; il y a ain­si peu de risques qu’un pirate ait accès aux 2 sources de confir­ma­tions en même temps (c’est évi­dem­ment plus sûr s’il s’a­git de 2 appa­reils distincts).

L’ap­pli­ca­tion 2FA peut être ins­tal­lée sur un ordi­na­teur ou un smart­phone : lors­qu’on la lance, elle affiche un code qui n’est valable que pen­dant un laps de temps limi­té — exac­te­ment comme celui qu’on rece­vrait par sms.
Le navi­ga­teur gar­de­ra dans ses cookies l’au­to­ri­sa­tion de connexion et la 2FA ne sera plus néces­saire sur ce navi­ga­teur ou sur cet appareil.

Ça existe depuis belle lurette mais ça me parais­sait bien com­pli­qué jusqu’à ce que je me décide à tes­ter, et au final c’est assez facile (je l’utilise main­te­nant depuis des années sur Ama­zon, Face­book et Pay­pal, entre autres — ça se règle dans les pré­fé­rences du compte).
Seul bémol, bien qu’un des sys­tèmes les plus sûrs actuel­le­ment, c’est encore assez peu uti­li­sé en France (aucune banque !!!)
Le site sui­vant réper­to­rie les sites uti­li­sant la 2FA : https://​2fa​.direc​to​ry/​fr/ (tapez le nom du site qui vous inté­resse pour voir s’il y est)
Je vous ren­voie à cet article pour les détails : https://​www​.clu​bic​.com/​a​n​t​i​v​i​r​u​s​-​s​e​c​u​r​i​t​e​-​i​n​f​o​r​m​a​t​i​q​u​e​/​a​c​t​u​a​l​i​t​e​-​8​5​3​7​3​5​-​a​u​t​h​e​n​t​i​f​i​c​a​t​i​o​n​-​d​o​u​b​l​e​-​f​a​c​t​e​u​r​-​e​x​p​l​i​q​u​e​e​.​h​tml
Le site sui­vant (en anglais) liste les appli­ca­tions uti­li­sables sur Mac, Android, etc. J’utilise Authy, facile, gra­tis et effi­cace : https://​7labs​.io/​t​i​p​s​-​t​r​i​c​k​s​/​g​o​o​g​l​e​-​a​u​t​h​e​n​t​i​c​a​t​o​r​-​2​f​a​-​o​n​-​p​c​-​m​a​c​-​i​o​s​-​a​n​d​r​o​i​d​.​h​tml
N.B. 03/​2024 : Authy aban­donne les applis de bureau (PC, Mac et Linux) ! Si on ne sou­haite pas uti­li­ser de smart­phone, il existe des alter­na­tives dont une exten­sion de navi­ga­teur (https://​authen​ti​ca​tor​.cc/) ou un ges­tion­naire de mdp (le gra­tuit https://​kee​passxc​.org/, par exemple).

Vraiment sûr ?

La ques­tion est légi­time : que se passe-t-il si je perds mon smart­phone avec mon appli 2FA des­sus ? Ou si mon ordi tombe en panne ?
Dans le cas d’Au­thy, il y a un sytème de sau­ve­garde à acti­ver au préa­lable dans les réglages, qui per­met de récu­pé­rer toutes ses clefs de connexion en réins­tal­lant sim­ple­ment l’ap­pli sur un autre appa­reil. Si qq1 me le demande, j’ex­pli­que­rai la procédure. 😉