Authentification double : une couche de sécurité supplémentaire indispensable

Résumé

L’authentification à deux facteurs (2FA) — également appelée authentification double — renforce la sécurité des comptes en exigeant que les utilisateurs vérifient leur identité à l’aide de deux facteurs distincts : quelque chose qu’ils connaissent (comme un mot de passe), quelque chose qu’ils possèdent (comme un téléphone ou un jeton matériel), ou quelque chose qui les caractérise (comme une empreinte digitale). Comme les mots de passe seuls peuvent facilement être volés, devinés ou réutilisés, ajouter une seconde couche réduit considérablement le risque d’accès non autorisé. Les principales plateformes telles que Google, Apple et Microsoft s’appuient déjà sur l’authentification à deux facteurs, et le secteur évolue vers des méthodes d’authentification multifacteur encore plus robustes et sans mot de passe.

Comprendre l’authentification à deux facteurs et la sécurité des comptes

La double authentification, également appelée authentification à deux facteurs (2FA) ou 2FA, peut renforcer la sécurité en ligne en exigeant plus qu’un simple mot de passe pour accéder à un service. 

La cybersécurité prend une importance croissante à mesure que nos vies se déplacent de plus en plus vers le monde numérique. Les données et informations sensibles peuvent facilement être la cible de cybercriminels malveillants et d’acteurs malintentionnés. 

L’authentification à deux facteurs nécessite l’utilisation d’une méthode d’authentification supplémentaire avec vos identifiants de connexion, généralement un facteur biométrique ou un jeton de sécurité. Cette couche de sécurité supplémentaire peut compliquer l’accès à vos comptes et à vos informations pour les personnes non autorisées. 

L’authentification à deux facteurs permet de mieux contrôler l’accès aux systèmes sensibles et aux données confidentielles.

Qu’est-ce que la double authentification ?

En résumé, l’authentification à deux facteurs utilise deux méthodes d’ authentification pour vérifier l’ identité. En plus de l’authentification à deux facteurs et de 2FA, on parle parfois aussi de vérification en deux étapes et de authentification à deux facteurs. 

Il s’agit d’une avancée, par rapport à l’authentification à facteur unique (SFA), qui permet d’accéder à un système ou à un compte uniquement avec un identifiant et un mot de passe. Les identifiants de connexion peuvent être compromis, piratés ou volés. Par conséquent, les méthodes d’authentification multifacteur (MFA) qui exigent plus d’une forme d’autorisation offrent une sécurité renforcée.

L’authentification à deux facteurs nécessite l’utilisation de deux des trois facteurs reconnus pour la vérification de l’identité :

• Quelque chose que vous connaissez, généralement un mot de passe ou un code d’identification personnel (PIN)
• Quelque chose que vous possédez, comme un téléphone portable, une carte bancaire ou un jeton matériel
• Un élément qui vous est propre, tel qu’un marqueur biométrique comme une empreinte digitale ou une reconnaissance faciale

Les méthodes d’authentification doubles utilisent deux de ces facteurs d’authentification pour accéder à un système ou à un service. 

Comment fonctionne la double authentification ?

Pour utiliser l’authentification à deux facteurs, un utilisateur doit fournir deux facteurs d’autorisation, chacun devant appartenir à une catégorie différente. 

Par exemple, un mot de passe et la réponse à une question secrète sont tous deux considérés comme des facteurs d'authentification basés sur la connaissance et ne constituent donc pas deux méthodes d'authentification à deux facteurs. Vous devrez plutôt saisir un mot de passe, puis un second facteur, tel qu’une empreinte digitale, pour accéder au service et vérifier votre identité.

Chaque fournisseur ou application peut proposer une méthode différente pour activer l’authentification à deux facteurs, mais le processus général en plusieurs étapes se présente ainsi :

1. L’application ou le site web invite l’utilisateur à saisir ses identifiants de connexion.
2. L’utilisateur saisit des facteurs de connaissance, généralement un nom d’utilisateur et un mot de passe.
3. Si un mot de passe n’est pas requis, le site utilise souvent une clé de sécurité unique qui est validée et authentifiée par le serveur du site.
4. Le site web ou l’application demandera ensuite la seconde forme d’authentification lors d’une deuxième étape de connexion.
5. L'utilisateur fournira un élément en sa possession, qui peut inclure une reconnaissance faciale, une empreinte digitale, une carte d'identité, un jeton de sécurité ou un smartphone.
6. Un utilisateur peut être invité à saisir un code à usage unique généré lors de l’étape précédente sur l’appareil qu’il a spécifié.
7. Les deux facteurs d’authentification sont vérifiés et l’accès est accordé.

Une personne utilisatrice devra être en mesure de fournir les deux formes d’authentification pour accéder au service ou au produit, de sorte que, même si l’une d’elles est compromise, l’accès reste sécurisé.

Pourquoi les mots de passe représentent-ils un risque de sécurité ?

Les mots de passe représentent la forme de sécurité la moins fiable pour diverses raisons. Avec des cybercriminels de plus en plus sophistiqués et des méthodes de piratage en constante évolution, il existe un besoin fondamental de systèmes et de comptes plus sécurisés. 

L'une des formes de cybercriminalité les plus courantes en 2020, selon le Federal Bureau of Investigation (FBI), était les attaques de phishing. Une attaque de phishing permet d’accéder aux identifiants de connexion d’un utilisateur, y compris ses mots de passe, et donne ainsi accès à des données et informations privilégiées.

Les mots de passe constituent une méthode d’authentification des utilisateurs peu fiable pour les raisons suivantes :

• Nature humaine : Il est prouvé que les mots de passe simples et faciles à mémoriser sont également faciles à deviner et donc à voler, mais les personnes utilisatrices continuent de privilégier ce qu’elles peuvent retenir. Les mots de passe sont souvent trop simples ou stockés à des endroits faciles à trouver — une solution pratique pour les personnes utilisatrices, mais tout aussi accessible pour des personnes non autorisées.  
• Utilisation généralisée : Souvent, dans le but de simplifier les choses, une personne utilisera le même mot de passe ou une combinaison de mots de passe sur différentes plateformes et comptes. Cela facilite l’accès des hackers à une grande partie de l’empreinte numérique d’une personne en cas de vol d’un seul mot de passe.  
• Changement trop peu fréquent : Pour renforcer la sécurité, les mots de passe doivent être modifiés régulièrement afin de limiter les risques de compromission ou de piratage. La plupart du temps, les utilisateurs ne franchiront pas cette étape.  
• Fatigue liée aux mots de passe : les utilisateurs et utilisatrices commencent souvent avec de bonnes intentions en choisissant des mots de passe sécurisés et en les modifiant régulièrement, mais il peut être difficile de suivre le rythme avec autant de mots de passe à changer. Un utilisateur revient souvent à un mot de passe faible.  
• Stockage non sécurisé : Les mots de passe peuvent être conservés dans des emplacements numériques ou physiques qui ne sont pas sécurisés. Ainsi, même si le mot de passe est robuste, il reste vulnérable au vol.

Quelle est l’ampleur de la fraude liée aux mots de passe ?

La FTC (Federal Trade Commission) a reçu bien plus de 2 millions de signalements de fraude en 2020, pour des pertes approchant 3,5 milliards de dollars. 

L’erreur humaine compte parmi les causes les plus fréquentes de fraude en ligne et de cybercriminalité, offrant aux personnes malveillantes un accès à des informations sensibles et confidentielles. Les mots de passe font partie des éléments les plus simples qu’un acteur malveillant puisse voler, imiter, deviner, ou compromettre lors d’une brèche. Pour cette raison, elles ne doivent pas être utilisées comme méthode principale ou exclusive pour protéger les données sur Internet.

Types de produits de double authentification

Il existe deux grandes catégories de produits d’authentification à double facteur : les tokens que les utilisateurs reçoivent lors de la connexion, et les logiciels ou infrastructures qui reconnaissent et authentifient les utilisateurs en fonction de l’utilisation correcte du token. 

De nombreux types de services et d’appareils peuvent mettre en œuvre l’authentification à deux facteurs. Un token d’authentification peut être intégré dans un logiciel ou des applications, ou il peut s’agir d’un petit dispositif matériel physique.

Voici quelques exemples courants de produits d’authentification à deux facteurs :

• token matériel : il s’agit d’un véritable équipement physique, généralement un porte-clés, une carte d’identification ou un petit dispositif USB (Universal Serial Bus). Le processus d’authentification à deux facteurs lit soit le code directement sur l’appareil, soit l’utilisateur saisit le code unique provenant du jeton.  
• Tokens logiciels : ce mécanisme utilise un mot de passe à usage unique basé sur le temps, généré par un logiciel, que l’on appelle souvent un token logiciel. Avec les tokens logiciels, les utilisateurs doivent généralement commencer par télécharger et installer une application nécessaire à cette méthode d’authentification. Après la connexion initiale, un code est généré et affiché dans l’application sur le même appareil, renforçant ainsi la sécurité.  
• Basé sur le service de messages courts (SMS) : avec cette forme de double authentification, après que l’utilisateur a saisi un nom d’utilisateur et un mot de passe, l’application ou le site web envoie un code à usage unique (OTP) sur le téléphone de l’utilisateur par SMS. L’utilisateur est ensuite invité à saisir le code pour accéder. L’authentification à deux facteurs par la voix utilise une technologie similaire, mais elle transmet un code verbal au lieu d’un SMS.  
• Notifications push : une forme plus avancée de double authentification consiste à envoyer des notifications push directement aux personnes qui tentent d’accéder aux sites web et aux applications. Dès réception, la personne détentrice de l’appareil peut approuver ou refuser l’accès d’un simple geste, sans avoir à saisir un code complet dans le système.  

Ceci s’applique uniquement aux appareils connectés à Internet et capables de télécharger des applications. Ils sont conviviaux et très sécurisés.  

• Biométrie : L’utilisation de données biologiques et personnelles, telles que les empreintes digitales, les scans rétiniens et la reconnaissance faciale, peut servir de méthode d’authentification à deux facteurs. Une personne utilisera le lecteur d’empreintes digitales intégré pour scanner son empreinte ou la caméra de l’appareil pour l’autorisation.

Qui utilise l’authentification à deux facteurs ?

De nombreux sites web et applications, ainsi que des entreprises et des organisations, s’appuient sur l’authentification à deux facteurs pour renforcer la sécurité de leurs systèmes et services. 

Souvent, un utilisateur devra activer ou configurer l’authentification à deux facteurs pour pouvoir l’utiliser. La plupart des fournisseurs de services en ligne, de nombreux sites web et des applications proposent tous l’option d’authentification à deux facteurs. 

Voici des exemples de grandes entreprises qui utilisent l’authentification à deux facteurs :

Les entreprises et les organisations exigent souvent une authentification à deux facteurs pour accéder à des plateformes et des bases de données sécurisées. Ils peuvent exiger l’utilisation d’un token matériel ou de la biométrie en complément des identifiants de connexion. 

Les plateformes en ligne, y compris les applications et les sites web, mettent également en place deux facteurs d’authentification pour renforcer la sécurité.

Comment fonctionne l’authentification à deux facteurs sur les plateformes mobiles ?

Le monde devient chaque jour un peu plus numérique. Par conséquent, une grande partie du processus de vérification d’authentification s’effectue sur des plateformes mobiles. 

Comment les smartphones permettent-ils l’authentification à deux facteurs ?

L’authentification à deux facteurs utilise souvent un smartphone, par exemple, qui intègre généralement des fonctionnalités biométriques. Un smartphone peut généralement lire les empreintes digitales, prendre des photos et scanner votre visage pour la reconnaissance faciale.

Les téléphones peuvent envoyer et recevoir des messages texte, et ils peuvent être utilisés pour l’authentification à deux facteurs par SMS ainsi que pour des facteurs d’authentification basés sur la voix. Les smartphones suivent souvent la localisation via le système de positionnement global (GPS), ce qui peut servir à vérifier l’identité de l’utilisateur et à mettre en place une authentification à deux facteurs (2FA) fondée sur ses informations. Les terminaux mobiles peuvent également envoyer et recevoir des notifications push que l’utilisateur peut recevoir en déplacement.

À quoi ressemblera l'avenir de l'authentification ?

À mesure que la cybersécurité prend une importance et une place croissantes, les méthodes d’authentification et de vérification de l’identité deviennent encore plus essentielles. 

Comment l’authentification multifacteur évolue-t-elle au-delà des mots de passe ?

L’utilisation des mots de passe reste l’un des facteurs d’authentification les plus courants aujourd’hui, mais elle est aussi la moins sécurisée. Les entreprises et les services adoptent des modèles d’authentification à deux facteurs au minimum. Beaucoup commencent au moins à envisager l’authentification multifacteur (MFA), qui peut exiger les trois types d’authentification.

Quel rôle jouent la biométrie et les signaux comportementaux ?

Cela peut signifier qu’en plus d’un mot de passe et d’un nom d’utilisateur, un utilisateur devra également utiliser un jeton physique et un identifiant biométrique. L’authentification biométrique s’étend également à l’utilisation d’identifiants biométriques capables d’analyser la vitesse de frappe et la manière dont une personne utilise l’appareil, l’écran tactile ou la souris, y compris la durée des frappes et les modèles de navigation sur les sites web. 

Les êtres humains sont naturellement des êtres d’habitude, et les identifiants biométriques peuvent aider à déterminer si un utilisateur est bien celui qu’il prétend être. Des facteurs tels que le type d’appareil, l’heure d’accès aux services et la géolocalisation peuvent également être utilisés comme facteurs d’authentification.

Les entreprises explorent également des fonctionnalités d’authentification sans mot de passe qui peuvent contribuer à maintenir la sécurité informatique tout en supprimant la nécessité pour les utilisateurs de saisir un mot de passe non sécurisé. Blockchain, les principes de sécurité Zero Trust, l’identité décentralisée et l’identité auto-souveraine sont autant d’options à envisager qui ne nécessitent pas de mots de passe tout en permettant à l’entreprise de garder la maîtrise du processus de connexion.

Quelles applications d’authentificateur prennent en charge l’authentification à deux facteurs ?

Sur une plateforme mobile, la double authentification nécessite souvent l’utilisation d’une application d’authentificateur. Ces applications sont gratuites et téléchargées sur un appareil connecté à Internet. 

Lorsque vous êtes invité à saisir un jeton logiciel, l’application d’authentificateur génère le code ou la notification push. Voici quelques exemples :

• Google Authenticator
• Microsoft Authenticator
• Authentificateur Battle.net de Blizzard
• OneAuth de Zoho
• LastPass Authenticator

L’authentification à deux facteurs offre une sécurité renforcée et un niveau de confiance supérieur en matière de confidentialité et de protection de la vie privée. Bien que l’utilisation d’au moins deux formes d’authentification implique une étape supplémentaire, les processus évoluent vers des expériences encore plus fluides et conviviales grâce aux plateformes mobiles.

Foire aux questions (FAQ)

Quelle est la différence entre l’authentification à deux facteurs et l’authentification multifacteur (MFA) ?

L’authentification double, ou authentification à deux facteurs (2FA), exige exactement deux facteurs de vérification issus de catégories différentes. L’authentification multifacteur (MFA) peut exiger les trois types de facteurs reconnus : quelque chose que vous connaissez, quelque chose que vous possédez et quelque chose qui vous caractérise, ce qui en fait un modèle de sécurité encore plus robuste.

Pourquoi un mot de passe seul n'est-il pas considéré comme sécurisé ?

Les mots de passe présentent plusieurs vulnérabilités : les utilisateurs ont tendance à choisir des mots de passe simples et faciles à deviner, à les réutiliser sur différents comptes, à les modifier rarement et parfois à les stocker de manière non sécurisée. Ces habitudes font des mots de passe l’un des identifiants les plus faciles à dérober ou à exploiter pour les cybercriminels.

La double authentification empêche-t-elle totalement l’accès non autorisé ?

Bien que la double authentification réduise considérablement le risque d’accès non autorisé, elle n’est pas totalement infaillible. Cependant, comme les deux facteurs doivent être compromis en même temps, il est bien plus difficile pour un acteur malveillant d’obtenir un accès, même si un facteur — comme un mot de passe — est volé.

Quelle est la différence entre un token matériel et un token logiciel ?

Un token matériel est un dispositif physique, tel qu’un porte-clés ou un appareil USB, qui génère ou stocke un code d’authentification. Un token logiciel, souvent appelé « soft token », utilise une application sur un terminal mobile pour générer un mot de passe à usage unique à durée limitée (TOTP), supprimant ainsi la nécessité d’un terminal physique distinct.

Comment fonctionne l’authentification à deux facteurs basée sur le service de messages courts (SMS) ?

Après que l’utilisateur a saisi son nom d’utilisateur et son mot de passe, l’application envoie un code à usage unique (OTP) au numéro de téléphone enregistré de l’utilisateur par SMS. L’utilisateur saisit ensuite ce code pour finaliser la procédure de connexion. L’authentification à deux facteurs par la voix fonctionne de manière similaire, mais le code est transmis sous forme de message vocal.

Qu’est-ce que l’authentification sans mot de passe et quel est son lien avec l’authentification à deux facteurs ?

L’authentification sans mot de passe élimine totalement le mot de passe traditionnel, et repose à la place sur d’autres méthodes de vérification telles que la biométrie, les jetons matériels ou les clés cryptographiques. Elle s’appuie sur les principes de l’authentification à deux facteurs en supprimant le facteur le plus faible, à savoir le mot de passe, tout en maintenant une vérification d’identité robuste grâce aux facteurs restants.

Références

Le FBI publie le rapport 2020 Internet Crime Report du Centre de plaintes pour les crimes sur Internet, incluant les statistiques sur les escroqueries liées à la COVID-19. (Mars 2021). Bureau fédéral d'investigation (FBI).

De nouvelles données révèlent que la FTC a reçu 2,2 millions de signalements de fraude de la part des consommateurs en 2020. (Février 2021). Commission fédérale du commerce (FTC).

Qu’est-ce que la vérification en deux étapes ? (2022). Amazon.com, Inc.

Authentification à deux facteurs pour Apple ID. (2022) Apple, Inc.

Qu’est-ce que l’authentification à deux facteurs et comment fonctionne-t-elle sur Facebook ? (2022). Meta.

Comment activer la vérification en deux étapes. Dropbox.

Protection de votre compte par authentification à deux facteurs. (2021), Dashlane, Inc.

Vérification en 2 étapes Google. Google.

Qu’est-ce que l’authentification à deux facteurs et comment fonctionne-t-elle sur Instagram ? (2022). Meta.

Comment utiliser la vérification en deux étapes avec votre compte Microsoft. (2022). Microsoft.

Centre de sécurité de la banque en ligne. (2021), Bank of America Corporation.

Sécurité de votre compte avec l’authentification à deux facteurs (2FA) (2022). GitHub, Inc.

Accès sécurisé sans CAC avec authentification multifacteur (MFA). (juin 2021). Activité éducative du département de la Défense (DODEA).

Comment activer ou désactiver la vérification en deux étapes pour la connexion au compte PayPal ? (2022). PayPal.

Google Authenticator. (2022). Google.

Microsoft Authenticator. (2022). Microsoft.

Authentificateur Battle.net. (2022). Blizzard Entertainment, Inc.

Protégez vos comptes en ligne avec Zoho OneAuth. (2022). Zoho Corporation. 

La seule application authentificateur dont vous avez besoin. LastPass.