Double authentification (2FA) : qu'est-ce que c'est et pourquoi l'activer ?

Avec l'avènement du numérique, la protection des données personnelles sur tous les sites est une des préoccupations primaires. En effet, le verrouillage par un simple mot de passe n'est plus suffisant pour assurer la sécurité complète des données face à des pirates toujours plus performants et ingénieux. C'est pour cela que l'authentification à double facteur, aussi appelée authentification 2FA, a été créée et se généralise de plus en plus. Zoom sur cette méthode de sécurité forte.

La double authentification 2FA est une méthode de vérification de l'identité de l'utilisateur. Pour pouvoir accéder à son compte, son système ou une plateforme quelconque, il faut alors passer par deux types de preuves distinctes attestant de votre identité.

Il va d'abord falloir entrer un nom d'utilisateur et un mot de passe. Puis, si les deux éléments correspondent et sont valides, une seconde étape de vérification va demander un mot de passe, un code pin ou tout autre élément attestant que vous êtes le détenteur du compte. Cette deuxième preuve d'authentification forte est envoyée sur un appareil que l'utilisateur possède, comme son smartphone, sa tablette, son ordinateur.

Ce qui fait la force de l'authentification 2FA, c'est l'utilisation de deux facteurs issus de deux catégories d'informations différentes. On distingue, en effet, plusieurs catégories, dont les plus courantes sont :

• Le facteur mémoriel représente une chose que vous connaissez (un nom d'utilisateur, un mot de passe...) ;

• Le facteur matériel représente une chose que vous possédez (un smartphone, une tablette...) ;

• Le facteur corporel représente une chose que vous êtes (une question personnelle...).

Avec une authentification avec un ID et un mot de passe, vous n'avez recours qu'à un seul type de facteur. Avec la double authentification, vous utilisez 2 types de facteurs, ce qui accroît considérablement la sécurité des données.

L'objectif de l'authentification 2FA est de fournir une couche de sécurité supplémentaire, pour empêcher les accès non autorisés aux comptes et aux systèmes, notamment en cas de vol du mot de passe.

Concrètement, si un utilisateur active la double authentification sur son compte de messagerie, par exemple, il devra, à chaque connexion, entrer son nom d'utilisateur et son mot de passe. Puis, une seconde preuve d'identité sera demandée par le biais d'un autre appareil. Ces deux étapes assurent à chaque internaute que les personnes qui accèdent à sa messagerie sont dignes de confiance. Dans la plupart des cas, c'est même surtout utilisé pour que seul le détenteur du compte puisse y accéder.

Cette méthode anticipe alors tout logiciel malveillant ou toute autre attaque informatique. Pour plus de sécurité, les utilisateurs sont souvent invités à cliquer sur un lien de vérification ou à entrer un code de confirmation envoyé sur un autre appareil. Les applications d'authentification fournissent également une couche de protection supplémentaire en générant des codes uniques à usage limité dans le temps.

Il existe différents moyens de demander une seconde preuve d'identification aux internautes.

Le SMS

Pour une authentification par SMS, le service sur lequel vous essayez de vous connecter va vous demander votre numéro de téléphone à chaque fois que vous entrerez votre identifiant et votre mot de passe.

Un code, souvent composé de 6 caractères, est ensuite envoyé sur votre mobile, par texto. Il suffit ensuite de le retranscrire sur le site web auquel vous voulez vous connecter.

Ce système d'authentification à l'avantage d'être simple, mais elle est aussi la plus facile à contourner par les hackers, et elle expose au risque de se faire voler son numéro de téléphone. C'est d'ailleurs pour ces raisons que Twitter a décidé de supprimer cette option de double authentification.

La notification de connexion

Les notifications de connexion consistent à demander une seconde validation d'identité sur un autre appareil de l'utilisateur.

Par exemple, si vous avez un compte Google enregistré sur mobile, et que vous essayez de vous y connecter également sur ordinateur, une notification sera envoyée sur votre smartphone, vous demandant si vous êtes bien à l'origine de la demande de connexion sur ordinateur. Sur le téléphone, vous verrez alors toutes les données de l'appareil qui tente de se connecter (ville, nom de l'appareil...).

Ce système d'authentification est également très utilisé par les banques pour valider des paiements en ligne, car il est fiable et difficile à pirater.

Avec Google, il suffit de cliquer sur "oui" ou "non" lorsque la fenêtre pop-up vous demande si vous êtes à l'origine de la connexion. Sur les banques, il faut généralement valider l'action et le montant, et entrer son mot de passe.

L'application d'authentification

Les applications d'authentification font partie, à ce jour, des dispositifs de sécurité les plus fiables. Cette méthode consiste à télécharger sur mobile une application d'authentification, comme Google Authenticator ou Microsoft Authenticator. Ensuite, les comptes compatibles avec ce système d'authentification affichent un QR code à chaque tentative de connexion à votre compte, qu'il suffit de scanner avec l'appli. Après validation, il ne reste plus qu'à rentrer le code indiqué par l'application sur la plateforme de connexion.

Le niveau de sécurité élevé de cette solution est redoutable. En revanche, l'identification devient impossible si vous n'avez pas votre smartphone sous la main. Heureusement, bien souvent, les sites web proposent plusieurs options de double authentification, telles que l'envoi d'un code par SMS. Ces différentes étapes garantissent une sécurité accrue en multipliant les facteurs d'authentification. Si vous n'avez pas votre téléphone, certaines plateformes permettent de cliquer sur des liens de récupération ou d'utiliser des codes de secours prédéfinis.

La clé de sécurité

La clé de sécurité s'impose comme le système d'authentification le plus performant. Mais elle a aussi le gros inconvénient d'être très contraignante. En effet, l'authentification par clé de sécurité consiste à insérer une clé USB contenant un code de sécurité dans votre smartphone ou votre ordinateur, à chaque fois que vous souhaitez vous connecter. La puce sécurisée assure une sécurité optimale, mais vous devez avoir la clé en permanence avec vous. Par ailleurs, tous les services web ne sont pas compatibles avec cette solution d'authentification 2FA.

La double authentification peut être perçue comme une démarche contraignante, car il faut toujours avoir un moyen externe pour prouver votre identité. Mais cette étape de sécurité est essentielle, et elle est de plus en plus appliquée, que ce soit pour Facebook, Twitter, les plateformes de jeux vidéo, et de manière plus générale, tous les sites web de e-commerce et les banques en ligne.

Rappelons qu'aujourd'hui, avec le piratage informatique, un simple nom d'utilisateur et un mot de passe peuvent vite être récupérés. La méthode de hack la plus répandue est probablement le mail de phishing. Ce faux mail se fait passer pour un site d'autorité, et demande les identifiants du compte. Les personnes peu informées des méthodes de hack peuvent facilement se faire avoir, et donner leurs coordonnées, qui seront ensuite utilisées à mauvais escient.

Bien que l'authentification 2FA soit un véritable gage de sécurité pour nos données personnelles, on peut parfois préférer l'éviter, surtout si la méthode proposée est contraignante. Cependant, dans certains domaines d'activité, cette double authentification est plus qu'essentielle.

Ainsi, les particuliers comme les entreprises doivent impérativement activer la double authentification pour :

• Le compte de messagerie ;
• Les services bancaires ;
• Les plateformes de jeux vidéo (Steam, PlayStation...) ;
• Les réseaux sociaux (Facebook, WhatsApp, Twitter, Snapchat, Instagram...) ;
• Les comptes de sauvegarde et stockage en ligne (cloud).

Tous ces comptes contiennent des informations essentielles sur votre vie privée : nom, adresse, numéro de téléphone, numéro de carte bancaire, numéro de sécurité sociale... Ces données volées peuvent alors être utilisées pour détourner de l'argent ou usurper votre identité.

Pour ces mêmes raisons, de plus en plus de commerces en ligne appliquent la double authentification.

Si vous envisagez la double authentification comme une contrainte, imaginez quelques instants votre situation si on venait à vous voler toutes vos données personnelles. Ces quelques petites secondes d'authentification à double facteur sont le prix de votre sécurité numérique, et Lemon Interactive ne peut que vous inviter à l'activer autant que possible.