L'authentification à deux facteurs en clair : ce qui protège vraiment
Le 16 août, le courtier israélien en cryptomonnaies Bits of Gold a annoncé qu'un intrus avait atteint ses fichiers clients par le système d'un prestataire : noms, numéros de pièce d'identité, adresses e-mail, téléphones, adresses IP et coordonnées bancaires d'environ 200 000 personnes. Les mots de passe et les scans de documents n'ont pas été touchés, ce qui semble rassurant jusqu'à ce qu'on regarde la composition du butin. Un numéro de téléphone, un numéro de pièce d'identité et une adresse réelle : c'est exactement le nécessaire pour convaincre un opérateur de basculer votre ligne sur une nouvelle carte SIM. Et le numéro de téléphone reste, pour la plupart des gens, le deuxième facteur.
Trois niveaux, très éloignés les uns des autres
Tout ce qui se vend sous le nom d'authentification à deux facteurs se range en trois groupes, et l'écart entre eux est bien plus grand que ne le laisse croire l'interface.
Code par SMS
- Rattaché à votre numéro, pas à vous.
- Tombe avec l'échange de SIM : le numéro part, les codes suivent.
- Cela reste mieux que rien, et mieux que pas de second facteur du tout.
Application d'authentification
- Six chiffres calculés sur l'appareil, sans réseau.
- Un numéro volé n'apporte rien à l'attaquant.
- Mais le code peut être livré sur un faux site : c'est vous qui le tapez.
Clé ou passkey
- Vérifie l'adresse réelle du site avant de répondre.
- Sur un domaine sosie, elle se tait, et l'hameçonnage s'arrête là.
- Rien à taper, rien à dicter au téléphone.
Pourquoi le SMS cède le premier
L'échange de SIM n'est pas un piratage au sens technique. Quelqu'un contacte votre opérateur, donne votre nom, votre numéro de pièce d'identité et assez de détails pour être crédible, signale un téléphone perdu et demande la ligne sur une nouvelle carte. Quelques minutes plus tard, votre téléphone n'a plus de réseau et les codes arrivent ailleurs. Chaque fuite du type décrit plus haut rend cette conversation moins chère, et c'est pourquoi les nouvelles de fuites et les comptes détournés tombent la même semaine.
Il y a un second problème, plus discret. Un code que vous tapez, on peut vous le soutirer. Une copie convaincante de la page de connexion demande le mot de passe, puis le code, et transmet les deux au vrai site en quelques secondes. D'où l'intérêt du troisième niveau : la clé et le passkey vérifient eux-mêmes le domaine et restent muets sur la contrefaçon, quelle que soit votre conviction.
Ce qu'il faut faire ce soir
- Commencez par la messagerie, pas par la banque. Qui tient votre boîte mail réinitialise presque tout le reste : elle mérite la meilleure protection que vous accepterez de configurer.
- Faites passer tous les comptes possibles du SMS à une application d'authentification. Dans les réglages de sécurité, c'est en général un écran avec un QR code, une minute par compte.
- Conservez les codes de secours hors ligne. Imprimez-les ou recopiez-les et rangez-les avec vos papiers. Les garder uniquement dans le gestionnaire qui contient déjà le mot de passe, c'est tout perdre avec un seul appareil.
- Ajoutez un second facteur de réserve : une clé matérielle bon marché ou un passkey sur un deuxième appareil. Là où un est accepté, deux le sont aussi, et c'est la réserve qui vous sauve quand le téléphone disparaît.
- Vérifiez les options de récupération. Un ancien numéro ou une boîte secondaire abandonnée est une porte qui survit à tous vos efforts.
- Quand on vous propose "se connecter avec une passkey", acceptez. C'est la protection d'une clé matérielle, rangée dans le téléphone ou le gestionnaire, et cela retire le mot de passe du processus au lieu d'ajouter une étape.
- Fermez les sessions que vous ne reconnaissez pas, dans le même écran de réglages. Un second facteur ne fait rien contre une session ouverte il y a un an.
Avant de changer de téléphone. Les codes d'une application d'authentification vivent sur l'appareil, pas dans le nuage par magie : un téléphone effacé les emporte. L'ordre est le suivant : transférez ou exportez les données de l'application vers le nouveau téléphone pendant que l'ancien fonctionne encore, vérifiez que deux ou trois comptes s'ouvrent réellement, et seulement ensuite effacez l'ancien. Si cette étape a été sautée, les codes de secours sont le chemin de retour, et c'est précisément pour cela qu'ils doivent exister sur papier.
Ce qu'il faut installer concrètement
Les noms comptent moins que trois propriétés : vos codes peuvent déménager vers un nouveau téléphone, le code du programme a été relu par quelqu'un d'autre que son auteur, et l'application tourne sur tous vos appareils. Cela correspond à des logiciels libres et gratuits : Ente Auth fonctionne sur téléphone et ordinateur avec une synchronisation chiffrée de bout en bout, Aegis est le choix habituel sur Android avec sauvegarde locale chiffrée, 2FAS garde une sauvegarde dans votre propre iCloud ou Drive. Les solutions intégrées d'Apple et de Google sont pratiques et suffisamment sûres, avec une réserve : vos codes vivent alors dans un écosystème et en sortent difficilement.
Un avertissement sur un nom connu. Authy a fermé son application de bureau et ne propose toujours pas d'export des codes : les comptes ajoutés là y sont donc attachés de fait. Si vous l'utilisez, pas de panique, mais créez les nouveaux comptes ailleurs et migrez les anciens dès que vous aurez une soirée.
Des gestionnaires comme Bitwarden, 1Password et Proton Pass savent aussi conserver codes et passkeys, et c'est réellement pratique. Sachez ce que vous échangez : mot de passe et second facteur dans le même coffre, c'est un seul mot de passe maître pour les deux. Pour vos comptes les plus importants, gardez-les séparés.
Côté clés matérielles, le marché est petit et heureusement ennuyeux. YubiKey 5 avec NFC et USB-C est le choix par défaut, compatible téléphone et ordinateur ; Google Titan en est l'alternative directe ; Token2 et Nitrokey coûtent nettement moins cher. Achetez-en deux d'un coup, enregistrez les deux et rangez la clé de secours avec vos papiers. Achetez chez le fabricant ou un revendeur agréé plutôt qu'en lot sur une place de marché : une clé est précisément ce qui ne doit pas passer par des mains inconnues.
Ce qu'est vraiment une passkey
Une passkey est une paire de clés : l'une reste sur votre appareil, l'autre chez le service. Se connecter signifie que le téléphone ou l'ordinateur prouve qu'il détient sa moitié, déverrouillée par empreinte ou par visage. Rien ne se tape, donc rien ne se dicte au téléphone ni ne s'écrit sur une copie du site, et aucun secret partagé ne dort dans une base prête à fuir. Le point pratique est la portabilité : les passkeys se synchronisent dans un écosystème ou un gestionnaire de mots de passe, donc vérifiez que vous y accédez depuis un second appareil avant d'en dépendre.
Si vous êtes tout de même bloqué dehors
La récupération est la partie que tout le monde saute et dont tout le monde a besoin. Sachez à l'avance où chaque service vous envoie : codes de secours, seconde clé enregistrée, boîte de récupération ou formulaire d'assistance avec vérification de pièces. Pour vos deux ou trois comptes les plus importants, notez la réponse. Dix minutes maintenant remplacent un très mauvais après-midi plus tard, et cela se fait tant que l'accès existe, pas pendant que vous prouvez votre identité à une file d'attente.
Rien de tout cela ne rend un compte imprenable, ce n'est pas le but. Cela vous sort du groupe qu'un numéro de téléphone fuité suffit à dépouiller et, après un été de fuites comme celle qui a exposé 24 milliards de mots de passe, c'est vers ce groupe que va le trafic.
