Connexion en deux étapes

Un code à six chiffres a exactement 1 000 000 de valeurs possibles : un voleur qui a ton mot de passe et dispose de cinq essais a donc 1 chance sur 200 000.

Un voleur a ton mot de passe. Quelles sont ses chances pour le code ?

Commence par une énigme. Quelqu'un a volé ton mot de passe, mais le site demande aussi un code à six chiffres, et le voleur a cinq essais. Quelle est la probabilité qu'il tombe juste par chance ? Calcule-la dans l'exercice ci-dessous avant de lire la suite.

Six chiffres vont de 000000 à 999999, soit 10⁶ = 1 000 000 de codes. Cinq essais donnent une chance de 5 sur 1 000 000, soit 1 sur 200 000. Avec le mot de passe seul, le voleur était déjà entré. Avec le code, presque jamais. Cet écart, c'est ce que t'apporte l'authentification multifacteur.

Trois types de preuve, et pourquoi deux mots de passe n'en font qu'un

L'authentification multifacteur (MFA), souvent appelée authentification à deux facteurs ou connexion en deux étapes, demande des preuves de plus d'un type de facteur. La CISA classe ces types en ce que tu sais (un mot de passe ou un code PIN), ce que tu possèdes (un téléphone ou une clé de sécurité) et ce que tu es (une empreinte digitale ou ton visage). Deux mots de passe restent un seul type. Le conseil de la CISA pour tout le monde est d'activer la MFA sur chaque compte qui la propose, en commençant par l'e-mail, les réseaux sociaux et les comptes financiers. L'e-mail passe en premier, car c'est là qu'arrivent les liens de réinitialisation des mots de passe. Qui contrôle ta boîte de réception peut réinitialiser presque tout le reste.

Des codes qu'on peut relayer, et des clés qu'on ne peut pas relayer

Les options courantes ne résistent pas toutes aussi bien. Un code envoyé par SMS ou par appel vocal passe par le réseau téléphonique. Le NIST le classe comme authentificateur restreint. Il reste autorisé, mais les services doivent proposer une autre solution et avertir les utilisateurs des risques, et devraient surveiller des signes comme un changement récent de carte SIM ou un transfert de numéro, car des criminels peuvent convaincre un opérateur de transférer ton numéro sur leur SIM. Un code d'application d'authentification est généré sur ton téléphone et ne passe jamais par le réseau. Les notifications push te demandent de toucher Approuver. Les criminels envoient parfois des dizaines de demandes en espérant que tu en acceptes une pour qu'elles s'arrêtent ; la CISA recommande donc la correspondance de nombres, où tu tapes un nombre affiché sur l'écran de connexion.

Toutes ces méthodes peuvent encore être hameçonnées. Une fausse page de connexion te demande ton code, tu le tapes, et le criminel le transmet au vrai site en quelques secondes. Le NIST dit clairement que les méthodes qui demandent de saisir un code à la main ne résistent pas à l'hameçonnage, car rien ne lie le code au vrai site. La CISA qualifie la MFA résistante à l'hameçonnage de référence absolue et indique que la seule forme largement disponible est FIDO/WebAuthn : les clés de sécurité et les clés d'accès, qui, comme l'a montré l'unité précédente, ne répondent qu'au site pour lequel elles ont été créées. N'importe quelle MFA reste bien meilleure que rien.

Avant que le téléphone disparaisse

Quand tu actives la connexion en deux étapes, la plupart des services affichent une liste de codes de récupération à usage unique. Le NIST les appelle des secrets de consultation. Ils te permettent de revenir dans ton compte si tu perds ton téléphone : garde-les en lieu sûr, à l'écart du téléphone, imprimés et rangés chez toi ou dans un gestionnaire de mots de passe. Ne les colle jamais dans un e-mail à toi-même, et n'en lis jamais un à quelqu'un qui t'appelle. Aucun vrai service d'assistance n'en a besoin.

Prépare la perte ou le remplacement du téléphone avant qu'il arrive. La plupart des services te permettent d'enregistrer plus d'un second facteur, par exemple une application d'authentification et une clé de sécurité, ou une clé d'accès sur deux appareils. Quand tu changes de téléphone, transfère ton application d'authentification ou tes clés d'accès sur le nouveau avant d'effacer l'ancien. Si un téléphone est perdu, connecte-toi avec un code de récupération ou un autre facteur et retire l'appareil perdu de chaque compte.