Dans notre article précédent, nous vous avons présenté la gestion avancée des mots de passe, avec des informations et des conseils utiles.

Cette fois, nous abordons l’authentification à deux facteurs et l’authentification multifacteur, qui ôtent aux pirates tout espoir de voler vos comptes et les données qu’ils contiennent.

Que sont la 2FA et la MFA, et quelle est la différence ?

L’authentification multifacteur (MFA) consiste à franchir plusieurs étapes de vérification pour confirmer votre tentative de connexion.

L’authentification multifacteur repose sur trois preuves (facteurs) :

• quelque chose que vous savez (p. ex. mot de passe, code PIN) ;
• quelque chose que vous possédez (p. ex. votre téléphone ou une clé de sécurité) ;
• quelque chose que vous êtes (p. ex. vos données biométriques).

L’authentification à deux facteurs (2FA), elle, ne combine que deux de ces facteurs.

Les principales formes de 2FA sont les SMS, les codes à usage unique générés par des applications mobiles dédiées, l’authentification par notification push et les clés physiques d’authentification.

SMS

La plus ancienne des méthodes présentées ici est le SMS. C’est aussi la moins fiable, en raison des failles du protocole de téléphonie SS7, développé dès les années 1970 et toujours utilisé dans les réseaux mobiles. Les pirates peuvent intercepter vos messages et, grâce à l’ingénierie sociale, transférer votre numéro sur leur propre carte SIM.¹

Si vous avez le choix de la méthode 2FA, nous vous recommandons l’une des solutions suivantes.

Mots de passe à usage unique basés sur le temps (TOTP)

Le TOTP est largement pris en charge par les sites et services en ligne. L’algorithme étant universel, tous vos jetons TOTP issus de différents services peuvent être conservés dans une seule application. Essayez par exemple notre application gratuite AccessSecurium™ pour Android et pour iOS.

C’est un atout de sécurité supplémentaire si l’application masque les codes et ne les affiche que lorsque vous appuyez dessus. Activez aussi une couche de protection supplémentaire pour ouvrir l’application : code PIN, empreinte digitale ou Face ID.

La plupart des applications d’authentification stockent les données uniquement en local sur votre téléphone. Si vous perdez votre téléphone ou supprimez l’application, vous risquez donc de perdre tous vos jetons. Et si vous ne disposez pas d’une méthode 2FA de secours pour vos sites et services web, rétablir l’accès peut s’avérer compliqué. Si l’application propose une fonction de sauvegarde, nous vous conseillons de créer une copie de votre base de jetons et de la conserver sur une clé USB dans un coffre-fort.

Certaines applications stockent les jetons dans le cloud, ce qui doit éviter leur perte et faciliter leur transfert vers un nouvel appareil.

(Les services de notre plateforme d’entreprise sécurisée de communication et de collaboration SWISS SECURIUM® sont protégés par TOTP.)

Notifications push

En 2016, Google a introduit la vérification par notification push, reprise ensuite par Apple et Microsoft.

Grâce aux notifications push, les utilisateurs confirment facilement leur connexion depuis un appareil de confiance, même si cela prend à peu près autant de temps que la saisie d’un code à usage unique. Le principal avantage : il suffit de déverrouiller son téléphone (ce qui constitue déjà l’un des facteurs d’authentification) puis d’accepter ou de refuser la tentative de connexion dans la notification.

Si la notification indique par exemple le lieu ou l’appareil à l’origine de la tentative de connexion, elle peut vous aider à détecter une tentative d’hameçonnage (phishing). Si le lieu et l’appareil vous sont inconnus et que vous êtes certain qu’il ne s’agit pas d’un collègue ou d’une connaissance, il vous suffit d’appuyer sur « Non » pour bloquer l’accès non autorisé à votre compte professionnel ou privé.

Ce n’est toutefois pas une protection absolue contre le phishing, car vous pourriez appuyer machinalement sur « Oui » sans remarquer le lieu ou l’appareil inconnu affiché. Autre inconvénient : chaque fournisseur propose son propre service de vérification push, et pas pour tous ses produits. Cette solution n’est pas encore standardisée.

Clés de sécurité

Le standard le plus répandu pour les clés de sécurité (aussi appelées jetons matériels) est U2F : Universal 2nd Factor. Ces clés se branchent le plus souvent sur un port USB, ce qui les rend pratiques pour les utilisateurs de PC et d’ordinateurs portables. Le projet U2F continue cependant d’évoluer et il est désormais possible d’utiliser ces clés avec des appareils Android et iOS.

La clé de sécurité est simple à utiliser : vous la connectez à l’appareil depuis lequel vous vous connectez, puis vous appuyez sur son bouton (certains modèles proposent aussi la saisie d’un code PIN ou la lecture d’une empreinte digitale). La clé mémorise alors le site web et génère une paire de clés cryptographiques propre à ce site et à ce compte.

Comme la clé « se souvient » du site sur lequel vous vous connectez, elle offre une protection contre le phishing plus fiable que toutes les autres méthodes.

(L’accès par clé de sécurité est disponible sur demande pour notre plateforme SWISS SECURIUM®.)

Codes de secours

Lorsque vous activez la 2FA sur un site, vous êtes généralement invité à enregistrer des codes à usage unique supplémentaires à imprimer. Ne les refusez pas : imprimez-les et conservez-les en lieu sûr. En cas de perte de la clé de sécurité, de suppression de l’application d’authentification ou de perte du téléphone, ces codes vous permettront de récupérer l’accès à votre compte. Un tel code peut aussi être emporté en voyage pour une connexion unique sécurisée.

Ici, vous trouverez une liste de services et de sites web qui utilisent différents types de 2FA.

Vous y trouverez aussi des liens vers les instructions d’activation de la 2FA : en quelques étapes seulement, vous renforcerez nettement la sécurité de vos comptes et réduirez le risque d’accès non autorisé.

Quelles fonctions de sécurité supplémentaires les fournisseurs proposent-ils pour protéger leurs services ?

VPN

L’accès aux services via un réseau privé virtuel réduit considérablement le risque d’accès non autorisé. Seuls les utilisateurs de confiance pour lesquels l’accès a été configuré peuvent se connecter aux services hébergés dans un réseau virtuel et les utiliser.

(Les services de notre plateforme SWISS SECURIUM® peuvent également être configurés pour n’être accessibles que via VPN.)

Chiffrement des données

Chiffrer les données lors de leur stockage et les transmettre par des canaux sécurisés est indispensable pour quiconque se soucie de sa cybersécurité. La meilleure option est le chiffrement de bout en bout, grâce auquel seuls l’expéditeur et le destinataire, et personne d’autre, peuvent lire les informations transmises.

Le chiffrement de bout en bout ne permet toutefois pas de vérifier l’identité de votre interlocuteur. Certaines applications (par exemple notre messagerie SwissSecurium™) offrent des fonctions pour cela : la comparaison des empreintes des appareils (une suite de caractères unique à votre appareil, vérifiée lors d’une rencontre en personne) et l’utilisation d’une question secrète convenue de manière confidentielle avec votre interlocuteur.

Zero Knowledge

Ce principe de stockage signifie que personne d’autre que vous ne détient les clés de vos données, pas même le prestataire chez qui vous stockez vos fichiers. Même si les autorités exigeaient de ce prestataire la remise de vos données (ou en cas de fuite consécutive à une cyberattaque), aucune donnée ne serait divulguée, car tout est chiffré et vous seul détenez les clés. Cela implique cependant une grande responsabilité : si vous perdez les clés, plus personne ne pourra accéder à vos données.

En conclusion, la sécurité et la protection de vos données constituent une tâche vaste et complexe qu’il ne faut pas négliger.

Avec ALPEIN Software, vous disposez d’un partenaire fiable et expérimenté dans le domaine de la cybersécurité.