Vous venez de taper votre mot de passe, et votre boîte mail vous demande un code reçu par SMS avant de vous laisser entrer. Ce geste supplémentaire, c’est l’authentification à deux facteurs (2FA). Elle ajoute une vérification en plus du mot de passe pour prouver que c’est bien vous qui tentez de vous connecter.
Le principe paraît simple, et la promesse est séduisante : même si quelqu’un vole votre mot de passe, il lui manque le second facteur pour accéder à votre compte. Mais toutes les formes de 2FA ne se valent pas, et certaines limites méritent qu’on s’y attarde avant de considérer le sujet comme réglé.
A lire aussi : La vidéosurveillance peut-elle être visionnée à distance ?
Pourquoi un mot de passe seul ne suffit plus pour protéger vos comptes
Un mot de passe, aussi long soit-il, reste une chaîne de caractères stockée quelque part. Si la base de données d’un service est compromise, votre mot de passe peut se retrouver en clair ou être déchiffré. Pire, beaucoup de gens réutilisent le même mot de passe sur plusieurs services.
Avec la 2FA, un attaquant qui récupère votre mot de passe se heurte à un mur : il lui faut aussi votre téléphone, votre clé physique ou votre empreinte biométrique. Ce deuxième verrou repose sur un canal ou un objet distinct, ce qui complique considérablement le piratage.
A lire également : Quel est le rôle des autorités de certification dans le processus d’authentification ?
Concrètement, la 2FA combine deux éléments parmi trois catégories :
- Ce que vous savez : un mot de passe ou un code PIN, stocké dans votre mémoire.
- Ce que vous possédez : un téléphone qui reçoit un code, une clé USB de sécurité ou une application d’authentification.
- Ce que vous êtes : une empreinte digitale, la reconnaissance faciale ou un scan de l’iris.
Le fait de croiser deux catégories différentes rend l’usurpation d’identité nettement plus difficile qu’avec un simple mot de passe.
Toutes les méthodes 2FA n’offrent pas le même niveau de sécurité
Vous avez peut-être remarqué que la plupart des services vous proposent un code par SMS comme second facteur. C’est la méthode la plus répandue, mais aussi la plus fragile.
Le SMS, un facteur pratique mais vulnérable
Le NIST (l’organisme américain qui publie les normes de sécurité numérique) classe désormais l’authentification par SMS comme un mécanisme à usage restreint. Un attaquant peut détourner votre numéro de téléphone en obtenant un duplicata de votre carte SIM auprès de votre opérateur, une technique appelée SIM swapping.
Le service qui utilise le SMS comme second facteur devrait, selon le NIST, proposer une alternative et surveiller des signaux comme un changement récent de carte SIM ou une portabilité de numéro. Un code SMS reste mieux que pas de 2FA du tout, mais il ne faut pas le considérer comme une protection solide face à un attaquant motivé.
Applications d’authentification et clés physiques
Les applications comme Google Authenticator ou Authy génèrent des codes temporaires directement sur votre appareil, sans transiter par le réseau téléphonique. Le code change toutes les trente secondes et ne peut pas être intercepté par SIM swapping.
Les clés physiques de sécurité (YubiKey, par exemple) vont encore plus loin. Elles utilisent le protocole FIDO2/WebAuthn, qui lie cryptographiquement l’authentification au site réel que vous visitez. Autrement dit, une clé physique FIDO2 résiste au phishing par conception : même si vous cliquez sur un faux site, la clé refuse de s’authentifier parce que le domaine ne correspond pas.
Les passkeys, un compromis récent
Les passkeys synchronisées (proposées par Apple, Google et Microsoft) simplifient l’expérience en remplaçant le mot de passe par une clé cryptographique stockée sur vos appareils. Le NIST les autorise au niveau d’assurance AAL2, mais pas au niveau le plus élevé (AAL3), parce que la clé privée peut être exportée ou synchronisée entre plusieurs appareils. Les passkeys facilitent l’usage quotidien au prix d’un niveau d’assurance légèrement inférieur à celui d’une clé matérielle dédiée.
Limites concrètes de l’authentification à deux facteurs face au phishing
Activer la 2FA ne rend pas un compte invulnérable. Les techniques d’attaque ont évolué pour contourner spécifiquement ce mécanisme.
Un exemple courant : l’attaquant crée une copie quasi identique de la page de connexion d’un service (votre banque, votre messagerie). Vous entrez votre mot de passe sur ce faux site, puis le code 2FA que vous venez de recevoir. L’attaquant transmet les deux en temps réel au vrai site et prend le contrôle de votre session. Ce type d’attaque, appelé proxy de phishing en temps réel, fonctionne contre les codes SMS et les codes d’application.
Seules les méthodes résistantes au phishing bloquent ce scénario. Le protocole FIDO2/WebAuthn vérifie automatiquement que le domaine du site correspond à celui enregistré lors de la configuration. Si le domaine diffère (même d’un seul caractère), l’authentification échoue sans que l’utilisateur ait besoin de repérer la supercherie.
Le NIST, dans sa publication SP 800-63B-4, prévoit d’ailleurs que les services de niveau AAL2 proposent au moins une option résistante au phishing. Ce n’est plus une recommandation marginale, c’est la direction que prend l’ensemble du secteur.
Activer la 2FA : par où commencer en pratique
Pour tirer le meilleur parti de l’authentification à deux facteurs, il vaut mieux choisir la bonne méthode selon le service concerné.
- Messagerie et comptes sensibles (banque, administration) : privilégiez une clé physique FIDO2 ou une passkey si le service la prend en charge.
- Réseaux sociaux et services courants : une application d’authentification (TOTP) offre un bon équilibre entre sécurité et simplicité.
- Services qui ne proposent que le SMS : activez-le quand même, c’est toujours mieux qu’un mot de passe seul, mais surveillez toute notification inattendue de votre opérateur concernant votre ligne.
Commencez par sécuriser votre boîte mail principale : c’est elle qui sert à réinitialiser les mots de passe de presque tous vos autres comptes. Si un attaquant y accède, il peut déverrouiller le reste.
L’authentification à deux facteurs reste une amélioration réelle de la sécurité des comptes en ligne. Elle n’est pas parfaite, et la méthode choisie fait toute la différence. Un code SMS vaut mieux que rien, une application d’authentification vaut mieux qu’un SMS, et une clé physique FIDO2 ferme la porte au phishing de façon bien plus fiable. Le bon réflexe n’est pas seulement d’activer la 2FA, mais de choisir la forme la plus adaptée au niveau de risque de chaque compte.
