Authentification à deux facteurs : elle sauve vos comptes

Au voleur qui a pris votre mot de passe, l'authentification à deux facteurs réserve une fin amère : le mot de passe volé convient, mais l'entrée reste fermée, car le service demande une confirmation depuis un appareil que le voleur n'a pas et n'aura pas. Cette idée simple ferme le scénario de piratage le plus répandu : la connexion automatique avec une paire identifiant et mot de passe fuitée d'un autre service. Reste à choisir le bon second facteur, l'activer sans erreur et ne pas le perdre avec le téléphone. Allons-y dans l'ordre.

Ce qu'est un facteur

Les facteurs sont des preuves indépendantes que vous êtes vous : ce que vous savez, en général un mot de passe ; ce que vous avez, un téléphone ou une clé ; ce que vous êtes, la biométrie. Les deux facteurs commencent quand deux types différents sont vérifiés. Mot de passe plus question secrète reste un seul type, deux savoirs, et une fuite couvre les deux. Mot de passe plus code du téléphone font deux types honnêtes : savoir et possession, et un pirate doit obtenir les deux à la fois.

Comparaison des seconds facteurs

Une appli génératrice, c'est ce fameux TOTP : des codes à usage unique qui vivent une demi-minute et se créent sur l'appareil sans aucune connexion. Le SMS est plus vulnérable : on peut soutirer le code par la ruse et emporter le numéro en réémettant la SIM, donc la protection de la banque et de la messagerie doit vivre sur un générateur ou une clé. Les notifications sont pratiques mais ont engendré leur propre attaque : on bombarde la victime de demandes jusqu'à ce qu'elle confirme par lassitude ; le remède est la correspondance de nombres, où vous saisissez un nombre de l'écran de connexion.

Un point faible commun à tous les codes : le phishing en temps réel peut les soutirer, la fausse page transmet le code au vrai site en quelques secondes. Seules les clés matérielles et les passkeys ferment entièrement cette voie : la clé répond à la demande d'un domaine précis et n'a rien à dire à un faux site. Nous avons vu le fonctionnement des passkeys dans l'article sur les mots de passe.

Pourquoi « je n'ai rien à voler » ne tient pas

On désactive le second facteur avec l'argument « mon compte n'intéresse personne ». Si, mais pas comme on le croit : la messagerie d'une personne ordinaire est la clé de récupération de sa banque et de ses boutiques, un réseau social porte la confiance des amis pour des demandes d'argent, un compte de jeu est un inventaire acheté pendant des années. Les voleurs travaillent à la chaîne sur des millions de mots de passe fuités, sans viser, et tout le monde tombe dedans. Le prix de la protection est dérisoire : cinq secondes de plus à la connexion depuis un nouvel appareil, car les services retiennent les appareils de confiance et ne redemandent pas de code.

Pour les comptes professionnels, c'est doublement vrai : l'accès d'un employé est une porte vers l'entreprise, et les services d'entreprise exigent de plus en plus le second facteur sans demander. Une habitude prise chez soi épargne ici des nerfs au travail.

Activer sans perdre l'accès

1. Commencez par la messagerie : elle récupère tous les autres comptes et sa protection compte plus que celle de la banque.
2. Dans les réglages de sécurité, choisissez une appli génératrice : n'importe laquelle de mûre, même celle d'un gestionnaire de mots de passe. Gardez le SMS en secours si le service le permet.
3. Sauvegardez aussitôt les codes de secours : imprimés chez vous ou notés dans un gestionnaire. C'est votre entrée en cas de perte du téléphone.
4. Répétez pour la banque, les principaux réseaux sociaux et les services professionnels. Sur les plus importants, activez la passkey si elle existe.
5. Prenez une minute pour un contrôle : les mêmes réglages montrent quels appareils et modes de connexion sont liés. Supprimez ceux en trop.

Un petit détail qui fait gagner du temps : lors du transfert d'un code depuis une appli, beaucoup de services montrent le QR du secret une seule fois. Si vous le photographiez « pour mémoire », gardez le cliché dans un lieu chiffré, loin de la galerie synchronisée dans le cloud : ce QR équivaut au facteur lui-même.

Téléphone perdu : que faire

Le scénario normal, si vous vous êtes préparé : installer le générateur sur le nouveau téléphone, entrer avec les codes de secours, puis relier le facteur. Beaucoup de générateurs font des sauvegardes chiffrées, et les codes déménagent alors seuls. Sinon, reste la récupération par le support avec vérification d'identité : la procédure est longue exprès, car les pirates de comptes s'en servent aussi. D'où la règle principale de tout l'article : les codes de secours se sauvegardent au moment d'activer la protection, jamais « plus tard ».

Vers où cela va

Le secteur retire peu à peu le mot de passe et la seconde étape séparée : une passkey réunit les deux facteurs en une action, la biométrie confirmant la possession de l'appareil. Pendant la transition, un ensemble sensé ressemble à ceci : un gestionnaire de mots de passe, un générateur pour tout ce qui compte, des passkeys là où on en propose et des codes de secours en lieu sûr. Si un compte s'est déjà comporté bizarrement, n'attendez pas : le plan pas à pas est dans l'article sur le piratage de compte, et plus tôt le second facteur est actif, plus ce plan sera court.