Authentification à deux facteurs : codes, applications et SMS

Module 2: Mots de passe et connexion · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous serez capable de comparer les différentes formes d'authentification à deux facteurs (SMS, e-mail, TOTP, push), de reconnaître les attaques qui les visent et d'organiser une procédure de récupération en cas de perte de votre téléphone.

Notions clés : 2FA/MFA, facteur (savoir, avoir, être), TOTP, secret partagé, notification push, fatigue MFA, sim-swap, codes de récupération

Deux preuves différentes

Un mot de passe est quelque chose que vous savez. S'il fuite, n'importe qui le connaissant peut se connecter. L'authentification à deux facteurs (2FA) exige donc une seconde preuve d'un autre type. Au delà de deux facteurs, on parle d'authentification multifacteur (MFA) ; dans la pratique, les deux termes sont souvent utilisés l'un pour l'autre.

Il existe trois types de facteurs :

• Savoir : un mot de passe ou un code PIN.
• Avoir : votre téléphone avec une application, une clé de sécurité, une carte.
• Être : votre empreinte digitale ou votre visage.

Deux fois le même type ne compte pas : un mot de passe plus une question de sécurité restent deux choses que vous savez. Le NCSC néerlandais recommande vivement d'utiliser la MFA sur tout système et tout compte qui le permet, et en particulier sur les comptes accessibles via internet et les comptes disposant de droits d'administration. Pour une petite entreprise, cela concerne au minimum : la messagerie, l'hébergement et l'enregistrement de domaine, la banque, la comptabilité, la boutique en ligne, le gestionnaire de mots de passe et les réseaux sociaux de l'entreprise.

Les différentes méthodes, côte à côte

Chaque méthode vaut largement mieux que l'absence de seconde étape. Mais le tableau montre aussi ceci : tout ce qui vous demande de recopier un code ou d'approuver une notification peut être exploité par un escroc sur son faux site. Le NIST l'affirme sans détour dans le document SP 800-63B-4 : les méthodes où vous saisissez vous-même un résultat ne résistent pas au phishing.

Comment fonctionne une application d'authentification

Une application d'authentification utilise le TOTP : Time-based One-Time Password, décrit dans la RFC 6238. Voici comment cela fonctionne :

1. Lors de la configuration, le service crée un secret partagé aléatoire, par exemple 32 caractères comme JBSWY3DPEHPK3PXP.... Ce secret est contenu dans le QR code que vous scannez, ou vous pouvez le recopier sous forme de « clé manuelle ».
2. Votre application et le service disposent désormais tous deux du même secret. Aucun contact entre les deux n'est ensuite nécessaire.
3. Toutes les 30 secondes, les deux parties calculent, à partir du secret et de l'heure actuelle, un code à 6 chiffres. Comme elles partagent le même secret et la même horloge, elles obtiennent le même code.
4. Lors de la connexion, le service compare votre code à son propre résultat, généralement avec une marge d'une période avant ou après pour tenir compte d'une horloge légèrement décalée.

Deux conséquences :

• Le secret est la véritable serrure. Quiconque voit le QR code ou la clé manuelle peut générer pour toujours les mêmes codes que votre téléphone. N'en faites donc jamais de capture d'écran, ne le partagez avec personne et ne l'envoyez pas à un collègue.
• Le code fonctionne aussi sans internet et ne transite pas par le réseau téléphonique. C'est pourquoi le TOTP est plus robuste que le SMS.

Il existe plusieurs types d'applications d'authentification : autonomes sur votre téléphone, intégrées à un gestionnaire de mots de passe, open source ou proposées par une grande entreprise technologique, avec ou sans sauvegarde chiffrée dans le cloud. On peut citer Aegis, Google Authenticator et Microsoft Authenticator, en plus de la fonction intégrée à des gestionnaires comme Bitwarden ou 1Password. Une sauvegarde est pratique en cas de nouveau téléphone, mais le NCSC néerlandais met en garde : une sauvegarde mal chiffrée donne aussi accès à un attaquant.

Le sim-swap : pourquoi le SMS est la méthode la plus faible

Lors d'un sim-swap, un escroc s'empare de votre numéro de téléphone. Il fait transférer votre numéro vers une carte SIM ou une eSIM qu'il possède lui-même. Cela réussit par exemple en se faisant passer pour vous auprès de votre opérateur, ou en vous faisant participer vous-même : Cybermalveillance.gouv.fr met en garde contre les SMS et appels téléphoniques « de la part de votre opérateur » prétendant que votre carte SIM doit être validée ou urgemment convertie en eSIM.

Une fois que cela fonctionne :

• votre téléphone n'a soudain plus de réseau et vous ne pouvez plus appeler ni envoyer de SMS ;
• l'escroc reçoit tous les codes SMS, y compris les codes « mot de passe oublié » des services utilisant votre numéro comme méthode de récupération ;
• il peut parfois s'emparer de comptes avec votre seul numéro.

Le problème : vous ne vous en rendez compte que lorsque votre téléphone ne fonctionne plus, souvent le soir ou le week-end. Le NIST qualifie donc le SMS de méthode limitée et indique que les services devraient surveiller des signaux tels qu'une nouvelle carte SIM ou un numéro récemment transféré. Le NCSC néerlandais recommande d'éviter le SMS dans la mesure du possible, car les messages ne sont pas chiffrés et peuvent être interceptés.

Que faire ?

• Choisissez, quand c'est possible, une application ou une passkey plutôt que le SMS.
• Supprimez votre numéro de téléphone comme méthode de récupération là où c'est un point faible, ou protégez-le davantage.
• Demandez à votre opérateur si vous pouvez mettre en place un code PIN supplémentaire ou un contrôle pour le transfert de votre numéro.
• Votre réseau disparaît soudainement sans raison ? Appelez votre opérateur depuis un autre appareil. N'attendez pas.

Le SMS reste mieux que rien. Si un service ne propose que le SMS, activez-le tout de même.

La fatigue MFA : la notification que l'on écarte

Avec une notification push, vous n'avez rien à recopier : votre téléphone demande « Essayez-vous de vous connecter ? » et vous appuyez sur Approuver. Pratique, et c'est justement pour cela que c'est détourné.

Dans le cas de la fatigue MFA (aussi appelée bombardement push), un attaquant possède déjà votre mot de passe. Il se connecte encore et encore, de sorte que votre téléphone reçoit notification après notification, parfois en pleine nuit. L'agence américaine CISA décrit comment les gens finissent, par agacement ou par erreur, par appuyer sur Approuver, ou pensent que l'une des notifications doit bien être légitime. Parfois, l'attaquant téléphone aussi en plus, se faisant passer pour « le support technique », en demandant d'approuver la demande.

Un cas réel décrit par le NCSC néerlandais : des attaquants se sont introduits via la fatigue MFA dans les comptes de messagerie d'une entreprise de logiciels, puis les ont utilisés pour commettre une fraude à la facture.

Les règles à suivre :

• N'approuvez jamais une notification que vous n'avez pas provoquée vous-même. Même pas la vingtième.
• Une notification inattendue signifie que quelqu'un possède votre mot de passe. Modifiez-le immédiatement et signalez l'incident.
• Choisissez, quand c'est possible, la saisie d'un numéro : l'écran de connexion affiche un nombre que vous saisissez dans l'application. Celui qui n'est pas devant l'écran de connexion ne peut alors pas approuver. La CISA considère cela comme une bonne étape intermédiaire, mais moins solide qu'une MFA résistante au phishing.

Récupération : organisez-la avant de perdre votre téléphone

Votre téléphone tombe à l'eau, est volé ou tombe en panne. Sans préparation, vous voilà exclu de vos propres comptes. C'est pourquoi existent les codes de récupération (aussi appelés codes de secours) : une liste de codes de réserve que vous recevez lors de la configuration et qui fonctionnent chacun une seule fois.

• Ne les conservez pas sur le même téléphone que votre application d'authentification. Imprimez-les et rangez-les avec vos documents importants, ou conservez-les dans votre gestionnaire de mots de passe au niveau de l'élément concerné.
• Un code de récupération utilisé ? Barrez-le. S'ils sont épuisés, générez-en de nouveaux.
• Prévoyez au moins deux moyens d'accéder à vos comptes : par exemple l'application plus les codes de récupération, ou deux clés de sécurité.
• En cas de nouveau téléphone, transférez d'abord vos comptes, puis effacez seulement ensuite l'ancien appareil.
• Sachez comment fonctionne la procédure de récupération de vos services les plus importants. Un bon service ne réinitialise pas votre seconde étape sur la seule base d'un e-mail ou d'un appel téléphonique, mais vérifie d'abord qu'il s'agit bien de vous.

En pratique : à quoi cela ressemble

Dans l'environnement WebOké, Mon WebOké demande toujours, après votre mot de passe, une seconde étape : par défaut un code par e-mail, et vous pouvez passer à une application d'authentification. Dans DirectAdmin, cela s'appelle Authentification à deux facteurs, avec des codes de récupération. Dans Nextcloud, vous activez le TOTP et générez dix codes de secours. Chez d'autres fournisseurs, le fonctionnement est comparable : cherchez dans votre profil ou vos paramètres de sécurité les termes « authentification à deux facteurs », « 2FA », « authenticator » ou « two-factor ».

Les étapes sont presque toujours les mêmes : scanner un QR code, saisir un code de vérification, enregistrer les codes de récupération.

Résumé

• La 2FA combine deux types de facteurs : savoir, avoir, être.
• Le TOTP fonctionne avec un secret partagé et l'horloge. Le secret (QR code) est la véritable serrure : ne le partagez jamais.
• Le SMS est la méthode la plus faible en raison du sim-swap et de l'interception, mais reste mieux que rien.
• Fatigue MFA : n'approuvez jamais une notification que vous n'avez pas provoquée vous-même, et changez ensuite votre mot de passe.
• Les codes et notifications ne résistent pas au phishing ; les passkeys et clés de sécurité, si (leçon 2.4).
• Organisez vos codes de récupération et une seconde méthode avant de perdre votre téléphone.

Quiz

Exercice

Exercice A2.3 : Associer une application d'authentification. Vous recevez un QR code d'un compte d'exercice « WebOké oefening ». Scannez-le avec l'application d'authentification de votre choix et saisissez deux codes générés l'un après l'autre. Le programme vérifie si votre application calcule correctement. Le secret d'exercice n'a aucune valeur et sera supprimé après 24 heures ; retirez ensuite le compte d'exercice de votre application.

Exercice D2.3 : Activer l'authentification à deux facteurs sur vos comptes principaux. Activez l'authentification à deux facteurs sur votre messagerie, votre hébergement ou enregistrement de domaine, votre banque, votre comptabilité et votre gestionnaire de mots de passe. Conservez les codes de récupération dans un second emplacement et répondez à la question de ce que vous feriez si vous perdiez votre téléphone demain.

Pour aller plus loin

Les étapes décrites dans les articles WebOké valent pour l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Vérification en deux étapes dans Mon WebOké et configuration d'une application d'authentification
• Guide WebOké 3.2: Le code de connexion par e-mail (vérification en deux étapes)
• Guide WebOké 3.3: Utiliser une application d'authentification
• Guide DirectAdmin 3.2: Configurer l'authentification à deux facteurs
• Guide DirectAdmin 3.3: Codes de récupération, et que faire si vous avez perdu votre authentificateur
• Guide Nextcloud 3.3: Configurer une application d'authentification et conserver des codes de récupération
• Guide Nextcloud 3.10: Téléphone perdu ou 2FA perdue : comment récupérer l'accès à votre compte
• Configurer l'authentification à deux facteurs (2FA) dans Nextcloud
• NCSC néerlandais, Comment choisir une méthode MFA ? (en néerlandais) : https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• Cybermalveillance.gouv.fr, assistance aux victimes et conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/
• CISA, Implementing Number Matching in MFA Applications (en anglais) : https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (en anglais) : https://www.rfc-editor.org/rfc/rfc6238