Authentification à deux facteurs (2FA) : définition et pourquoi un mot de passe ne suffit pas

Un mot de passe est un secret qui se retrouve dans plus d’endroits que la plupart des gens ne le pensent. On le saisit sur des sites web, on le réutilise pour plusieurs comptes et il est parfois exposé lors d’une fuite de données chez un tiers. C’est pourquoi un mot de passe seul constitue une protection fragile pour tout ce qui a de la valeur.

L’authentification à deux facteurs ajoute une preuve supplémentaire, d’une autre nature, de sorte qu’un mot de passe volé ne suffit pas à lui seul. Voici ce que c’est, les types de second facteur les plus courants, les raisons pour lesquelles cette méthode est utile et ses limites.

Qu’est-ce que l’authentification à deux facteurs ?

L’authentification à deux facteurs, généralement abrégée en 2FA, consiste à prouver son identité à l’aide de deux types de preuves différents. Les recommandations de NIST sur l’identité numérique décrivent trois types de facteurs d’authentification : quelque chose que vous connaissez, comme un mot de passe ; quelque chose que vous possédez, comme un téléphone ou une clé de sécurité ; et quelque chose que vous êtes, comme une empreinte digitale.

Les deux facteurs doivent être de types différents. NIST précise qu’un mot de passe et un code PIN ne constituent pas deux facteurs, car ils relèvent tous deux de quelque chose que vous connaissez. Vous pouvez également rencontrer les appellations authentification multifacteur, MFA, ou vérification en deux étapes. Dans l’usage courant, CISA considère que ces noms désignent la même chose : une étape supplémentaire pour confirmer que vous êtes bien la personne que vous prétendez être.

Les types de second facteur les plus courants

Le second facteur le plus connu est un code à usage unique, envoyé par SMS ou généré par une application d’authentification sur votre téléphone. Une autre option est une clé de sécurité physique ou une clé d’accès, qui utilise la cryptographie intégrée à un appareil. Une empreinte digitale ou une reconnaissance faciale peut également jouer un rôle. NIST précise que les données biométriques ne comptent comme facteur que dans le cadre d’une authentification multifacteur, en complément d’un appareil physique.

Ces méthodes n’offrent pas toutes le même niveau de sécurité. Selon CISA, l’authentification fondée sur les normes FIDO, comme les clés de sécurité et les clés d’accès, est la plus robuste et résiste à l’hameçonnage. Les codes générés par une application d’authentification sont plus sûrs que les SMS, mais ils peuvent tout de même être dérobés par hameçonnage. Les SMS sont l’option la moins sûre parmi les méthodes courantes. Une comparaison détaillée de ces méthodes mérite un article à part entière.

Pourquoi un mot de passe ne suffit pas

CISA explique qu’un mot de passe, c’est-à-dire quelque chose que vous connaissez, peut être réutilisé, déchiffré plus facilement ou volé. Si le même mot de passe sert pour plusieurs comptes, une seule fuite peut tous les exposer. Avec un second facteur, un attaquant qui possède le mot de passe a encore besoin de l’autre élément. CISA indique que cela réduit considérablement le risque de piratage de votre compte.

CISA recommande d’activer l’authentification multifacteur partout où elle est proposée et de commencer par les comptes les plus importants : d’abord les e-mails, puis les services financiers, et enfin les réseaux sociaux et les boutiques en ligne. CISA recommande également d’utiliser des mots de passe robustes et uniques ainsi qu’un gestionnaire de mots de passe, car ces deux protections sont complémentaires.

Ce que l’authentification à deux facteurs ne fait pas

Un second facteur rend la prise de contrôle d’un compte plus difficile, mais ne le rend pas inviolable. Une fausse page de connexion convaincante peut récupérer un code et l’utiliser immédiatement. Un SMS peut aussi être intercepté ou redirigé, par exemple lors d’un échange frauduleux de carte SIM. Le choix de la méthode est donc important, tout comme la vérification de l’authenticité du site avant de saisir un code.

Cette méthode ne protège pas non plus tout. La 2FA protège un compte auquel on se connecte par l’intermédiaire d’un service, mais elle ne peut pas protéger la clé privée ou la phrase de récupération d’un portefeuille crypto, car il ne s’agit pas de comptes. Elle ne remplace pas non plus un mot de passe robuste et unique, ni une méthode sûre pour récupérer l’accès si vous perdez votre téléphone.

Rappel de WEEX : activez la 2FA et protégez vos codes

WEEX rappelle aux utilisateurs d’activer l’authentification à deux facteurs partout où elle est proposée, en commençant par les comptes de messagerie et les comptes financiers. Conservez les codes de sauvegarde ou de récupération en lieu sûr et hors ligne, et vérifiez l’adresse d’un site avant de saisir un code. Ne communiquez jamais un code à usage unique ni une phrase de récupération à qui que ce soit, y compris à des personnes affirmant travailler au service d’assistance : un service légitime n’a besoin d’aucun de ces éléments.

Conclusion

L’authentification à deux facteurs exige deux types de preuves différents, de sorte qu’un mot de passe volé ne suffit pas pour accéder à un compte. Les différents types de second facteur n’offrent pas le même niveau de sécurité : les clés de sécurité et les clés d’accès sont les plus fiables, tandis que les SMS sont les moins sûrs. Aucun ne remplace de bons mots de passe, des habitudes prudentes ou la protection des clés privées d’un portefeuille. Activer cette fonction est l’un des moyens les plus simples de rendre un compte plus difficile à prendre en main par un tiers.

FAQ

1. Qu’est-ce que l’authentification à deux facteurs ?
C’est une méthode de connexion qui exige deux types de preuves différents, par exemple un mot de passe et un code reçu sur votre téléphone, au lieu d’un mot de passe seul.

2. La 2FA est-elle la même chose que la MFA et la vérification en deux étapes ?
Dans l’usage courant, ces appellations désignent à peu près la même chose. Au sens strict, MFA signifie qu’il y a plus d’un type de facteur distinct, tandis que 2FA en signifie exactement deux.

3. L’authentification à deux facteurs rend-elle un compte impossible à pirater ?
Non. Elle rend la prise de contrôle plus difficile, mais une fausse page de connexion peut récupérer un code et les SMS peuvent être interceptés. La méthode choisie et vos habitudes sont donc toutes deux importantes.

4. Un mot de passe associé à un code PIN constitue-t-il une authentification à deux facteurs ?
Non. Les deux relèvent de quelque chose que vous connaissez et, selon les recommandations de NIST, comptent donc comme un seul facteur.

5. Quels comptes faut-il protéger en premier avec l’authentification à deux facteurs ?
CISA recommande de commencer par les comptes de messagerie, puis les services financiers, les réseaux sociaux et les boutiques en ligne. Les e-mails passent en premier, car ils servent souvent à réinitialiser l’accès à d’autres comptes.