Vous l’avez sûrement remarqué, depuis le 15 mai 2021, lorsque vous effectuez un paiement en ligne de plus de 30€ ou lors de certaines opérations bancaires, vous êtes soumis à l’authentification forte. C’est le résultat de la Directive DSP2 qui instaure un cadre plus strict afin de limiter les fraudes et d’améliorer la fiabilité des paiements en ligne. Mais ce nouveau système d’authentification est désormais mis en place par de nombreux acteurs. Revenons ensemble sur cette nouvelle norme de sécurité et sur les manières de la mettre en place.
Qu’est-ce que l’authentification forte ?
Le principe de l’authentification forte
L’authentification forte, authentification multifacteurs, authentification à deux facteurs ou bien encore double authentification est une procédure d’authentification qui combine au moins deux méthodes de connexion comme la méthode traditionnelle par mot de passe et une, voire plusieurs autres méthodes (SMS, appel, clé de sécurité, codes de secours, validation de connexion depuis un appareil sécurisé tel qu’un smartphone) pour plus de sécurité.
Pour mettre en place cette nouvelle méthode d’authentification, elle doit nécessairement reposer sur au moins 2 facteurs parmi les suivants :
• Quelque chose que vous êtes le seul à connaître comme un mot de passe ou un code
• Quelque chose que vous êtes le seul à posséder comme un téléphone ou une clé de sécurité aussi appelé clé de sécurité U2F pour Universal Second Factor (exemple : la clé de sécurité Titan Security Key)
• Une caractéristique biométrique comme l’empreinte digitale, la forme du visage ou bien encore l’iris d’un oeil
Ainsi, lors d’une tentative de connexion, vous êtes obligé de fournir deux preuves d’identité distinctes.
À ce propos, la norme U2F a été développée à l’origine par Google et Yubico. Aujourd’hui celle-ci est gérée par la FIDO Alliance.
Pourquoi mettre en place une authentification forte ?
La mise en place d’une authentification à deux facteurs permet de s’assurer que vous êtes bien à l’origine d’une opération ou d’une action effectuée depuis un téléphone mobile, une tablette ou un ordinateur.
Dans les entreprises, elle permet d’optimiser la sécurité de l’accès aux données et aux réseaux. Du côté du grand public, elle garantit aux utilisateurs plus de sécurité au quotidien. C’est pourquoi les banques (pour lesquelles c’est désormais obligatoire), les services de messageries électroniques et de stockage ou les réseaux sociaux, recommandent fortement son utilisation.
Certains grands acteurs du numérique comme Google en viennent même à l’imposer à leurs utilisateurs pour renforcer l’intégrité et la sécurité des comptes.
Les différentes solutions d’authentification forte
Comme nous l’avons vu précédemment, pour mettre en place un système d’authentification forte à plusieurs facteurs, il est obligatoire d’utiliser une première méthode combinée à une ou plusieurs autres méthodes. Dans tous les cas, toutes ces méthodes doivent respecter un des facteurs suivants :
• le facteur connaissance
• le facteur possession
• le facteur biométrique.
Pour vous aider à choisir les solutions que vous pouvez adopter, nous allons détailler quelques-unes d’entre elles pour chacun de ces facteurs.
L’authentification par le facteur “connaissance”
Le mot de passe ou la question secrète
Même si vous mettez en place une méthode d’authentification multifacteurs afin de protéger votre compte au cas où votre mot de passe serait compromis, nous vous conseillons de mettre en place en premier lieu un mot de passe fort en choisissant un bon mot de passe. Vous sécurisez ainsi deux fois plus vos données.
Certains outils comme le gestionnaire de mots de passe LockPass de LockSelf proposent de générer des mots de passe complexes pour vous et les enregistrent automatiquement afin de pouvoir vous en servir facilement.
L’application de génération de code
Utiliser des générateurs de codes à travers des applications comme Google Authenticator ou Microsoft Authenticator disponibles sur les systèmes d’exploitation Android et iOS, permettent lors du processus d’authentification sur un site ou un réseau social, d’accéder à un code unique et éphémère sur l’application pour pouvoir terminer de se connecter. Cette méthode de connexion est notamment proposée pour se connecter :
• sur les réseaux sociaux (exemples : Facebook, Twitter, LinkedIn, Instagram, …)
• sur les comptes de messageries électroniques (exemple : Gmail)
• sur certains sites web de vente en ligne (exemple : Amazon)
• sur certaines administrations de sites web (exemple : sites web utilisant le CMS WordPress)
L’authentification par le facteur “possession”
Détention d’un appareil connecté
En réalisant une opération sur un ordinateur, il est tout à fait possible de recevoir également un système d’authentification via un autre appareil à travers notamment une notification ou l’envoi d’un code par SMS sur son téléphone mobile. Il faut pour cela, avoir communiqué au préalable son numéro de téléphone au service sur lequel vous souhaitez vous connecter ou être connecté au même compte sur un autre appareil pour recevoir la notification de demande d’authentification.
La clé de sécurité
Moins connue et pourtant beaucoup plus sécurisée, l’utilisation d’une clé de sécurité (aussi appelé clé de sécurité U2F pour Universal Second Factor) au format USB-A, USB-C, Lightning ou bien encore utilisant les technologies Bluetooth et/ou NFC (Near Field Communication) est une méthode de connexion qui tend à se répandre, car plus facile d’utilisation. Cette clé physique contient une clé (un code ou bien un token) chiffrée et sécurisée. Cette clé permet de valider sa connexion aussi bien depuis un ordinateur via sa connectivité en USB-A ou USB-C mais également depuis un mobile via les technologies Bluetooth ou NFC.
Pour l’utiliser, il suffit de l’associer une première fois au compte auquel on souhaite se connecter puis lors des prochaines connexions, après avoir entré votre mot de passe, il suffira de brancher la clé pour qu’elle transmette les informations chiffrées qu’elle contient au site et valide ainsi la connexion. Il est possible d’indiquer certains appareils comme des appareils de confiance (exemples : ordinateur personnel ou smartphone) afin de ne pas avoir à relancer cette procédure lors de votre prochaine connexion.
Certains appareils sont dorénavant des clés de sécurité à part entière tels que les Google Pixel 5 ou Google Pixel 6 qui intègrent une puce de sécurité appelée Titan M et qui offre les mêmes garanties qu’une clé de sécurité physique.
L’authentification par le facteur “biométrique”
L’empreinte digitale et la reconnaissance vocale, faciale ou de l’iris
Pour plus de sécurité, il est enfin possible d’utiliser une méthode de reconnaissance biométrique qui est propre à chaque être humain et qui est plus difficile à copier, comme celle de l’empreinte digitale ou de la reconnaissance vocale, faciale ou de l’iris. Pour cela, il est nécessaire que l’appareil sur lequel vous vous authentifiez soit doté d’un système lui permettant de reconnaître ces différents éléments.
Vous connaissez maintenant l’intérêt de l’authentification forte et vous savez comment la mettre en place pour vos différents comptes ! Vous souhaitez en apprendre davantage sur les bonnes pratiques informatiques à adopter, découvrez notre formation.
Envie de partager cet article ?
