Fonctionnement et mise en oeuvre de l'authentification à 2 facteurs

L'authentification à deux facteurs (2FA) est une méthode d'accès sécurisée qui repose sur deux formes d'identification (appelées facteurs), le plus souvent un mot de passe associé à un second facteur comme un jeton physique, un code généré par une application sur le téléphone de l'utilisateur ou une empreinte biométrique. L'objectif principal de la 2FA est de fournir une deuxième couche de protection pour l'accès aux systèmes et aux comptes et de rendre ainsi plus difficile le contournement des contrôles de sécurité. L'authentification à deux facteurs exige des utilisateurs qu'ils prouvent leur identité autrement que par un simple mot de passe pour obtenir l'accès, généralement en associant quelque chose qu'ils connaissent (un mot de passe) à quelque chose qui est en leur possession (un jeton de sécurité) ou à une information plus constitutive (des données biométriques). Les violations de données ou de mauvaises pratiques ont largement entamé la sécurisation des données d’identification par mots de passe, incitant de plus en plus de personnes, d’entreprises et de fournisseurs de services à adopter l'authentification à deux facteurs pour mieux sécuriser leurs données et leurs systèmes.

Pourquoi utiliser l'authentification à deux facteurs ?

Plus de 20 milliards de paires d’adresses électroniques associées à un mot de passe sont disponibles sur les marchés des cybercriminels, dark web compris, toutes issues des multiples violations de données. On comprend pourquoi la seule utilisation de mots de passe pour l'authentification est devenue insuffisante. Par ailleurs, encore trop de gens réutilisent leurs mots de passe sur plusieurs comptes, une pratique qui n’a pas échappé aux pirates qui, avec la même paire d'adresses électroniques et de mots de passe, arrivent à gagner un accès à des dizaines de sites. Le rapport « 2023 Threat Horizons Report » de Google a révélé que 86 % des violations impliquaient des identifiants volés, et le rapport « 2024 Data Breach Investigations Report » de Verizon a attribué plus des deux tiers des violations (68 %) à « un facteur humain », notamment à des mots de passe faibles et à une mauvaise formation de l'utilisateur final pour l’accès aux comptes.

Beaucoup de sites utilisent ce que l'on appelle des « questions de sécurité » ou des « authentifications basées sur les connaissances » pour remplacer les mots de passe. Par exemple : « Quel est le nom de jeune fille de votre mère ? », ou « Dans quelle ville êtes-vous né(e) ? » Ces questions sont souvent posées en plus du mot de passe quand l’utilisateur se connecte à un site à partir d'un nouvel ordinateur ou d'une nouvelle connexion réseau. Cependant, des faiblesses persistent : en effet, compte tenu de la quantité d'informations personnelles accessibles au public pour ceux qui savent où chercher, un pirate déterminé pourrait probablement trouver les réponses à ces questions pour compromettre un compte, ou les contourner par le biais d'attaques d'ingénierie sociale. Plus important encore, ces questions ne représentent pas un véritable deuxième facteur de sécurité et ne peuvent donc pas offrir la sécurité multicouche de l'authentification à deux facteurs 2FA.

Avantages de l'authentification à deux facteurs

La 2FA présente plusieurs avantages :

• Amélioration de la sécurité : l'authentification à deux facteurs réduit considérablement le risque d'accès non autorisé en incluant un deuxième facteur d'identification en plus du mot de passe. Cette couche supplémentaire offre une sécurité accrue au cas où un mot de passe tomberait entre de mauvaises mains.

• Conformité : En raison de violations généralisées, certains secteurs, tels que la défense, les autorités légales et l’administration, ont institué des réglementations exigeant des contrôles d'accès au-delà des mots de passe, y compris la 2FA, pour accéder à des systèmes ou à des entités spécifiques. D'autres secteurs, tels que la finance et la santé, disposent de réglementations relatives à la sécurité et à la confidentialité des données qui imposent des pratiques de sécurité des mots de passe.

• Protection supplémentaire contre le phishing : selon l'Agence de cybersécurité et de sécurité des infrastructures (Cybersecurity and Infrastructure Security Agency, CISA), plus de 90 % des cyberattaques commencent par du phishing. L'authentification à deux facteurs fournit une couche supplémentaire de défense, au cas où un employé serait victime d'une tentative de phishing, compromettant ainsi ses identifiants de mot de passe.

• La tranquillité d'esprit du client : même si l'authentification à deux facteurs oblige les clients à franchir une étape supplémentaire pour accéder à leurs comptes, sa mise en place pour la fourniture de services peut contribuer à les rassurer sur la sécurité de leurs données ou de leurs transactions.

Fonctionnement de l'authentification à deux facteurs

Pour comprendre ce qu'implique l'authentification à deux facteurs 2FA, il faut d'abord savoir ce qu'est un « facteur » dans la terminologie de la sécurité des accès. Un facteur est un élément d'information nécessaire à l'authentification d'une identité. D'une manière générale, on peut répartir les facteurs en six catégories :

• La connaissance : ce type de facteur implique quelque chose que l'utilisateur connaît, comme un mot de passe ou une réponse à une question de sécurité.

• La possession : pour valider l'identité d'un utilisateur, un système de sécurité peut utiliser un élément que l'utilisateur est censé posséder, comme un numéro de téléphone spécifique ou un jeton de sécurité.

• L’inhérence : les données biométriques, par exemple des empreintes digitales ou la reconnaissance faciale, peuvent être utilisées pour authentifier un utilisateur sur la base d'un élément inhérent à son identité.

• Le comportement : ce type de facteur utilise les caractéristiques d'identification des comportements propres à un utilisateur, comme la reconnaissance vocale.

• La localisation : la localisation géographique peut aussi servir à authentifier un utilisateur, à l’aide de la géolocalisation GPS ou IP.

• Le temps : le temps peut aussi être utilisé comme facteur, le plus souvent en conjonction avec l'un des éléments ci-dessus. Par exemple, un code d'accès à usage unique (One Time Password, OTP) envoyé par message texte à un appareil (possession) avec une fenêtre d'authentification limitée à 5 minutes.

La véritable 2FA associe le premier facteur d'authentification, généralement un mot de passe (la connaissance), à un second facteur de nature totalement différente : ce qu’il a (la possession) ; ce qu’il est (l’inhérence) ; ce qu’il fait (le comportement) ; l'endroit où il se trouve (lla ocalisation). Les utilisateurs devront fournir deux facteurs pour avoir accès à leurs comptes.

En aval, les entreprises qui déploient une authentification à deux facteurs doivent fournir aux utilisateurs les interfaces nécessaires pour délivrer les deux facteurs d'identification, ce qui peut inclure l'intégration avec des systèmes SMS pour l'envoi d'OTP à des smartphones, l'utilisation d'API biomédicales matérielles sur un ordinateur portable ou un appareil portable, ou le développement d’une application pour les plateformes de smartphones. Les entreprises auront également besoin d'un serveur d'authentification capable de vérifier les deux facteurs utilisés. Ce serveur devra aussi être intégré à l'application ou au service que le système 2FA est censé protéger pour en autoriser l'accès.

Exemples de méthodes d'authentification 2FA

Compte tenu de la myriade de facteurs pouvant être utilisés pour l'authentification à deux facteurs, l'éventail des possibilités est large. Les méthodes les plus courantes consistent à compléter un mot de passe par l'un des éléments suivants :

• Un mot de passe à usage unique (One Time Password, OTP) : avec cette méthode, des codes à usage unique générés au hasard sont envoyés à un utilisateur, par SMS ou par courriel, pour une utilisation unique afin d'authentifier son identité par le biais d'un facteur de possession.

• La biométrie : la numérisation des empreintes digitales est un exemple d'utilisation de la biométrie pour l'authentification. La reconnaissance faciale via un smartphone devient une pratique de plus en plus courante pour la 2FA.

• Des applications d'authentification : l'utilisation d'applications qui génèrent des OTP temporels ou événementiels que les utilisateurs doivent saisir lors de la connexion est un autre facteur couramment utilisé pour l'authentification 2FA.

• Des jetons physiques : les jetons matériels ou physiques qui génèrent des codes à usage unique sont un autre facteur courant. Ces jetons sont souvent basés sur une clé USB ou sur un écran. C’est le cas par exemple du RSA SecurID. La 2FA matérielle est considéré comme plus sûre que les versions logicielles, puisqu’elle impose de posséder physiquement le jeton.

• La notification push : certaines configurations 2FA comprennent une étape au cours de laquelle les utilisateurs reçoivent des notifications push sur un appareil enregistré à partir duquel ils doivent approuver ou refuser une tentative de connexion.

• L’authentification basée sur la localisation : vérifier si un utilisateur tente de se connecter à partir d'un lieu connu est une autre façon de procéder à l'authentification 2FA. Si l'utilisateur se connecte à partir d'un lieu inconnu, une vérification supplémentaire peut être effectuée, au moyen d'une notification push ou d'un OTP, par exemple.

L’authentification multifactorielle

L'authentification à deux facteurs n'est qu'un sous-ensemble du concept plus large d'authentification multifactorielle (Multi-Factor Authentication, MFA), puisqu'en théorie, il est possible d'agréger n'importe quel nombre de facteurs requis pour authentifier les utilisateurs avant de leur accorder l'accès à des données sécurisées.

Efficacité de l'authentification à deux facteurs

Même si l'authentification à deux facteurs offre une couche de sécurité supplémentaire, elle n'est pas une panacée. Si un pirate informatique brise l'un des maillons de la chaîne 2FA, il peut compromettre le système. Et si la 2FA peut réduire la probabilité de réussite des attaques par phishing et par ingénierie sociale, le phishing et l'ingénierie sociale restent les méthodes préférées des pirates pour casser la 2FA. De plus, toutes les méthodes d'authentification ne sont pas aussi sûres les unes que les autres. Par exemple, l'authentification à deux facteurs par SMS, l'une des plus populaires aujourd'hui, est, selon l’Institut national des normes et de la technologie (National Institute of Standards and Technology, NIST), toujours considérée comme risquée, car les opérateurs de téléphonie mobile peuvent être un maillon faible de la chaîne. L'échange de cartes SIM, par exemple, est l'une des méthodes utilisées par les pirates pour intercepter les messages 2FA.

Niveaux de sécurité des différents facteurs couramment utilisés pour la 2FA :

• Facteurs à faible niveau d'assurance : mots de passe ; OTP matériel ; OTP par SMS, voix, courrier électronique.

• Facteurs d'assurance moyenne : OTP par jeton physique ; authentificateurs push.

• Facteurs d'assurance élevée : authentificateurs basés sur des plateformes ; biométrie.

Modalités d’attaques de la 2FA par les pirates

Les moyens les plus populaires et les plus efficaces utilisés par les pirates pour contourner l'authentification 2FA sont : les attaques de type « man-in-the-middle » ou « attaque de l'homme du milieu » par SMS ; les attaques de la chaîne d'approvisionnement ; le contournement du flux d'authentification MFA compromis ; les attaques de type « pass-the-cookie » ; les attaques par falsifications côté serveur.

Fournisseurs d'authentification à deux facteurs et à plusieurs facteurs

Puiseurs fournisseurs peuvent aider les entreprises à déployer l'authentification à deux facteurs ou à plusieurs facteurs pour leurs utilisateurs. Parmi les solutions les plus riches en fonctionnalités et les plus populaires, on peut citer : Cisco Secure Access by Duo, IBM Security Verify, LastPass MFA, Microsoft Azure AD MFA, Okta Adaptive MFA, PingOne MFA, RSA SecurID, Yubico Yubikey.

Activer l'authentification à deux facteurs en tant qu'utilisateur

En tant que consommateur, le processus d’activation de l'authentification à deux facteurs pour tous ses comptes peut être assez décourageant. The Verge a dressé une liste détaillée et fréquemment mise à jour des principaux fournisseurs de services, y compris Apple et tous les principaux sites de médias sociaux, avec des instructions sur la façon d'activer l'authentification à deux facteurs pour ses comptes. Voilà, ci-dessous, des ressources plus spécifiques pour deux sites majeurs qui permettent de se faire une idée des problèmes liés au processus.

La 2FA selon Google

Google appelle son système d'authentification à deux facteurs « Vérification en deux étapes » ou « Two-Step Verification ». Pour commencer, suivre les étapes indiquées sur la page de renvoi de Google pour ce service. Au moment de se connecter à son compte Google, l’utilisateur reçoit un code par SMS qu’il doit saisir. Il peut également commander une clé de sécurité Titan s’il préfère un jeton de sécurité physique. S’il le souhaite, il peut désactiver l'option 2FA pour certains ordinateurs de confiance. Ainsi, il n’aura pas à gérer en permanence plusieurs facteurs de sécurité quand il se connecte à partir du même ordinateur, mais toute personne se connectant à distance devra prouver à nouveau son identité.

La 2FA chez Epic Games et Fortnite

Epic Games, créateur du très populaire jeu Fortnite, permet aussi à ses utilisateurs de configurer leur compte avec une authentification à deux facteurs. Windows Central explique pourquoi ce compte en particulier doit être doublement protégé : de nombreux escrocs ciblent les jeunes joueurs de la plateforme en leur proposant des liens alléchants vers des Vbucks gratuits, la monnaie du jeu Fortnite. Il s'agit en fait d'escroqueries par hameçonnage qui visent à récupérer les identifiants de connexion des joueurs et à accéder à leurs comptes (et aux informations de paiement enregistrées pour acheter des Vbucks).

Les parents d'enfants adeptes de Fortnite ont tout intérêt à ajouter la fonction 2FA à leur compte Epic Games. D’autant que l'activation du 2FA pour Fortnite est très simple : il suffit de se rendre sur la page des paramètres de son compte, de cliquer sur l'onglet « Mot de Passe et Sécurité » (Password & Security) et, sous la rubrique Authentification à Deux Facteurs (Two-Factor Authentication), de choisir l'option Activer l’Authentification par l’Application (Enable Authenticator App) ou Activer l’Authentification par Émission de Courriel (Enable Email Authentication). Avec l'option d'authentification par courriel, l’utilisateur recevra un courriel contenant un code de sécurité à chaque fois qu’il se connectera à son compte ; l’option impliquant l’application d'authentification utilise les applications courantes répertoriées sur le site. Pour montrer à quel point Epic Games tient à ce que ses utilisateurs s’inscrivent à l'authentification 2FA, l’entreprise offre une Emote spéciale aux joueurs de Fortnite qui activent la fonction.