Authentification à deux facteurs : codes, applications et SMS

Module 2: Mots de passe et connexion · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez comparer les formes d'authentification à deux facteurs (SMS, e-mail, TOTP, push), reconnaître les attaques qui les visent et organiser une solution de secours en cas de perte de votre téléphone.

Notions clés : 2FA/MFA, facteur (savoir, posséder, être), TOTP, secret partagé, notification push, fatigue MFA, sim-swap, codes de récupération

Deux preuves différentes

Un mot de passe est quelque chose que vous savez. S'il fuite, n'importe qui qui le connaît peut se connecter. L'authentification à deux facteurs (2FA) demande donc une seconde preuve d'un autre type. Au delà de deux, on parle d'authentification multifacteur (MFA) ; dans la pratique, les deux termes sont utilisés indifféremment.

Il existe trois types de facteurs :

• Savoir : un mot de passe ou un code PIN.
• Posséder : votre téléphone avec une application, une clé de sécurité, une carte.
• Être : votre empreinte digitale ou votre visage.

Deux fois le même type ne compte pas : un mot de passe plus une question de sécurité sont deux choses que vous savez. L'ANSSI recommande vivement d'utiliser la MFA sur tout système et compte qui le permet, et en particulier sur les comptes accessibles via internet et les comptes disposant de droits d'administration. Pour une petite entreprise, cela concerne au minimum : la messagerie, l'hébergement et l'enregistrement du domaine, la banque, la comptabilité, la boutique en ligne, le gestionnaire de mots de passe et les réseaux sociaux de l'entreprise.

Les différentes formes, comparées

Chaque méthode vaut bien mieux que l'absence de seconde étape. Mais le tableau montre aussi ceci : tout ce où vous recopiez un code ou approuvez une notification peut être exploité par un escroc sur son faux site. Le NIST l'affirme sans détour dans SP 800-63B-4 : les méthodes où vous saisissez vous même le résultat ne résistent pas au phishing.

Comment fonctionne une application d'authentification

Une application d'authentification utilise le TOTP : Time-based One-Time Password, décrit dans la RFC 6238. Voici comment cela fonctionne :

1. Lors de la configuration, le service génère un secret partagé aléatoire, par exemple 32 caractères comme JBSWY3DPEHPK3PXP.... Ce secret est contenu dans le QR code que vous scannez, ou vous pouvez le saisir manuellement comme « clé manuelle ».
2. Votre application et le service disposent désormais tous deux du même secret. Aucun contact supplémentaire entre les deux n'est ensuite nécessaire.
3. Toutes les 30 secondes, les deux calculent le secret combiné à l'heure actuelle pour obtenir un code à 6 chiffres. Comme ils partagent le même secret et la même horloge, le résultat est identique.
4. Lors de la connexion, le service compare votre code à son propre résultat, généralement avec une marge d'une période avant ou après pour tenir compte d'une horloge légèrement décalée.

Deux conséquences :

• Le secret est le véritable verrou. Quiconque voit le QR code ou la clé manuelle peut générer indéfiniment les mêmes codes que votre téléphone. N'en faites donc jamais de capture d'écran, ne le partagez avec personne et ne l'envoyez pas à un collègue.
• Le code fonctionne aussi sans internet et ne transite pas par le réseau téléphonique. C'est pourquoi le TOTP est plus robuste que le SMS.

Il existe plusieurs types d'applications d'authentification : seules sur votre téléphone, intégrées à un gestionnaire de mots de passe, open source ou éditées par une grande entreprise technologique, avec ou sans sauvegarde chiffrée dans le cloud. Citons par exemple Aegis, Google Authenticator et Microsoft Authenticator, en plus de la fonction intégrée à des gestionnaires comme Bitwarden ou 1Password. Une sauvegarde est pratique en cas de changement de téléphone, mais l'ANSSI prévient : une sauvegarde mal chiffrée donne également accès à un attaquant.

Sim-swap : pourquoi le SMS est la méthode la plus faible

Lors d'un sim-swap, un escroc s'empare de votre numéro de téléphone. Il fait transférer votre numéro vers une carte SIM ou une eSIM qu'il possède lui même. Il y parvient par exemple en se faisant passer pour vous auprès de votre opérateur, ou en vous faisant vous même participer : Cybermalveillance.gouv.fr met en garde contre les SMS et appels téléphoniques « de la part de votre opérateur » demandant de valider votre carte SIM ou de la transférer en urgence vers une eSIM.

Dès que cela réussit :

• votre téléphone perd soudainement tout réseau et vous ne pouvez plus ni appeler ni envoyer de SMS ;
• l'escroc reçoit tous les codes par SMS, y compris les codes « mot de passe oublié » des services qui utilisent votre numéro comme moyen de récupération ;
• il peut parfois reprendre des comptes avec votre seul numéro.

Le problème : vous ne vous en rendez compte que lorsque votre téléphone ne fonctionne plus du tout, souvent le soir ou le week-end. Le NIST qualifie donc le SMS de méthode limitée et indique que les services doivent surveiller des signaux comme une nouvelle carte SIM ou un numéro transféré. L'ANSSI recommande d'éviter le SMS autant que possible, car les messages ne sont pas chiffrés et peuvent être interceptés.

Que faire ?

• Préférez, dès que possible, une application ou une passkey plutôt que le SMS.
• Supprimez votre numéro de téléphone comme moyen de récupération là où c'est un point faible, ou protégez le davantage.
• Demandez à votre opérateur si vous pouvez configurer un code PIN ou une vérification supplémentaire pour le transfert de votre numéro.
• Votre réseau disparaît soudainement sans raison ? Appelez votre opérateur depuis un autre appareil. N'attendez pas.

Le SMS reste préférable à rien. Si un service ne propose que le SMS, activez le quand même.

Fatigue MFA : la notification que vous écartez

Avec une notification push, vous n'avez rien à recopier : votre téléphone demande « Essayez vous de vous connecter ? » et vous appuyez sur Approuver. C'est pratique, et c'est justement pour cela que c'est détourné.

Lors d'une fatigue MFA (aussi appelée bombardement push), un attaquant possède déjà votre mot de passe. Il se connecte sans cesse, de sorte que votre téléphone reçoit notification après notification, parfois en pleine nuit. L'agence américaine CISA décrit comment, par agacement ou par erreur, certaines personnes finissent par appuyer sur Approuver, ou pensent que l'une des notifications doit bien être légitime. Parfois, l'attaquant appelle même en plus, se faisant passer pour « le support technique », en demandant d'approuver la demande.

Un cas réel décrit par l'ANSSI : des attaquants sont parvenus, via la fatigue MFA, à accéder aux comptes de messagerie d'une entreprise éditrice de logiciels, puis les ont utilisés pour commettre une fraude à la facture.

Les règles :

• N'approuvez jamais une notification que vous n'avez pas vous même provoquée. Même pas la vingtième.
• Une notification inattendue signifie que quelqu'un possède votre mot de passe. Changez le immédiatement et signalez le.
• Préférez, dès que possible, la saisie d'un code de vérification : l'écran de connexion affiche un nombre que vous saisissez dans l'application. Celui qui n'est pas devant l'écran de connexion ne peut alors pas approuver. CISA qualifie cela d'étape intermédiaire utile, mais plus faible qu'une MFA résistante au phishing.

Récupération : organisez la avant de perdre votre téléphone

Votre téléphone tombe à l'eau, est volé ou tombe en panne. Sans préparation, vous voilà exclu de vos propres comptes. C'est pourquoi existent les codes de récupération (aussi appelés codes de secours) : une liste de codes de réserve que vous recevez lors de la configuration et dont chacun ne fonctionne qu'une seule fois.

• Ne les conservez pas sur le même téléphone que votre application d'authentification. Imprimez les et rangez les avec vos documents importants, ou conservez les dans votre gestionnaire de mots de passe à l'élément correspondant.
• Un code de récupération utilisé ? Barrez le. S'ils sont épuisés, générez en de nouveaux.
• Prévoyez au moins deux moyens d'accéder à votre compte : par exemple l'application plus les codes de récupération, ou deux clés de sécurité.
• En cas de nouveau téléphone, transférez d'abord vos comptes puis effacez seulement ensuite l'ancien appareil.
• Renseignez vous sur la procédure de récupération de vos services les plus importants. Un bon service ne réinitialise pas votre second facteur sur simple e-mail ou appel téléphonique, mais vérifie d'abord qu'il s'agit bien de vous.

En pratique : voici à quoi cela ressemble

Dans l'environnement WebOké, Mon WebOké vous demande toujours, après votre mot de passe, une seconde étape : par défaut un code par e-mail, et vous pouvez basculer vers une application d'authentification. Dans DirectAdmin, cela s'appelle Authentification à deux facteurs, avec des codes de récupération. Dans Nextcloud, vous activez le TOTP et générez dix codes de secours. Chez d'autres fournisseurs, le fonctionnement est similaire : cherchez dans votre profil ou vos paramètres de sécurité les termes « authentification à deux facteurs », « 2FA », « authenticator » ou « two-factor ».

Les étapes sont presque toujours les mêmes : scanner le QR code, saisir un code de vérification, enregistrer les codes de récupération.

Résumé

• La 2FA combine deux types de facteurs : savoir, posséder, être.
• Le TOTP fonctionne avec un secret partagé et l'horloge. Le secret (QR code) est le véritable verrou : ne le partagez jamais.
• Le SMS est la méthode la plus faible à cause du sim-swap et de l'interception, mais reste préférable à rien.
• Fatigue MFA : n'approuvez jamais une notification que vous n'avez pas vous même provoquée, puis changez votre mot de passe.
• Les codes et notifications ne résistent pas au phishing ; les passkeys et clés de sécurité, si (leçon 2.4).
• Organisez des codes de récupération et une seconde méthode avant de perdre votre téléphone.

Quiz

Exercice

Exercice A2.3 : Associer une application d'authentification. Vous recevez un QR code d'un compte d'exercice « WebOké oefening ». Scannez le avec une application d'authentification de votre choix et saisissez deux codes qui apparaissent l'un après l'autre. Le programme vérifie si votre application calcule correctement. Le secret d'exercice n'a aucune valeur et est supprimé après 24 heures ; supprimez ensuite le compte d'exercice de votre application.

Exercice D2.3 : Activer l'authentification à deux facteurs sur vos comptes principaux. Activez l'authentification à deux facteurs sur votre messagerie, votre hébergement ou l'enregistrement de votre domaine, votre banque, votre comptabilité et votre gestionnaire de mots de passe. Conservez les codes de récupération à un second endroit et répondez à la question de ce que vous feriez si vous perdiez votre téléphone demain.

Pour aller plus loin

Les étapes décrites dans les articles WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Vérification en deux étapes dans Mon WebOké et configuration d'une application d'authentification
• Guide WebOké 3.2: Le code de connexion par e-mail (vérification en deux étapes)
• Guide WebOké 3.3: Utiliser une application d'authentification
• Guide DirectAdmin 3.2: Configurer l'authentification à deux facteurs
• Guide DirectAdmin 3.3: Codes de récupération, et que faire si vous avez perdu votre authentificateur
• Guide Nextcloud 3.3: Configurer une application d'authentification et conserver des codes de récupération
• Guide Nextcloud 3.10: Téléphone perdu ou 2FA perdue : comment récupérer l'accès à votre compte
• Configurer l'authentification à deux facteurs (2FA) dans Nextcloud
• ANSSI, Recommandations relatives à l'authentification multifacteur : https://cyber.gouv.fr/
• Cybermalveillance.gouv.fr, Alerte sur les faux messages d'opérateurs et le transfert de carte SIM : https://www.cybermalveillance.gouv.fr/
• CISA, Implementing Number Matching in MFA Applications (en anglais) : https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (en anglais) : https://www.rfc-editor.org/rfc/rfc6238