La double authentification : une sécurité essentielle ?

Tout d'abord, savez-vous ce que signifie le terme "authentification" lorsque l'on parle de services en ligne ? À cette question, tout internaute qui jongle avec quelques services en ligne tels que la messagerie, ou encore les réseaux sociaux peut déjà répondre. L'authentification permet de sécuriser l'accés au service en ligne concerné. Dans de nombreux cas elle se traduit par une association nom utilisateur / mot de passe (user-login/password). Par exemple pour un compte de messagerie, le nom d'utilisateur correspond à l'adresse email (qui doit être unique pour différencier les comtpes) et le mot de passe correspond à la chaine de caractères alphanumériques associée au compte.

• Mais alors, qu'est-ce que la double authentification ?

Comme nous venons de le voir, l'authentification "classique" s'appuie sur un seul critére de sécurité qui est le mot de passe. Bien souvent le nom d'utilisateur est facilement identifiable, comme les adresses emails par exemple. Si le mot de passe est trouvé, alors le compte est corrompu et n'est plus sécurisé. C'est là que la double authentification entre en jeu. Au lieu de garder un seul critère de sécurité qui est le mot de passe (souvent toujours le même en plus d'un service à l'autre), elle rajoute un élément de sécurité supplémentaire.

Remarque : la double authentification peut aussi s'appeler validation à deux étapes ou encore authentification forte à deux facteurs.

• Sous quelle forme se traduit alors la double authentification ?

On pourrait alors croire à un second mot de passe, mais cela compliquerait la tâche des internautes car il faudrait associer deux mots de passe pour chaque compte en ligne. Au lieu de ça, le second facteur de la double authentification est (dans de très nombreux cas) un code qui est généré en lien avec le temps qui passe (ce code change toutes les x minutes). Bien évidemment ce code est généré et affiché par une application (OAuth, Google authenticator, etc.) sur votre smartphone. Ou alors pour ceux qui préfèrent, il est possible de recevoir le code par SMS sur son téléphone portable.

• Quels sont les avantages de la double authentification ?

À première vue, le compte semble doublement plus sécurisé car on pense que deux codes valent mieux qu'un... Mais c'est bien plus que ça. En effet, lors d'une authentification "classique" toutes les informations dont dépend la sécurité font partie du monde virtuel (nom d'utilisateur / mot de passe). Ces deux données peuvent être trouvées sans que l'on connaisse personnellement ou que l'on ait besoin d'objet physique appartenant au propriétaire du compte en ligne. Avec la double authentification, il faut possèder le téléphone mobile du propriétaire afin de pouvoir se connecter à son compte en ligne. Cela complique donc la tâche des pirates, puisqu'ils ont alors besoin de sortir de derrière leurs écrans (voler votre téléphone / smartphone) pour avoir accès à votre compte...

• Quels sont les désavantages de la double authentification ?

Comme pour toutes solutions technologiques, il y a des avantages et des inconvénients qui en découlent... Tout d'abord cela prend plus de temps pour se connecter à son compte. Ensuite, vu que le code change en fonction du temps, il n'est pas possible de pré-enregistrer la connexion à un service en ligne. Mais surtout le téléphone devra être à vos côtés (pour ouvrir l'application ou recevoir le SMS) afin que vous puissiez vous connecter.

• Que se passe-t-il en cas de vol ou de perte de votre smartphone / téléphone mobile ?

Dans le cas du vol de votre mobile, il ne faut pas s'inquiéter car de toute façon le voleur ne connait pas votre mot de passe (normalement !). Donc il lui manquera un élément pour pouvoir se connecter à votre compte. Mais alors vous, comment allez-vous faire pour vous connecter à votre compte sans le second élément d'authentification qu'est le code ? Il faut savoir qu'il existe justement des codes de secours (fixes, en quelques sortes des mots de passe) à usage unique bien plus long que les codes variables. Ces codes de secours sont alors à garder dans un endroit sécurisé pour ce genre de situation.

Comme toujours avec les problèmes de sécurité, il faut trouver le juste milieu afin de ne pas trop se compliquer la vie tout en restant protégé. Un grand paradigme de la sécurité informatique est le suivant : le niveau de sécurité d'un système correspond à son maillon le plus faible ! En d'autres termes, rien ne sert de chercher à ajouter une double authentification à votre compte si votre mot de passe principal est 123456 (si en plus c'est le même mot de passe pour tous les services en ligne que vous utilisez)...