Authentification à deux facteurs

Ce que signifie l'authentification à deux facteurs

L'authentification à deux facteurs, souvent abrégée en 2FA, est une méthode de connexion qui demande deux types de preuves différents attestant que vous êtes bien la personne que vous prétendez être. Le premier est généralement quelque chose que vous connaissez, comme votre mot de passe. Le second est quelque chose que vous possédez, comme un téléphone doté d'une application d'authentification, une clé de sécurité physique ou un code reçu par SMS, ou quelque chose que vous êtes, comme une empreinte digitale ou une reconnaissance faciale.

L'idée est simple. Un mot de passe volé ou deviné ne suffit pas à lui seul, car l'attaquant a aussi besoin du second élément. Les mots de passe fuitent lors de violations de données, sont réutilisés d'un site à l'autre et peuvent être capturés par de fausses pages de connexion. Un second facteur ajoute un obstacle que ces attaques courantes ont du mal à franchir.

Pour toute personne titulaire d'un compte de courtage, de trading ou de paiement, la 2FA est l'une des protections les plus efficaces et les moins coûteuses qui soient. Les comptes contiennent de l'argent et des documents personnels, et ils peuvent servir à passer des ordres ou à demander des retraits : ils constituent donc une cible naturelle pour les criminels. De nombreuses sociétés réglementées exigent ou recommandent fortement la 2FA, et dans certaines régions, les règles d'authentification forte du client applicables aux paiements font qu'elle s'applique à certaines opérations, que vous l'ayez choisie ou non.

Comment cela fonctionne

Le processus ajoute une étape après le mot de passe.

1. Vous saisissez votre identifiant et votre mot de passe comme d'habitude.
2. Le service demande un second facteur. Il peut s'agir d'un code à six chiffres qui change toutes les 30 secondes, d'une notification push que vous approuvez, d'un contact avec une clé physique ou d'un contrôle biométrique.
3. Le service vérifie le second facteur par rapport à ce qu'il attend. Si les deux sont corrects, la session démarre.

Les principaux types diffèrent par leur niveau de sécurité.

• Les codes par SMS ou appel vocal. Un code est envoyé à votre numéro de téléphone. Simple à mettre en place, mais plus faible, car les numéros de téléphone peuvent être détournés par échange de carte SIM (SIM swapping) et les messages peuvent être interceptés.
• Les applications d'authentification. L'application et le service partagent un secret lors de la configuration. L'application génère ensuite localement des codes à usage unique basés sur le temps, sans avoir besoin de réseau. C'est le choix standard habituel.
• Les approbations par notification push. Le service envoie une demande à une application enregistrée et vous l'approuvez ou la refusez. Pratique, mais exploitable si vous approuvez par habitude.
• Les clés de sécurité physiques. Un petit appareil qui prouve votre identité de manière cryptographique et qui est lié à la véritable adresse du site web, ce qui le rend résistant aux fausses pages de connexion. C'est généralement l'option la plus solide pour les utilisateurs ordinaires.
• La biométrie. La reconnaissance d'empreinte ou de visage sur un appareil, qui sert généralement à déverrouiller un identifiant stocké plutôt qu'à être envoyée au service lui-même.

Les services délivrent aussi des codes de secours lors de la configuration. Ils vous permettent d'accéder à votre compte si vous perdez l'appareil, et doivent être conservés hors ligne.

Un exemple chiffré

Il s'agit d'un scénario illustratif. Un trader utilise le même mot de passe sur un forum et sur un compte de courtage. Le forum subit une violation de données, et le mot de passe apparaît dans une liste vendue en ligne.

Sans 2FA

1. Un attaquant essaie l'e-mail et le mot de passe divulgués sur la page de connexion du courtier.
2. Cela fonctionne. L'attaquant accède au compte, modifie les coordonnées de contact et tente une demande de retrait.

Avec la 2FA par application d'authentification

1. L'attaquant essaie les mêmes e-mail et mot de passe.
2. Le courtier demande un code à six chiffres. L'attaquant n'a pas le téléphone du trader et ne peut pas en produire un.
3. La connexion échoue. Le trader peut recevoir une notification de la tentative infructueuse et peut changer son mot de passe.

Le mot de passe divulgué était le même dans les deux cas. La différence tient à un second obstacle. Si l'attaquant avait plutôt amené le trader à saisir un code sur une fausse page de connexion en temps réel, un code d'application pourrait tout de même être relayé ; c'est pourquoi les clés physiques et les méthodes résistantes à l'hameçonnage sont appréciées.

Pourquoi c'est important

La prise de contrôle de compte est l'une des principales causes de fraude dans le trading de détail, et ses conséquences peuvent inclure des opérations non autorisées, des tentatives de retrait frauduleuses, l'usurpation d'identité et l'utilisation abusive des documents que vous avez transmis pour la vérification. La récupération peut être lente, et toutes les pertes ne sont pas remboursées, car les conditions dépendent de la société et du fait que vous ayez fait preuve de négligence avec vos identifiants.

Les dispositifs de sécurité diffèrent aussi d'un courtier à l'autre. Certains imposent la 2FA à chaque connexion et pour les retraits, d'autres la proposent en option, et certains ne prennent en charge que le SMS. La protection des retraits, comme une confirmation supplémentaire pour l'ajout d'un nouveau compte bancaire, peut compter autant que la connexion elle-même. L'approche d'un courtier en matière d'authentification est un indice de l'importance qu'il accorde à la sécurité de ses clients, au même titre que les comptes clients ségrégués et d'autres contrôles.

Comment l'utiliser concrètement

1. Activez la 2FA pour votre courtier, votre messagerie, votre banque et tous vos comptes de paiement ou de cryptomonnaies. La messagerie est essentielle, car elle permet de réinitialiser tous les autres mots de passe.
2. Préférez une application d'authentification ou une clé physique au SMS lorsque le service le propose.
3. Enregistrez les codes de secours hors ligne, par exemple imprimés et rangés en lieu sûr, et non dans le même compte de messagerie.
4. Utilisez un mot de passe unique pour chaque service, idéalement généré et conservé dans un gestionnaire de mots de passe.
5. Vérifiez si votre courtier propose une confirmation supplémentaire pour les retraits et les modifications de coordonnées bancaires, et activez-la.
6. Gardez votre numéro de téléphone et votre adresse e-mail à jour afin de pouvoir récupérer l'accès.
7. Ne communiquez jamais un code à qui que ce soit, y compris à une personne qui se présente comme le support. Le personnel authentique ne le demande pas.
8. Consultez régulièrement les notifications de connexion et d'appareil envoyées par le courtier.

Erreurs courantes et idées reçues

• Croire que les codes SMS sont aussi solides que les codes d'application. Ils valent mieux que rien, mais sont exposés à l'échange de carte SIM.
• Approuver des demandes push que vous n'avez pas initiées. Les demandes inattendues doivent être refusées et le mot de passe changé.
• Perdre l'unique appareil sans sauvegarde. Sans codes de secours, la récupération peut exiger de longues vérifications d'identité.
• Croire que la 2FA rend l'hameçonnage inoffensif. Les attaques par relais en temps réel peuvent capturer les codes à usage unique. Vérifiez l'adresse web avant de les saisir.
• Utiliser la 2FA sur le compte du courtier mais pas sur la messagerie. Un attaquant qui contrôle la messagerie peut souvent réinitialiser le mot de passe du courtier et parfois le second facteur.
• Communiquer le code par téléphone à quelqu'un parce qu'il a prétendu qu'il s'agissait d'un contrôle de sécurité.

Risques et limites

L'authentification à deux facteurs réduit le risque mais ne l'élimine pas. Un logiciel malveillant sur votre appareil, des relais d'hameçonnage, l'ingénierie sociale visant le personnel du support et des procédures de récupération faibles peuvent encore conduire à une compromission. Les méthodes robustes peuvent aussi vous verrouiller l'accès si vous perdez l'appareil sans sauvegarde. Les règles et les méthodes disponibles varient selon le pays et la société, et la 2FA protège l'accès au compte, pas la valeur des investissements qu'il contient : elle n'offre donc aucune défense contre les pertes de marché.

Le regard de Brokeli

Lorsque nous collectons les données de recherche sur un courtier, nous relevons les options d'authentification proposées, si la 2FA est obligatoire ou facultative, et si des contrôles supplémentaires s'appliquent aux retraits. C'est l'un des éléments de sécurité du compte que nous consignons, aux côtés de la réglementation, de la ségrégation des fonds des clients et du processus de vérification. Nous décrivons ce que le courtier publie et nous ne testons ni ne certifions sa sécurité.