Application d’authentification

Qu’est-ce qu’une application d’authentification ?

Une application d’authentification est une application de sécurité qui fonctionne généralement sur votre appareil mobile, générant des codes temporaires pour l’authentification multifacteur. Le code temporaire est utilisé avec l’identifiant utilisateur et le mot de passe dans le cadre d’un protocole de connexion renforcé destiné à offrir une sécurité accrue. Ces protocoles de connexion renforcés peuvent s’appliquer lors de la connexion à des sites web, des logiciels ou d’autres applications.

Certaines applications d’authentification offrent des capacités supplémentaires; cependant, leur tâche principale est de remplacer la délivrance d’un code temporaire de 6 à 8 chiffres via texte, voix ou e-mail. Une application d’authentification est plus sécurisée que de nombreuses options d’authentification multifacteur (en particulier les SMS) et peut être plus facile à utiliser.

Que signifie l’authentification multifacteur ?

L’authentification multifacteur (Multi-factor Authentication), ou MFA, est un processus de connexion qui nécessite plusieurs formes de preuve d’identité, souvent comme un mot de passe, des données biométriques ou un jeton de sécurité. Chaque élément soumis avec l’identifiant utilisateur est appelé un facteur. L’authentification multifacteur nécessite plus d’un facteur pour authentifier l’identité déclarée de l’individu. Un bon processus d’authentification multifacteur nécessite différents types de facteurs, comme ceux qui sont très difficiles à acquérir pour un pirate. L’authentification multifacteur devient plus courante car les attaques par hameçonnage et les violations de données ont affaibli la sécurité de la connexion traditionnelle par mot de passe unique.

La configuration de connexion d’authentification multifacteur la plus répandue, parfois appelée authentification à deux facteurs ou 2FA, consiste en un identifiant utilisateur suivi d’un mot de passe (le premier facteur) puis d’un code temporaire de 6 à 8 chiffres (le deuxième facteur), généralement transmis à l’utilisateur par message SMS. Ce code temporaire est appelé mot de passe à usage unique, ou OTP. Bien que les OTP ajoutent généralement une sécurité supplémentaire au processus de connexion, l’utilisation de SMS pour livrer l’OTP peut introduire des risques de sécurité.

Les applications d’authentification fournissent une méthode plus sécurisée de délivrance des OTP, en remplaçant la méthode SMS vulnérable par un outil en possession de l’utilisateur. Comme l’OTP provient directement de l’application sur le téléphone de l’utilisateur, il n’y a pas de transmissions potentiellement interceptables. Cela réduit également la possibilité qu’un utilisateur devienne victime d’une tentative de hameçonnage (phishing) visant à voler un OTP par SMS.

Comment fonctionnent les applications d’authentification ?

Une application d’authentification, qui repose sur la cryptographie, crée un mot de passe à usage unique basé sur le temps (TOTP). Cet algorithme TOTP calcule un OTP en fonction de l’heure du jour et d’un secret connu uniquement par votre application d’authentification et le service auquel vous vous connectez. L’algorithme privé est transmis du service à l’application d’authentification lors du processus de configuration. Le TOTP change fréquemment, utilisant le même algorithme et la nouvelle heure actuelle.

Lorsque vous avez besoin d’un TOTP pour vous connecter à un site ou un service, l’application d’authentification en a un prêt. Tout cela se passe sur votre téléphone, sans aucune interaction réseau. Vous saisissez le code dans le cadre de la connexion ; le service utilise ensuite le même algorithme et l’heure actuelle pour vérifier le code que vous avez entré. Lorsque le code saisi correspond au code calculé par le service, vous êtes connecté avec succès.

Certaines applications d’authentification, en coordination avec les fournisseurs de services, peuvent faire plus que simplement fournir des TOTP. Elles peuvent également remplacer la saisie du mot de passe par des facteurs biométriques comme les empreintes digitales ou les scans faciaux. Certaines peuvent mettre en place des protocoles de notifications push, un processus qui interrompt la procédure de connexion habituelle pour demander l’approbation du propriétaire du compte.

Pourquoi les applications d’authentification sont-elles un bon choix ?

Les applications d’authentification offrent plusieurs améliorations par rapport à d’autres procédures d’authentification multifacteur :

• Les messages SMS ne sont pas chiffrés et sont faciles à intercepter. Les TOTPs fournis par les applications d’authentification ne sont jamais transmis, ils ne peuvent donc pas être interceptés.
• Les codes SMS sont valides pour des périodes plus longues (15 minutes est courant), donnant à un hacker le temps d’utiliser le code volé. En revanche, les codes des applications d’authentification ne sont valides qu’une minute ou moins.
• Certains téléphones affichent les messages texte lorsque le téléphone est au repos, comme en affichant un OTP. Cela signifie que n’importe qui peut potentiellement voir l’OTP envoyé par SMS. Les applications d’authentification vous obligent à déverrouiller le téléphone et peut-être même l’application avant de pouvoir voir l’OTP.
• Les applications d’authentification sont plus faciles à utiliser, elles ne nécessitent ni de vérifier les courriels ni les messages texte, ni d’écouter un message vocal. Une personne est plus susceptible d’utiliser une application d’authentification sur plusieurs comptes, augmentant ainsi la sécurité globale.
• Il est moins probable qu’un pirate puisse détourner ou copier la fonctionnalité de votre application d’authentification. Ils devraient soit intercepter l’algorithme initial de génération de code, accéder à l’application une fois installée sur votre téléphone ou prendre le contrôle de votre numéro de téléphone via une attaque d’échange de SIM (ce qui est possible mais moins courant).

Les applications d’authentification sont-elles différentes des gestionnaires de mots de passe ?

Le principal objectif d’un gestionnaire de mots de passe est de suivre les mots de passe statiques (permanents), et parfois les IDs utilisateur et autres informations personnelles. Cependant, il existe certains gestionnaires de mots de passe qui peuvent également fonctionner comme une application d’authentification et fournir des OTP. D’autres gestionnaires de mots de passe se synchroniseront avec certaines applications d’authentification pour simplifier le processus d’authentification multifacteur. Utiliser un gestionnaire de mots de passe pour agir comme une application d’authentification, ou s’intégrer avec une, a l’avantage de tout synchroniser sur tous vos appareils.

Sélectionner et configurer une application d’authentification

Dans un environnement de travail ou scolaire, il peut être requis d’utiliser une application d’authentification spécifique par un administrateur IT. Pour un usage personnel, vous devriez en sélectionner une depuis l’App Store officiel de votre téléphone. Basez votre sélection sur les fonctionnalités qui vous importent et sur la plateforme sur laquelle vous avez besoin qu’elle fonctionne (par exemple, iOS ou Android). Certaines applications d’authentification se concentrent sur la confidentialité ou la sécurité, tandis que d’autres peuvent privilégier le fonctionnement au sein des réseaux de travail, ou offrir un accès via des périphériques tels qu’une montre connectée. Les applications d’authentification sont généralement gratuites. Méfiez-vous de celles qui coûtent cher d’avance ou nécessitent des achats intégrés ; les frais peuvent indiquer un développeur douteux.

Bien que toutes les applications d’authentification exécutent la tâche de base de génération de TOTPs, il y a des bonnes fonctionnalités à rechercher. Une application qui vous permet de sauvegarder vos données en cas de perte ou de changement de téléphone peut être un gain de temps considérable à long terme. D’autres éléments à rechercher sont : le chiffrement des données stockées, la compatibilité avec plusieurs plateformes (mobile et ordinateur de bureau) et l’intégration avec un gestionnaire de mots de passe. Choisir une application d’un éditeur réputé est toujours une bonne idée.

Une fois l’application installée et que vous avez configuré tout compte requis avec l’authentificateur (toutes les applications d’authentification ne nécessitent pas de compte), allez sur le site web de chaque fournisseur de services et commencez le processus là-bas. Dans la section des paramètres de sécurité, activez l’authentification multifacteur (MFA) ou 2FA puis sélectionnez « application d’authentification » comme méthode. L’enregistrement de votre application avec le site web nécessite généralement de scanner un QR code affiché à l’écran et de confirmer ensuite avec un TOTP.

Autres bonnes pratiques de sécurité

Utiliser une application d’authentification est une excellente étape vers l’augmentation de la sécurité de vos comptes en ligne. Voici quelques étapes supplémentaires que vous pouvez suivre :

• Gardez l’application d’authentification sur un appareil sécurisé ; votre téléphone doit nécessiter un code PIN, une empreinte digitale ou une reconnaissance faciale pour être déverrouillé.
• Activez l’option d’authentification multifacteur dès que possible.
• Si la seule option d’authentification multifacteur disponible est les codes OTP par SMS, il est tout de même recommandé de l’utiliser plutôt que de ne rien utiliser. Cependant, il est recommandé d’avoir un numéro de téléphone prépayé séparé ou un numéro de téléphone Google Voice pour recevoir uniquement ces codes SMS à usage unique.
• Ne partagez jamais un mot de passe à usage unique avec quelqu’un d’autre.
• Ne comptez pas uniquement sur une application d’authentification pour assurer toute la sécurité dont vous avez besoin. Continuez à adopter de bonnes habitudes pour les mots de passe en créant des mots de passe forts et uniques.
• Utilisez un gestionnaire de mots de passe pour vous aider à gérer le processus de connexion. Cela augmente la sécurité et facilite la connexion.