Blog AVG Signal Confidentialité Mots de passe Qu’est-ce que l’authentification à deux facteurs (2FA) ?
What_is_Two-Factor_Authentication-Hero

Comment fonctionne l’authentification à deux facteurs ?

L’authentification à deux facteurs ajoute une couche de sécurité supplémentaire à votre compte (autrement dit une autre étape avant la connexion) pour éviter que toute autre personne que vous ne puisse se connecter, même si cette personne dispose du mot de passe.

Lorsque vous vous connectez à l’un de vos comptes en ligne, le niveau de base de l’authentification n’exige que votre mot de passe. C’est une vérification en une étape de votre identité. L’authentification à deux facteurs exige en plus de cela une deuxième information (la deuxième couche) que vous devez fournir pour pouvoir accéder à votre compte.

Cet article contient :

    Fonctionnement détaillé de l’authentification à deux facteurs

    Comme nous venons de le dire, l’authentification à 2 facteurs vient ajouter un deuxième élément d’information, en plus de votre mot de passe. Le type d’information faisant office de deuxième élément dépend du service que vous utilisez. Par exemple, pour utiliser l’authentification à deux facteurs sur votre compte Gmail, vous avez plusieurs possibilités :

    • Une clé de sécurité physique : elle fonctionne comme un verrou, mais vous devez acheter une boîte à clés, pour un montant minimal de 25 $.

    • L’application Google Authenticator : lorsque vous installez l’application sur votre téléphone puis que vous vous connectez à votre e-mail, vous obtenez une invite sur votre téléphone, sur laquelle vous devez appuyer pour confirmer que c’est bien vous qui essayez de vous connecter.

    • Un code de vérification : cette option vous envoie un code numérique unique, par SMS ou par appel vocal, que vous entrez pour confirmer votre identité. 

    Voici comment fonctionne l’authentification à deux facteurs lorsque vous souhaitez accéder à votre compte : vous tapez votre nom d’utilisateur et votre mot de passe et vous cliquez sur Envoyer. Le service en ligne envoie une demande automatisée de votre deuxième élément d’information : un SMS avec un code de vérification, une invite Google Authenticator ou toute autre information que vous avez définie. C’est seulement une fois que vous confirmez votre identité via ce deuxième élément d’information que vous pouvez accéder à votre compte en ligne.

    L’authentification à deux facteurs ajoute une autre couche de sécurité à votre compteL’authentification à deux facteurs ajoute une autre couche de sécurité à votre compte.

    Même s’il dispose de votre mot de passe, le pirate qui tente d’accéder à votre compte ne peut pas le faire sans cette deuxième information.

    Explication de l’authentification à deux facteurs

    Pour une définition plus détaillée de l’authentification à 2 facteurs et pour savoir comment l’utiliser pour protéger votre identité numérique, laissez Michael McKinnon vous expliquer ce qu’est cette authentification, la protection par mot de passe et en quoi elle est importante pour votre sécurité en ligne.

    Les trois facteurs de base de l’authentification

    La couche supplémentaire d’authentification est généralement : quelque chose que vous connaissez, quelque chose que vous possédez ou quelque chose que vous êtes ou faites. Voici ce qui peut correspondre à ces trois catégories d’authentification :

    • Quelque chose que vous connaissez : il peut s’agir d’un code PIN, des réponses à vos questions de sécurité ou, bien entendu, de votre mot de passe.

    • Quelque chose que vous possédez : il s’agit en général d’un objet, par exemple un jeton de sécurité (un petit dispositif physique) ou une carte d’identité. Il peut aussi s’agir de votre téléphone, dont vous pouvez confirmer qu’il est bien en votre possession à l’aide d’un code SMS ou d’une application dédiée comme Google Authenticator.

    • Quelque chose que vous êtes : il s’agit de données biométriques, la plupart du temps sous forme d’empreinte digitale ou de reconnaissance faciale, comme c’est le cas des fonctions Apple Touch ID et Face ID, ou d’une image de votre rétine.

    Voici un exemple classique d’application de l’authentification à deux facteurs dans la vie quotidienne, lorsque vous retirez de l’argent au distributeur : vous devez utiliser quelque chose que vous possédez (votre carte bancaire) et quelque chose que vous connaissez (votre code PIN). Mais lorsque vous vous connectez à un compte en ligne à l’aide de votre nom d’utilisateur et de votre mot de passe, même si vous fournissez bien deux informations, ces deux éléments ne correspondent pas aux critères de l’authentification à deux facteurs, car il s’agit de deux informations que vous connaissez. Heureusement, la plupart des services d’e-mail vous permettent d’ajouter cette couche supplémentaire. Nous allons y revenir dans un instant.

    Avant l’authentification à deux facteurs : pourquoi un simple mot de passe ne suffit pas

    Vous vous posez peut-être la question : pourquoi utiliser l’authentification à deux facteurs ? Le mot de passe ne suffit-il pas à protéger mes comptes ? Tout d’abord, votre mot de passe est-il suffisamment fort ? Les pirates peuvent employer la technique dite force brute, aussi appelée « password spraying » (qui consiste à essayer une liste des mots de passe les plus courants) pour deviner facilement les mots de passe les plus faibles. Évitez donc d’utiliser des mots de passe trop évidents, comme les mots tels qu’ils figurent dans le dictionnaire. 

    Même si vous avez créé un mot de passe extrêmement complexe, les pirates les plus astucieux disposent de plusieurs moyens pour le deviner :

    • Les fuites de données : lorsqu’une grande entreprise est piratée, des millions de noms d’utilisateurs et de mots de passe (et autres données sensibles) peuvent se retrouver mis en vente sur le Dark Web. Les cybercriminels peuvent acheter ces listes et essayer de réutiliser ces informations d’identification un peu partout sur le web pour voir à quels comptes ils peuvent accéder. C’est pour cette raison que vous ne devez jamais réutiliser un même mot de passe pour plusieurs comptes.

    • Les spywares : ces logiciels espions sont des programmes malveillants qui permettent de vous espionner. Les enregistreurs de frappe en particulier peuvent en secret enregistrer tout ce que vous tapez au clavier (noms d’utilisateur et mots de passe compris) et renvoyer ces informations au pirate qui a installé ce malware sur votre appareil.

    • Le phishing : le phishing (hameçonnage) est un type d’arnaque d’ingénierie sociale dans laquelle le cybercriminel se fait passer pour une entreprise ou une personne de confiance afin de vous pousser à révéler des informations personnelles. Il peut par exemple s’agir d’un e-mail frauduleux qui vous demande de confirmer votre nom d’utilisateur et votre mot de passe sur l’un des services en ligne que vous utilisez, mais dès que vous saisissez ces informations, elles sont immédiatement renvoyées au pirate.

    Si votre mot de passe se trouve pris dans une fuite de données et tombe entre les mains d’un pirate, mais que vous utilisez l’authentification à deux facteurs, le pirate ne peut toujours pas accéder à votre compte. C’est ce qui fait de l’authentification à deux facteurs une mesure de sécurité puissante.

    Voici comment configurer l’authentification à deux facteurs

    Pour configurer l’authentification à deux facteurs, vous devez d’abord vérifier que le service en ligne que vous utilisez, que ce soit votre compte de messagerie, votre banque ou votre application de réseau social, vous offre cette possibilité (ce qui est le cas la plupart du temps). Consultez ce lien pour retrouver des instructions détaillées sur la mise en place de l’authentification à deux facteurs sur votre compte Gmail.

    Pour prendre un exemple concret, nous allons vous montrer comment configurer l’authentification à deux facteurs sur votre compte Facebook.

    1. Ouvrez votre compte Facebook.

    2. Cliquez sur le triangle en haut à droite et sélectionnez Paramètres.

      Ouverture des paramètres dans Facebook sur ordinateur de bureau.

    3. Sélectionnez Sécurité et connexion dans le menu à gauche et cliquez sur Utiliser l’authentification à deux facteurs. Cliquez sur Modifier.

      Accès aux paramètres de sécurité et de connexion dans l’application Facebook sur un ordinateur de bureau.

    4. Facebook vous propose deux options : une application d’authentification ou un SMS. Choisissez la méthode que vous préférez.

      Sélection des paramètres de l’authentification à deux facteurs dans l’application Facebook sur un ordinateur de bureau.

    5. Si vous voulez utiliser l’application Google Authenticator, mais que vous ne l’avez pas encore installée, il est temps d’ouvrir le Google Play Store ou l’App Store d’Apple pour la télécharger.

    6. Ouvrez l’application Google Authenticator sur votre téléphone et scannez le code QR à l’écran.

      img_04-1

    7. Sur votre téléphone, vous voyez la confirmation que vous êtes en train d’ajouter l’authentification à deux facteurs à votre compte Facebook. Cliquez sur Continuer sur l’écran de l’ordinateur.

    8. Facebook va vous demander d’entrer un code fourni par Google Authenticator. Ce code change au bout de quelques secondes, donc vous seul y avez accès. Saisissez le code à six chiffres et cliquez sur Continuer.

      Saisie du numéro de confirmation pour confirmer la configuration de l’authentification à deux facteurs.

    9. Facebook va vous confirmer que vous avez bien activé l’authentification à deux facteurs. C’est tout !

      Confirmation de l’activation de l’authentification à deux facteurs sur Facebook.

    Il est recommandé d’activer l’authentification à deux facteurs sur tous les comptes où elle est disponible, en particulier pour vos comptes bancaires ou autres comptes sensibles.

    Mais l’authentification à deux facteurs est-elle sûre et peut-elle être piratée ?

    Bien que l’authentification à deux facteurs offre un bien meilleur niveau de sécurité qu’un mot de passe seul, elle n’est pas infaillible, comme malheureusement tous les systèmes de sécurité en ligne. Mais la plupart des pirates ne visent aucune personne en particulier. Ils privilégient plutôt les victimes dont les mesures de sécurité sont les plus faibles et qui sont donc faciles à attaquer. Et si une personne semble difficile à pirater, le cybercriminel choisit une autre victime plus facile. C’est pour cela que la protection avec un système à deux facteurs est la plupart du temps plus efficace.

    Mais si un pirate vous cible, vous en particulier, et qu’il dispose de beaucoup de temps et de ressources, il peut finir par trouver un moyen de s’infiltrer dans votre compte. Comment ? Il peut par exemple installer un malware sur votre système pour copier les codes envoyés par Google Authenticator. Mais cela ne donne au pirate que quelques secondes pour intercepter le code et le saisir avant que vous n’accédiez au compte.

    Un pirate plus ingénieux pourrait aussi appliquer des techniques d’ingénierie sociale pour convaincre votre opérateur mobile de transférer votre numéro de téléphone vers son appareil. Lorsque le code SMS est envoyé comme deuxième élément de vérification, il arrive alors sur le téléphone du pirate et non sur le vôtre.

    La plupart des pirates ne visent aucun individu en particulier. Ils privilégient plutôt les victimes dont les mesures de sécurité sont les plus faibles et qui sont donc faciles à attaquer. Et si une personne semble difficile à pirater, le cybercriminel choisit une autre victime plus facile.

    Mais un autre moyen pour le pirate de contourner l’authentification à deux facteurs est de vous envoyer un e-mail de phishing vous expliquant que vous allez recevoir un code par SMS. Dans le même temps, le pirate tente d’accéder à votre compte, ce qui déclenche une demande légitime d’envoi du code par SMS. Si vous envoyez par inadvertance le vrai code au cybercriminel, il peut l’utiliser pour contourner l’authentification à deux facteurs et accéder à votre compte.

    Notez que les trois scénarios décrits ici exigent tous beaucoup d’efforts, une synchronisation parfaite et une volonté farouche de vous viser, vous personnellement. Mais la plupart des pirates ne cherchent même pas à savoir à qui ils s’attaquent, seul leur importe l’argent qu’ils peuvent en tirer. En réalité, la plupart des cybercriminels cherchent à optimiser leurs profits tout en évitant d’être repérés, et le fait de passer autant de temps à pirater une seule personne n’a pas vraiment de sens.

    Bien entendu, si vous êtes milliardaire ou que vous êtes quelqu’un de connu, vous devez absolument investir dans des protocoles de sécurité encore plus sûrs. Mais pour l’utilisateur moyen, l’authentification à deux facteurs offre déjà un très bon niveau de sécurité.

    Comme nous l’avons mentionné plus haut, lorsque les pirates mettent la main sur vos informations personnelles (par exemple vos mots de passe, votre numéro de sécurité sociale ou vos coordonnées bancaires), ils finissent souvent par essayer de les revendre sur le Dark Web. Si vous avez jusqu’ici utilisé Internet sans authentification à deux facteurs, il peut être judicieux de faire une recherche sur le Dark Web pour voir si certaines de vos informations ont déjà fait l’objet d’une fuite.

    Mais la surveillance manuelle du Dark Web est une activité bien futile. Heureusement, il existe des services de surveillance automatique comme AVG BreachGuard qui peuvent s’en charger à votre place. Vous bénéficiez d’une surveillance 24 h/24 et 7 j/7 du Dark Web, de notifications en cas de fuite de données et de conseils et d’astuces pour renforcer votre sécurité et mieux protéger votre vie privée.

    Disponible aussi sur PC

    Disponible aussi sur Mac

    Disponible aussi sur PC

    Disponible aussi sur Mac

    Qu’est-ce que l’authentification multifacteur ?

    L’authentification à deux facteurs est une sous-catégorie de l’authentification multifacteur. L’authentification multifacteur peut utiliser deux facteurs d’authentification, ou trois. Donc, chaque fois que vous utilisez l’authentification à deux facteurs, vous utilisez une authentification multifacteur. 

    Tous les sites qui appliquent des procédures de sécurité strictes (par exemple les bâtiments qui renferment des informations classées) utilisent différents types d’authentification multifacteur qui vont bien au-delà de l’authentification à deux facteurs. L’accès à ces bâtiments peut exiger un code PIN (ce que vous connaissez), un badge d’identification (ce que vous possédez) et une reconnaissance de votre empreinte digitale (ce que vous êtes).

    Les banques, certaines entreprises technologiques ou autres entreprises très sécurisées peuvent elles aussi exiger une triple authentification pour accéder aux comptes en ligne. Mais pour l’utilisateur lambda, l’authentification à deux facteurs est déjà suffisante pour assurer la sécurité des comptes personnels.

    Vos informations de connexion ont déjà fait l’objet d’une fuite ?

    Une des actions les plus importantes pour augmenter de façon drastique le niveau de sécurité de vos comptes est de leur ajouter une authentification à deux facteurs. Mais alors, qu’en est-il de toutes ces années où vous avez navigué sur Internet et utilisé vos comptes sans authentification à deux facteurs ? Si vos mots de passe ont déjà été compromis, vous n’en êtes peut-être même pas conscient. Que faire ? Vous pouvez faire appel à un service de surveillance de la vie privée pour voir si vos données personnelles sensibles ont fait l’objet d’une fuite.

    AVG BreachGuard va vous aider à protéger vos données privées avec une surveillance permanente des risques et du Dark Web, 24 h/24 et 7 j/7. Si vos informations personnelles sont compromises, AVG vous en informe immédiatement et vous aide à prendre les bonnes décisions.

    Vous bénéficiez en plus d’un audit de sécurité qui évalue vos protocoles de sécurité actuels et vous suggère des améliorations, par exemple de vos mots de passe ou de vos paramètres, afin de bénéficier d’un meilleur niveau de sécurité. Dans la bataille contre les pirates, AVG BreachGuard est un allié de taille. Protégez dès aujourd’hui vos données personnelles sensibles.

    Disponible aussi sur PC

    Disponible aussi sur Mac

    Disponible aussi sur PC

    Disponible aussi sur Mac

    Connectez-vous en privé sur votre appareil Android avec le VPN AVG Secure

    Essai gratuit

    Connectez-vous en privé sur votre iPhone avec le VPN AVG Secure

    Essai gratuit