Authentification forte : protéger l'accès à ses services en ligne

Décembre 2016

De nombreux fournisseurs de services en ligne proposent aujourd'hui l'authentification forte (« en deux étapes » ou « à deux facteurs ») à leurs utilisateurs pour sécuriser l'accès à leur compte. Un procédé qui protège contre le vol de mot de passe et ses risques : comme l'usurpation d'identité ou le vol de données. En quoi consiste l'authentification à deux facteurs ? Quels sont ses avantages et comment l'activer sur les services les plus utilisés sur le web ? Explications.


Qu'est-ce que l'authentification à deux facteurs ?

Sur le web, l'authentification à deux facteurs (ou authentification forte) est un procédé faisant appel à deux étapes de vérification pour sécuriser l'accès à un profil personnel rattaché à un service de type messagerie, espace de stockage, réseau social, etc.

Après une première étape d'identification (couple identifiant/mot de passe), vient une étape d'authentification qui conditionne l'accès au compte d'utilisateur. Elle nécessite de renseigner -dans un formulaire- un mot de mot de passe de confirmation à usage unique envoyé :
  • par SMS sur téléphone,
  • par mail,
  • sur une application d'authentification pour smartphone.

Se protéger contre les accès non autorisés

La mise en place d'une authentification forte vise donc à protéger les utilisateurs contre :
  • l'usurpation d'identité (par l'ingénierie sociale, l'installation de logiciels malveillants),
  • la fuite accidentelle de données d'identification (ex : perte de matériel),
  • la perte de données d'identification consécutives au piratage d'un service en ligne.


L'authentification forte protège contre les tentatives de connexion à des services en ligne en provenance de lieux/ou depuis des terminaux/navigateurs inhabituels.

Pour quels utilisateurs ?

  • Les professionnels accédant à des documents sensibles en ligne (ex : documents stockés sur DropBox).
  • les utilisateurs nomades exposés à des risques de vol de mots de passe : (ex : utilisation de hotspots WiFi non sécurisés)
  • Aux entreprises présentes sur les réseaux sociaux (Facebook, Twitter), qui s'exposent à des risques en termes d'image si leur accès est usurpé et leur compte détourné.

Authentification à deux facteurs : avantages pratiques

  • Mise en oeuvre facile
  • Désactivable à tout moment
  • L'authentification à deux facteurs est paramétrable. Certains fournisseurs (ex : Microsoft, Google) permettent de l'activer à chaque connexion, ou seulement une seule fois : cette dernière option évite d'avoir à valider les deux étapes lorsqu'on se connecte depuis un terminal utilisé régulièrement, qui est donc reconnu comme « légitime ».

Authentification forte sur les services de Google : Gmail, Drive, etc.

La procédure suivante est valable pour renforcer la sécurité d'accès aux différentes services connectés de Google : Gmail, Docs (Drive), Youtube, etc. :
  • Paramètres de compte,
  • sélectionner "Sécurité",
  • puis, "Validation en deux étapes" > paramètres,
  • la validation en deux étapes requiert un numéro de téléphone : un code est envoyé par SMS pour valider la connexion à un compte : soit à chaque tentative, soi une seule fois par ordinateur.

centre

Authentification à deux facteurs pour les services Microsoft


Outlook.com, Skype et Skydrive

Pour activer l'authentification en deux étapes sur les différents services de Microsoft, il est nécessaire de disposer d'un compte Microsoft valide.
  • Se connecter à son compte Live
  • Sous « Mot de passe et informations de sécurité », cliquer sur « Modifier les informations de sécurité ». Cette étape nécessite l'insertion d'un code : il peut être envoyé par mail à une adresse de messagerie de récupération (de secours) liée à son compte Microsoft.
  • Une fois le code entré, accéder à la page « Informations de sécurité »: cliquer sur « Configurer la vérification en deux étapes ».
  • L'étape de confirmation précédente peut être redemandée (insertion d'un code),
  • enfin sélectionner un deuxième facteur d'authentification dans la liste proposée : numéro de téléphone, adresse de messagerie de secours (différente de celle qui est déjà renseignée), ou application d'authentification forte (pour smartphones).
  • Un code de sécurité supplémentaire est ensuite demandé à chaque connexion au compte Microsoft (pour accéder à Outlook.com, Skydrive, ou Skype si le compte a été créé avec un compte MS). Il peut être désactivé au cas par cas pour ne pas avoir à le renseigner à chaque connexion depuis le même appareil.


Une fois la vérification en deux étapes activée :
  • Une page supplémentaire apparaît à chaque connexion sur un appareil qui n'est pas approuvé.
  • Sur cette page supplémentaire : entrer un code de sécurité pour se connecter.


Tutoriel « la vérification en deux étapes » sur le site de Microsoft

Activer l'authentification à deux facteurs sur LinkedIn

  • Compte > préférences : cliquer sur « Gérer les paramètres de sécurité »
  • Sous la section « Vérification en deux étapes », cliquer « activer ».

centre
  • Un numéro de téléphone mobile est requis pour recevoir un code de vérification.
  • Cliquer sur « envoyer le code ».
  • Entrer le code envoyé par SMS dans la zone de texte, cliquer sur vérifier, puis « terminé ».

Une fois activée, l'authentification à deux facteurs est requise pour toute connexion depuis un terminal qui n'est pas habituellement utilisé pour ce connecter à son compte d'utilisateur.

Une fois celui-ci enregistré, la procédure n'est plus nécessaire. L'option peut être désactivée à tout moment.

Authentification à deux facteurs sur Facebook

  • Sur l'icône « engrenage » en haut à droit : sélectionner "compte",
  • puis en haut à gauche "sécurité",
  • sélectionner "Approbations de connexion" (modifier),
  • cocher la case "Demander un code de sécurité lors de l'accès à mon compte à partir de navigateurs non reconnus",
  • ajouter un numéro de téléphone mobile pour activer les approbations de connexion,
  • enregistrer l'appareil utilisé pour se connecter régulièrement (sauf s'il est partagé avec d'autres utilisateurs).

centre

Authentification à deux facteurs sur Twitter

  • Cliquer sur votre photo de profil en haut à droite : sélectionner "Paramètres"
  • Ensuite dans le menu de gauche : sélectionner "Sécurité et confidentialité"
  • Sélectionner l'option de votre choix dans "Vérification de connexion"
  • Dans le cas de la vérification par SMS, il vous faudra ajouter un numéro de téléphone à votre compte.
  • Dans le cas de la vérification de connexion sur l'application Twitter, il vous faudra la configurée depuis votre application mobile en accédant à "Paramètre" -> "Sécurité" sur celle-ci.
  • Enregister les modifications.


Désormais, il vous sera requis la confirmation par un code reçu par SMS ou via l'application mobile à chaque connexion.

Authentification à deux facteurs sur WordPress

Elle repose sur une validation en deux étapes au moyen d'un smarpthone.

Pour les blogs hébergés sur Wordpress.com :
  • Rendez-vous dans les paramètres de sécurité,
  • télécharger et installer l'application Google Authenticator (disponible sur Android, iOS et BlackBerry),
  • un code d'accès est généré toutes les 30 secondes : il permet de valider sa connexion à son blog.


Pour les blogs conçus avec WordPress : installer le plugin Google Authenticator

Authentifcation à deux facteurs sur Dropbox

  • Sélectionner le compte (via l'identifiant en haut),
  • cliquer sur l'onglet "sécurité",
  • puis sélectionner "Validation en deux étapes > modifier",
  • l'activation nécessite de saisir à nouveau son mot de passe,
  • deux possibilités : la validation par l'envoi d'un SMS, ou par l'intermédiaire d'une application mobile d'authentification : Google Authenticator (Android/iPhone/BlackBerry) Amazon AWS MFA (Android), Authenticator (Windows Phone 7).

centre

A voir également :

Ce document intitulé «  Authentification forte : protéger l'accès à ses services en ligne  » issu de CommentCaMarche (www.commentcamarche.net) est mis à disposition sous les termes de la licence Creative Commons. Vous pouvez copier, modifier des copies de cette page, dans les conditions fixées par la licence, tant que cette note apparaît clairement.