L’authentification à deux facteurs, ou 2FA, protège un compte en exigeant deux preuves d’identité au lieu de s’appuyer uniquement sur un mot de passe. Imaginez un coffre muni de deux verrous différents : dérober une première clé ne suffit plus pour l’ouvrir.
En pratique, toutes les méthodes de double authentification ne procurent pas la même protection. Un code reçu par SMS constitue une amélioration par rapport au mot de passe seul, mais une application générant des codes TOTP évite certaines faiblesses du réseau téléphonique. Pour les comptes les plus sensibles, une clé de sécurité FIDO2 ou une technologie équivalente résistante au phishing offre une protection supérieure.
Un point est cependant aussi important que le choix de la technologie : prévoir la récupération du compte. Avant même de ranger son téléphone dans sa poche après avoir activé la 2FA, il faut sauvegarder ses codes de secours et, lorsque le service le permet, enregistrer une seconde méthode d’authentification.
Qu’est-ce que l’authentification à deux facteurs ?
L’authentification repose traditionnellement sur trois catégories de preuves : quelque chose que l’utilisateur connaît, quelque chose qu’il possède et quelque chose qu’il est.
- Connaissance : un mot de passe ou un code PIN.
- Possession : un smartphone, une application d’authentification ou une clé de sécurité.
- Inhérence : une caractéristique biométrique, comme une empreinte digitale ou la reconnaissance faciale.
Une authentification à deux facteurs au sens strict combine deux facteurs distincts. Le scénario classique associe ainsi un mot de passe, facteur de connaissance, à la possession d’un téléphone ou d’une clé de sécurité.
Cette distinction permet aussi de comprendre pourquoi les expressions « authentification à deux facteurs » et « vérification en deux étapes » ne sont pas toujours parfaitement synonymes. Deux étapes successives ne constituent pas nécessairement deux facteurs indépendants. Le NIST distingue d’ailleurs précisément les catégories d’authentificateurs et exige, pour son niveau d’assurance AAL2, le contrôle de deux facteurs distincts.
SMS, application ou clé de sécurité : quelle 2FA choisir ?
La bonne méthode dépend de la sensibilité du compte et des options proposées par le service. Une hiérarchie simple permet néanmoins de faire un choix.
| Méthode | Niveau de protection | Principal avantage | Principale limite |
|---|---|---|---|
| SMS | Basique | Très simple à utiliser | Dépend du numéro et du réseau téléphonique |
| Application TOTP | Élevé | Code généré localement | Le code peut être dérobé par phishing |
| Clé FIDO2 / WebAuthn | Très élevé | Résistance au phishing | Nécessite un service compatible et une organisation pour la récupération |
Cette hiérarchie ne signifie pas qu’il faut refuser le SMS lorsqu’il constitue la seule seconde méthode disponible. Entre un compte protégé uniquement par mot de passe et le même compte bénéficiant d’une vérification supplémentaire par SMS, cette dernière ajoute une barrière. Mais lorsque plusieurs solutions sont proposées, il est pertinent de privilégier une méthode plus robuste.
Le SMS : simple, mais avec des faiblesses connues
Le principe est familier : après le mot de passe, le service envoie un code temporaire sur le numéro de téléphone enregistré. L’utilisateur doit le recopier pour terminer sa connexion.
Le problème vient notamment de la dépendance à la ligne téléphonique. Une attaque de type SIM swapping vise à détourner le numéro de la victime afin de recevoir ses communications. Les mécanismes utilisant le réseau téléphonique présentent donc des risques qui n’existent pas de la même manière avec une application générant ses codes localement.
Le SMS présente une autre limite importante : son code peut être saisi sur un faux site. Il n’est donc pas considéré comme une méthode résistante au phishing.
L’application TOTP : un bon compromis pour la plupart des comptes
Une application TOTP génère périodiquement un code à usage unique à partir d’un secret partagé lors de sa configuration. Le calcul est effectué sur l’appareil : le téléphone n’a pas besoin de recevoir le code par SMS.
Des applications comme Google Authenticator, Aegis ou Ente Auth reposent sur ce principe pour les services compatibles. Le choix de l’application doit aussi tenir compte des possibilités de sauvegarde, d’exportation ou de synchronisation proposées, car elles peuvent faciliter un changement ou une perte de téléphone.
Le TOTP supprime la dépendance au réseau téléphonique, mais il conserve une faiblesse : l’utilisateur doit généralement recopier son code. Le NIST précise que les authentificateurs OTP nécessitant une saisie manuelle ne sont pas résistants au phishing.
FIDO2 et WebAuthn : la meilleure défense contre le phishing
Une clé de sécurité compatible FIDO2 fonctionne très différemment d’un code à six chiffres. Elle utilise la cryptographie à clé publique pour prouver que l’utilisateur possède l’authentificateur attendu.
L’élément déterminant est la liaison avec le service auquel l’utilisateur tente de s’authentifier. WebAuthn permet de lier cryptographiquement l’authentification au nom du domaine légitime. Le NIST cite précisément WebAuthn et FIDO2 comme exemple de résistance au phishing par liaison au nom du vérificateur.
Concrètement, un faux site imitant parfaitement la page de connexion d’un service ne peut pas simplement récupérer une réponse FIDO valide pour le véritable domaine puis la réutiliser comme il le ferait avec un code TOTP.
La FIDO Alliance indique également que les standards FIDO utilisent la cryptographie à clé publique et que chaque passkey est liée au domaine du service concerné. C’est ce mécanisme qui rend cette famille de technologies particulièrement intéressante face au phishing moderne.
Pourquoi un pirate peut-il contourner certains systèmes 2FA par phishing ?
Une erreur fréquente consiste à penser qu’un code temporaire est inutilisable par un attaquant parce qu’il expire rapidement. C’est vrai après son expiration, mais pas nécessairement pendant sa courte durée de validité.
Dans une attaque de type Adversary-in-the-Middle, ou AiTM, un site malveillant se place entre la victime et le véritable service. La victime communique son mot de passe au faux site, puis saisit son code SMS ou TOTP. L’attaquant peut tenter de transmettre immédiatement ces informations au service légitime.
C’est précisément la faiblesse que les mécanismes résistants au phishing cherchent à supprimer. Selon le NIST, la saisie manuelle d’un code OTP ne lie pas ce code à la session spécifique en cours. Un faux service peut donc tenter de le relayer. Une authentification cryptographique correctement liée au domaine ne repose plus sur la capacité de l’utilisateur à reconnaître visuellement le bon site.
Comment éviter de perdre son compte avec la double authentification ?
La question la plus importante au moment d’activer la 2FA n’est pas seulement « comment vais-je me connecter demain ? », mais aussi « comment vais-je me connecter si je perds mon téléphone ? ».
De nombreux services fournissent des codes de secours lors de l’activation. Ces codes sont destinés à permettre une récupération lorsqu’un authentificateur habituel n’est plus disponible.
La méthode prudente consiste à préparer la récupération dès l’installation :
- générer les codes de secours proposés par le service ;
- les conserver dans un emplacement sécurisé distinct du téléphone utilisé pour la 2FA ;
- enregistrer une deuxième méthode d’authentification lorsque le service le permet ;
- vérifier les possibilités de sauvegarde ou de transfert de l’application TOTP avant de changer de smartphone ;
- sur les comptes particulièrement sensibles, envisager deux authentificateurs physiques plutôt qu’un seul.
Conserver uniquement ses codes de récupération sur le smartphone qui génère déjà les codes 2FA crée un mauvais point de défaillance : perdre l’appareil peut alors faire disparaître simultanément la méthode normale et la solution de secours.
Une application permettant une sauvegarde ou une synchronisation peut simplifier la migration entre appareils. Cette facilité doit cependant être mise en balance avec la manière dont la sauvegarde est protégée. Il faut donc examiner les mécanismes de chiffrement et de récupération proposés par l’application choisie plutôt que considérer toute synchronisation comme équivalente.
Quels comptes faut-il protéger en priorité avec la 2FA ?
Il n’est pas nécessaire de transformer immédiatement chaque connexion en dispositif de haute sécurité. Le plus efficace consiste à commencer par les comptes dont la compromission permettrait à un attaquant d’en compromettre beaucoup d’autres.
L’adresse e-mail principale est généralement prioritaire. Elle sert souvent à réinitialiser les mots de passe d’autres services. Sa compromission peut donc provoquer un effet domino.
Viennent ensuite les comptes financiers et de paiement, les gestionnaires de mots de passe, les comptes professionnels ou administratifs, les espaces contenant des données sensibles et les principaux comptes de stockage en ligne.
Une stratégie pragmatique consiste à utiliser une méthode résistante au phishing, lorsqu’elle est disponible, pour les comptes critiques. Une application TOTP représente ensuite une solution solide pour de nombreux services courants. Le SMS peut rester une solution de repli lorsqu’aucune méthode plus robuste n’est proposée.
La 2FA ne remplace toutefois pas les règles élémentaires de sécurité : chaque compte doit conserver un mot de passe robuste et surtout unique lorsqu’un mot de passe reste utilisé.
Quelle différence entre 2FA, MFA et authentification forte ?
La 2FA désigne l’utilisation de deux facteurs d’authentification. La MFA, ou authentification multifacteur, est une notion plus générale qui repose sur plusieurs facteurs et peut donc en mobiliser deux ou davantage.
Dans le domaine européen des paiements, la DSP2 a consacré la notion d’authentification forte du client, ou SCA. Le cadre prévoit une authentification reposant sur au moins deux éléments relevant de la connaissance, de la possession et de l’inhérence, avec des exigences d’indépendance entre ces éléments.
Ces termes sont souvent employés de façon interchangeable dans les interfaces grand public. Pour évaluer réellement la sécurité d’un système, mieux vaut donc regarder les facteurs et les protocoles utilisés plutôt que son seul nom commercial.
Les passkeys vont-elles remplacer l’authentification à deux facteurs ?
Les passkeys, ou clés d’accès, modifient progressivement la logique traditionnelle « mot de passe puis code ». Elles reposent sur les standards FIDO et permettent une authentification par cryptographie à clé publique sans transmettre un secret réutilisable comparable à un mot de passe.
Selon les modalités d’implémentation et le niveau d’assurance recherché, l’utilisateur peut valider l’accès localement sur son appareil, par exemple avec un code de déverrouillage ou une biométrie. La FIDO Alliance souligne également que les données biométriques utilisées dans ce cadre restent sur l’appareil.
La transition ne signifie pas que tous les comptes abandonneront immédiatement la 2FA classique. Pendant cette période de coexistence, savoir distinguer SMS, TOTP et authentification résistante au phishing reste indispensable.
FAQ sur l’authentification à deux facteurs
Quelle est la différence entre 2FA et MFA ?
La 2FA utilise exactement deux facteurs d’authentification. La MFA désigne plus largement une authentification reposant sur plusieurs facteurs, donc deux ou davantage. Dans le langage courant, les deux expressions sont néanmoins souvent utilisées comme synonymes.
Que faire si je perds le téléphone contenant mes codes 2FA ?
Utilisez en priorité les codes de secours ou une seconde méthode d’authentification enregistrée auparavant. Une application disposant d’un mécanisme de sauvegarde ou de synchronisation peut également permettre de restaurer les authentificateurs selon sa configuration. Il faut préparer ces solutions avant la perte du téléphone.
Pourquoi les codes 2FA par SMS sont-ils déconseillés ?
Ils dépendent notamment de la sécurité du numéro de téléphone et peuvent être exposés à des attaques visant la ligne, dont le SIM swapping. Ils peuvent également être dérobés par phishing. Lorsqu’une application TOTP ou une authentification FIDO2 est disponible, ces solutions évitent certaines de ces faiblesses.
Comment fonctionne une clé de sécurité 2FA ?
Une clé compatible FIDO2 utilise une paire de clés cryptographiques et prouve son identité au service sans lui transmettre un secret réutilisable. Avec WebAuthn, l’authentification est liée au domaine attendu, ce qui permet de résister aux faux sites de phishing.
Peut-on recevoir son second code par e-mail ?
Certains services proposent l’e-mail comme étape de vérification ou de récupération. Cela ne procure cependant pas nécessairement la même indépendance qu’un véritable second facteur. Si l’adresse e-mail elle-même est compromise, l’attaquant peut potentiellement accéder au code. Une application TOTP ou une méthode FIDO est préférable lorsqu’elle est disponible.
