Un mot de passe seul ne suffit pas : comment sécuriser efficacement vos comptes

Connaissez-vous ce sentiment lorsque paraît un énième rapport sur une fuite de données et que vous vous demandez si votre mot de passe fait partie de ceux qui ont été compromis ? Cette inquiétude est justifiée. Des milliards d’identifiants de connexion issus de fuites passées circulent, et les sites de hameçonnage modernes volent des mots de passe en temps réel. Un mot de passe fort est important, mais ce n’est qu’un obstacle parmi d’autres. S’il est compromis, votre compte est grand ouvert. La bonne nouvelle : grâce à l’authentification à deux facteurs, ou mieux encore à une clé d’accès, vous pouvez renforcer considérablement la sécurité de vos comptes en quelques minutes. C’est exactement ce que recommande le BSI.

Pourquoi un mot de passe seul ne suffit plus

Les mots de passe présentent trois failles contre lesquelles même le mot de passe le plus complexe ne peut vous protéger. Premièrement, les fuites de données : si un service est piraté, des millions d’identifiants de connexion se retrouvent en circulation, et toute personne réutilisant le même mot de passe perd plusieurs comptes d’un seul coup. Deuxièmement, le hameçonnage : une page de connexion d’apparence authentique vous demande votre mot de passe, et vous le saisissez de votre plein gré. Troisièmement, le « SIM swapping » : les fraudeurs s’emparent de votre numéro de téléphone portable et l’utilisent pour intercepter même les codes envoyés par SMS. Selon le FBI, les pertes se sont élevées à environ 26 millions de dollars pour la seule année 2024, et le « SIM swapping » reste l’un des types d’attaques les plus fréquemment signalés. L’authentification à deux facteurs ajoute un deuxième obstacle qu’un pirate ne peut pas facilement surmonter.

Aperçu des méthodes, du SMS aux clés d’accès

Toutes les méthodes d’authentification à deux facteurs ne se valent pas. Un code envoyé par SMS ou par e-mail est l’option la plus connue et vaut mieux que rien, mais c’est aussi la plus vulnérable. Une application d’authentification sur votre téléphone génère un nouveau code toutes les 30 secondes, appelé TOTP, localement sur l’appareil et sans passer par le réseau mobile. Cela la rend à l’abri du « SIM swapping ». Les clés d’authentification vont encore plus loin : au lieu d’un code, vous stockez une clé cryptographique sur votre appareil, déverrouillée par empreinte digitale, reconnaissance faciale ou code PIN. La clé privée ne quitte jamais votre appareil, comme le décrit l’Alliance FIDO. Une clé matérielle, telle que la YubiKey, est un petit dongle USB ou NFC qui met en œuvre ce même principe au niveau matériel. En Allemagne, il existe deux méthodes supplémentaires hautement sécurisées, le chipTAN et la carte d’identité nationale, destinées spécifiquement aux services bancaires et aux administrations publiques.

Ce qui protège réellement, selon le BSI

Pourquoi une méthode d’authentification à deux facteurs est-elle plus sûre qu’une autre ? Le BSI a mené une évaluation technique des méthodes courantes, et la différence essentielle réside dans la protection en temps réel contre le phishing. Avec les SMS et les e-mails, un pirate peut facilement transférer le code via un serveur intermédiaire pendant que vous le saisissez, sans vous douter de rien, sur son faux site web. Selon le BSI, les applications d’authentification n’offrent pas non plus de protection fiable contre ce type d’attaques en temps réel ou de fuites de données. Les clés d’accès et les clés matérielles, en revanche, sont liées à l’adresse réelle du site web. Elles ne fonctionnent tout simplement pas sur un site frauduleux, rendant ainsi la tentative d’hameçonnage inefficace. Selon le BSI, chipTAN et la carte d’identité nationale résistent même à toutes les attaques envisagées. Le BSI part ici d’un principe de base : un mot de passe fort comme fondement et deux appareils distincts.

Configurez vos Passkeys en quelques minutes

Les clés d'accès constituent le moyen le plus simple d'atteindre un niveau de sécurité élevé, car vous les déverrouillez généralement à l'aide de ce que vous utilisez déjà au quotidien : votre empreinte digitale ou votre visage. Elles fonctionnent sur les iPhone équipés d'iOS 16 ou d'une version ultérieure, sur les appareils Android équipés de la version 9 ou d'une version ultérieure, ainsi que sous Windows 10 et 11, dans tous les navigateurs actuels. Elles sont prises en charge par Google, Apple, Microsoft, Amazon, PayPal et GitHub, entre autres, et la liste s’allonge rapidement. Selon la FIDO Alliance, il y aura environ cinq milliards de clés d’accès actives dans le monde d’ici 2026, et leur notoriété atteint désormais 90 %.

Voici comment les configurer : sur Google, rendez-vous sur g.co/passkeys ; sur Apple, rendez-vous sur appleid.apple.com ; sur Microsoft, rendez-vous sur account.microsoft.com ; puis créez-y une clé d’accès en quelques clics seulement. Par la suite, vous confirmerez vos connexions à l’aide de votre empreinte digitale ou de votre visage et n’aurez plus à saisir de mot de passe. Sur un ordinateur partagé, l’application Authenticator constitue une bonne alternative : installez une application telle que Google Authenticator, Microsoft Authenticator ou l’application open source Aegis ; rendez-vous dans la section « Sécurité » du service et scannez le code QR qui s’affiche. C’est tout : une application à la place d’un code SMS.

Une clé matérielle pour votre compte le plus sensible

Si vous souhaitez garantir une sécurité maximale pour votre compte le plus important, par exemple la boîte de réception de vos e-mails où aboutissent toutes les réinitialisations de mot de passe, optez pour une clé matérielle. Il s’agit de jetons FIDO2 tels que la YubiKey (disponible ici sur Amazon) ou la Titan Key de Google, que vous branchez brièvement ou que vous présentez à votre téléphone via NFC lors de la connexion. Elles offrent la même résistance au phishing que les clés d’accès, mais constituent un appareil distinct que personne ne peut copier à distance.

Un peu de contexte, car cette affaire a fait la une en 2024 : des chercheurs ont démontré, grâce à l’attaque EUCLEAK, que certaines YubiKeys de la série 5 dotées de versions de micrologiciel antérieures à la version 5.7 pouvaient être clonées. Cela peut sembler dramatique, mais cela n’a pratiquement aucune incidence pour les utilisateurs lambda. Cette attaque nécessite un accès physique à l’appareil ainsi qu’un équipement de laboratoire spécialisé et coûteux ; il ne s’agit pas d’une attaque à distance. Yubico a corrigé cette vulnérabilité avec la version 5.7 du micrologiciel. Concrètement, cela signifie simplement : veillez à acheter un modèle récent. Un conseil supplémentaire : procurez-vous deux clés, dont une de rechange.

N’oubliez pas la procédure de récupération, et voici qui doit faire quoi

La vulnérabilité la plus courante n’est pas l’authentification à deux facteurs en soi, mais le processus de récupération. Si un service vous permet de vous reconnecter via un simple e-mail après avoir perdu votre téléphone, l’ensemble du système de sécurité à deux facteurs est compromis. Le BSI recommande donc un processus de récupération en deux étapes. Conservez les codes de secours que chaque service vous fournit lors de la configuration dans un endroit sûr, soit hors ligne, soit dans un gestionnaire de mots de passe. Avec les clés matérielles, la deuxième clé sert précisément de solution de secours.

Alors, quelle est la meilleure solution pour qui ? Pour la plupart des comptes, une clé d’accès offre le meilleur compromis entre sécurité et commodité, et élimine souvent complètement le besoin d’un mot de passe. Lorsque les clés d’accès ne sont pas encore disponibles, utilisez une application d’authentification plutôt que les SMS. Et sécurisez votre compte le plus sensible à l’aide d’une clé matérielle. L’effort est minime, mais la différence est considérable.