Le blog de Genma
Vous êtes ici : Accueil » Blog » Réflexions autour des double facteurs d’authentification

Réflexions autour des double facteurs d’authentification

D 21 mai 2015     H 09:00     A Genma     C 4 messages   Logo Tipee

TAGS : Les réflexions du Genma

Principe

Le double facteur d’authentification ou Two-Factor Authentication est une façon de sécuriser ses comptes mails et autres services webs. L’idée est la suivante : en plus du mot de passe, on doit saisir un code temporaire, généré à la demande, que l’on doit entrer au moment de se connecter.

Ce code peut être fourni par une application extérieure sur un téléphone, ou sur un appareil dédié (un token, une sorte de calculatrice sur laquelle on tape un code fixe, qui génère alors un code temporaire) ou encore un code par SMS.

Certains services proposent également d’enregistrer le navigateur depuis lequel on se connecte régulièrement et envoie un mail quand un autre navigateur a été utilisé (même si c’est le même PC et la même adresse IP). D’autres lisent les lieux, dates et heures des derniers accès aux comptes, ce qui permet de vérifier que les seules connexions qui ont eu lieu sont celles que l’on a faites nous. Un mot de passe fort, changé régulièrement, et un code reçu par SMS permettent de renforcer la sécurité d’accès à ses comptes.

Recevoir un code unique par SMS nécessite que l’on ait le téléphone avec soi. Donc si quelqu’un veut se connecter à un compte que j’ai, il faut que la personne ait :
 mon identifiant et mon mot de passe ;
 mon téléphone (qui doit être déverrouillé car lui-même protégé par un code).

Comment ça marche ?

Il faut activer l’option si le service le propose (Facebook, Twitter, ou autre). On trouve des tutoriaux assez facilement comme celui de l’EFF, ou en cherchant avec comme mots clefs "google double facteurs d’authentification" (car Google propose un système de ce type pour différents services).

Je rédigerai plus tard un ou plusieurs billets sur les applications et systèmes existants, le but du présent billet étant comme son nom l’indique, une réflexion sur le principe.

Donner son numéro de téléphone, oui, mais...

Je me suis retrouvé face au dilemme suivant : besoin de confidentialité versus besoin de sécurité. Je suis susceptible de donner mon numéro de téléphone à un service sur lequel je n’ai pas de maîtrise. Le service connaît alors mon numéro de téléphone (et donc un lien peut être fait entre mon identité et mon pseudonymat).

Mais si on regarde, dans la vie de tous les jours, quand, je ne suis pas devant un ordinateur relié à Internet, je me connecte en 3G à ces mêmes services... Et je donne (avec parcimonie) mon numéro de téléphone à quelques correspondants. Je suis d’ailleurs en mesure de définir à l’heure actuelle trois sphères distinctes :
 personnelle/privée : mes amis, ma famille et certains services (public ou non)
 public : mon activité Internet, associative et publique sous pseudonyme
 professionnelle : mes contacts et relations liés à mon emploi.

Dans les sphères personnelles/privées et professionnelles, je suis connu sous mon identité civile (nom prénom). Dans la sphère publique, je suis donc connu majoritairement sous pseudonyme, mais quelques personnes, pour des raisons de praticité, connaissent mon prénom civil. Pour chacune de ces sphères, j’ai un mail dédié, j’ai des identités numériques dédiés, des profils Firefox (pour tout ce qui est cookie etc.) dédiés.

Le point commun entre ces différentes sphères sont les machines que j’utilise (PC, smartphone et connexion Internet). Et elles partagent donc une même adresse IP, et un même numéro de téléphone. Cela peut poser des soucis comme je l’explique dans mes billets :
 Réflexions autour de Linkedin et du pseudonymat
 Faire le lien entre mon pseudo et ma véritable identité
 Comment un pseudonymat peut voler en éclat ?
 Quel est votre modèle de menace ?

Si le service sur lequel j’active la double authentification connaît mon numéro de téléphone, il n’a qu’une donnée personnelle de plus que je lui aurai volontairement donné... Une donnée rattachée à qui je suis. Mais comme je le disais plus haut, je donne aussi mon numéro de téléphone à des personnes qui ne me connaissent que sous mon pseudonyme... J’ai donc fait le choix, pour quelques service précis, d’activer la double authentification, estimant que le gain (un peu plus de sécurité) valait bien le fait que le service ait le numéro de téléphone...

Encore plus loin dans la paranoïa... ou pas

Pour aller encore plus loin dans la réflexion et l’élargir au delà de la thématique de départ. J’ai un téléphone portable de type smartphone. Bien que celui-ci tourne sous Firefox OS et que je prends grand soin à bien régler les paramètres de confidentialité dans celui-ci, le simple fait d’avoir le réseau me géolocalise, me géolocalise mais sous mon identité civile. Si vraiment le fait d’avoir un téléphone est un problème dans le modèle de menace, il faudrait alors penser à avoir deux numéros distincts et deux téléphones, un pour le pseudonyme, avec une carte prépayé par exemple et un pour l’identité civile, ne jamais avoir les deux téléphones d’activés aux mêmes moments, aux mêmes endroits... On peut pousser très loin la problématique et on ne s’en sort pas vraiment...

4 Messages