Application d'authentification

Une application d'authentification est une application gratuite, sur votre téléphone, qui affiche un code à six chiffres. Le code change toutes les trente secondes. Après votre mot de passe, le site demande ce nombre, et seul le téléphone dans votre poche sait le produire. Un mot de passe volé seul ne vaut alors plus grand-chose.

Il n'y a aucune magie là-dedans. À l'installation, le site et l'application se mettent d'accord sur un long secret, en général en photographiant un carré affiché à l'écran. Tous les deux connaissent ensuite le même secret et la même heure, et calculent les mêmes six chiffres à partir de ces deux éléments, encore et encore. Rien n'est envoyé à votre téléphone, et c'est tout l'intérêt. L'application marche donc en avion, dans une cave, ou dans un village où le réseau disparaît.

C'est aussi pour cela qu'elle vaut mieux qu'un code par SMS. Un SMS se lit sur l'écran verrouillé par la personne à côté de vous. Pire, un escroc peut convaincre votre opérateur de basculer votre numéro sur sa propre carte SIM, et tous les codes arrivent alors chez lui. Les messages se perdent aussi pendant des heures sur les réseaux chargés. Rien de tout cela n'atteint l'application, puisqu'il n'y a aucun message à voler.

L'erreur classique est de l'activer dans la précipitation. Quand un site affiche le carré d'installation, il affiche aussi une courte liste de codes de secours. Gardez-les ailleurs que sur le téléphone, imprimés dans un tiroir ou dans un gestionnaire de mots de passe sur l'ordinateur. Ajoutez ensuite l'application sur un deuxième appareil, ou activez sa sauvegarde chiffrée, pour qu'un téléphone perdu reste un ennui et non une catastrophe. Notre fiche sur l'authentification à deux facteurs explique l'idée de cette deuxième étape. Chez Linkysoft, nous imprimons ces codes avec le client et les rangeons dans le coffre, car une photo gardée sur le même téléphone n'est pas une sauvegarde.

Si le téléphone est volé et que les codes de secours n'ont jamais été enregistrés, récupérer un compte peut prendre des jours de justificatifs, et parfois cela ne marche jamais. Linkysoft s'est assis avec des patrons privés de leur propre messagerie d'entreprise pour cette seule raison. Cinq minutes au départ suffisent à l'éviter. Dans chaque projet de cybersécurité, nous basculons d'abord les comptes du personnel vers une application, car ce sont eux qui contiennent les données des clients, et chacun se connecte une fois depuis un deuxième appareil avant que l'on continue.