Application d'authentification

Une application d'authentification est une application gratuite, sur votre téléphone, qui affiche un code à six chiffres, et ce code change toutes les trente secondes. Après votre mot de passe, le site demande le nombre affiché à cet instant, et seul le téléphone dans votre poche sait le produire. Un mot de passe volé, à lui seul, ne vaut donc plus grand-chose.

Il n'y a aucune magie là-dedans. À l'installation, le site et l'application se mettent d'accord sur un long secret, en général quand vous photographiez un carré affiché à l'écran. Tous deux connaissent alors le même secret et la même heure, et calculent donc les mêmes six chiffres, encore et encore. Rien n'est envoyé à votre téléphone, et c'est tout l'intérêt. L'application marche donc en avion, dans une cave, ou dans un village où le réseau disparaît.

C'est aussi pour cela qu'elle vaut mieux qu'un code par SMS, que la personne assise à côté de vous lit sur l'écran verrouillé. Pire, un escroc peut convaincre votre opérateur de basculer votre numéro sur sa propre carte SIM, et tous les codes arrivent alors chez lui. Les SMS se perdent aussi pendant des heures sur un réseau chargé, juste au moment où vous en avez besoin. Rien de tout cela n'atteint l'application, puisqu'il n'y a aucun message à voler.

L'erreur classique est de l'activer dans la précipitation, car l'écran qui montre le carré d'installation affiche aussi une courte liste de codes de secours. Gardez-les ailleurs que sur le téléphone, imprimés dans un tiroir ou dans un gestionnaire de mots de passe sur l'ordinateur. Ajoutez ensuite l'application sur un deuxième appareil, ou activez sa sauvegarde chiffrée, pour qu'un téléphone perdu reste un ennui et non une catastrophe. Notre fiche sur l'authentification à deux facteurs explique l'idée de cette deuxième étape. Chez Linkysoft, nous imprimons ces codes avec le client et les rangeons dans le coffre, car une photo gardée sur le même téléphone n'est pas une sauvegarde.

Si le téléphone est volé et que les codes de secours n'ont jamais été enregistrés, récupérer un compte peut demander des jours de justificatifs, et parfois cela ne marche jamais. Linkysoft s'est assis avec des patrons privés de leur propre messagerie d'entreprise pour cette seule raison, alors que cinq minutes au départ auraient suffi. C'est pourquoi chaque projet de cybersécurité commence par basculer les comptes du personnel vers une application, puisque ce sont eux qui contiennent les données des clients. Chacun se connecte ensuite une fois depuis un deuxième appareil avant que nous allions plus loin.