Application d’authentification vs authentification par SMS : laquelle est la plus sûre ?

L’authentification multifacteur (MFA) est devenue une nécessité en matière de cybersécurité pour protéger les comptes en ligne. Elle garantit que seuls les utilisateurs autorisés peuvent accéder à un compte. Certaines méthodes de MFA sont cependant plus sécurisées que d’autres. Une application d’authentification est plus sûre qu’une authentification par SMS, car elle génère des codes 2FA en local. Les cybercriminels ne peuvent donc pas intercepter les codes comme ils peuvent le faire avec les SMS.

Lisez la suite pour en savoir plus sur les applications d’authentification, l’authentification par SMS, pourquoi les applications d’authentification sont plus sécurisées que l’authentification par SMS et comment mettre en place une application d’authentification.

Qu’est-ce qu’une application d’authentification ?

Une application d’authentification est une application utilisée comme méthode de vérification supplémentaire pour la MFA. Elle génère en local sur votre appareil un code que vous devez utiliser avec vos identifiants de connexion pour accéder à vos comptes en ligne. Ces codes d’authentification sont connus sous le nom de TOTP (Time-based One Time Passwords, mots de passe uniques à durée limitée). Les TOTP sont des codes uniques de six à huit chiffres qui durent de 30 à 60 secondes. Toutes les 30 à 60 secours, l’application d’authentification génère un nouveau code TOTP unique basé sur un algorithme secret.

Les applications d’authentification fonctionnent selon le modèle de vérification TOTP. Lorsqu’un utilisateur met en place la MFA sur son compte, il peut choisir TOTP comme méthode de MFA. Le serveur du compte créera alors un code QR que l’application d’authentification pourra scanner ou une clé secrète qui pourra être saisie manuellement. Le code QR et la clé contiennent un algorithme secret qui génère des codes TOTP en temps réel. Une fois que l’utilisateur a terminé de configurer son application d’authentification, celle-ci et le serveur de compte génèreront simultanément et indépendamment le même code.

Lorsque l’utilisateur souhaite se connecter à son compte, il doit saisir ses identifiants de connexion ainsi que le code TOTP de son application d’authentification. Le serveur de compte vérifie alors le code TOTP de l’utilisateur pour voir s’il correspond au code généré par le serveur de compte. Si les codes correspondent, l’utilisateur peut accéder au compte. Si les codes ne correspondent pas, l’utilisateur ne peut pas accéder au compte.

Qu’est-ce que l’authentification par SMS ?

L’authentification par SMS est un type de méthode d’authentification qui vérifie l’identité d’un utilisateur à l’aide d’un code qui lui est envoyé par SMS. Ces codes sont des mots de passe uniques (OTP) qui sont générés pour un usage unique. Les OTP peuvent durer entre 30 secondes et une heure, et les utilisateurs doivent demander un nouvel OTP si la limite de temps est dépassée.

Lorsqu’ils créent un compte, les utilisateurs sont souvent invités à fournir leur numéro de téléphone, que le serveur du compte utilisera pour leur envoyer un code OTP. Pour accéder à leur compte, les utilisateurs doivent fournir leurs identifiants de connexion ainsi que le code OTP reçu par SMS. L’authentification par e-mail est identique à l’authentification par SMS, mais elle utilise une adresse e-mail au lieu d’un numéro de téléphone pour envoyer les codes OTP.

Pourquoi utiliser une application d’authentification par SMS

Utilisez une application d’authentification plutôt qu’une authentification par SMS, car elle est plus sécurisée et moins susceptible d’être interceptée par des cybercriminels. Les applications d’authentification génèrent des codes 2FA en local sur un appareil plutôt que de les envoyer en clair par SMS. Les codes 2FA des applications d’authentification changent également toutes les 30 à 60 secondes, si bien que les cybercriminels ont du mal à les voler.

L’authentification par SMS envoie des codes 2FA non chiffrés par SMS. Les codes 2FA par SMS peuvent facilement être compromis par des attaques de type man-in-the-middle et le SIM swapping.

• Attaque de type man-in-the-middle : type de cyberattaque au cours de laquelle les cybercriminels interceptent les données transmises sur un réseau Wi-Fi non chiffré. Si un utilisateur est connecté à un réseau Wi-Fi fabriqué ou public, les cybercriminels peuvent écouter, voler ou modifier son trafic Internet, notamment ses codes 2FA.
• SIM swapping : des cybercriminels se font passer pour une victime pour convaincre un opérateur de téléphonie mobile d’activer une nouvelle carte SIM avec le numéro de téléphone de la victime. Les cybercriminels recevront ensuite les SMS et les appels téléphoniques de la victime, qu’ils pourront utiliser pour voler les codes 2FA par SMS.

Étant donné que les applications d’authentification génèrent les codes 2FA en local, les cybercriminels ne peuvent pas les intercepter. La seule façon de voler les codes 2FA d’une application d’authentification est de compromettre l’appareil avec un logiciel malveillant, par ingénierie sociale ou en volant physiquement l’appareil. Ces méthodes peuvent également être utilisées pour voler des codes SMS. Une autre façon de voler des codes 2FA dans des applications d’authentification est de voler le code QR, ce qui est rare et très difficile. Pour protéger les codes 2FA d’une application d’authentification, les utilisateurs peuvent facilement protéger leur appareil avec un code PIN, éviter les logiciels malveillants et l’ingénierie sociale, et cacher leurs codes QR et 2FA.

Comment paramétrer une application d’authentification

Il est facile de mettre en place une MFA avec une application d’authentification. Voici les étapes à suivre pour configurer une application d’authentification :

1. Choisir une application d’authentification : toutes les applications d’authentification ne se valent pas. Vous devez choisir une application d’authentification qui répond à vos besoins. Nous vous recommandons d’utiliser un gestionnaire de mots de passe, car certains d’entre eux peuvent générer et stocker des codes 2FA dans un coffre-fort de mots de passe numérique.
2. Téléchargez l’application d’authentification sur votre appareil : si vous utilisez une application d’authentification autonome, vous devez télécharger l’application sur votre appareil. Téléchargez l’application d’authentification sur votre téléphone pour y avoir toujours accès.
3. Activez la MFA sur votre compte : une fois l’application d’authentification téléchargée, connectez-vous à votre compte et activez la MFA. Choisissez le paramètre qui vous permet d’utiliser une application d’authentification comme méthode de MFA. Votre compte affichera ensuite le code QR et la clé secrète avec l’algorithme qui génère les TOTP.
4. Scannez le code QR ou saisissez la clé secrète à l’aide de l’application d’authentification : scannez ensuite le code QR avec l’application d’authentification ou saisissez manuellement la clé secrète afin que l’application d’authentification puisse générer les mêmes codes TOTP que le serveur du compte.
5. Tout est prêt : vous avez maintenant paramétré votre application d’authentification comme méthode de MFA pour votre compte. La prochaine fois que vous essaierez de vous connecter à votre compte, vous utiliserez le TOTP de votre application d’authentification pour y accéder. Vous devrez répéter les étapes 3 et 4 chaque fois que vous tenterez de configurer la MFA pour vos autres comptes.

Comment les gestionnaires de mots de passe protègent vos comptes avec la 2FA intégrée

Il est préférable d’utiliser une authentification par SMS plutôt que de ne pas activer la MFA du tout, mais nous vous recommandons d’utiliser une application d’authentification plutôt que l’authentification par SMS, car elle est plus sécurisée. Les applications d’authentification sont pratiques, sécurisées et gratuites, ce qui en fait une meilleure option pour la MFA.

Vous pouvez utiliser un gestionnaire de mots de passe comme méthode de MFA. Certains gestionnaires de mots de passe ont intégré des applications d’authentification qui généreront et stockeront les codes 2FA pour vos comptes. Utiliser un gestionnaire de mots de passe vous permet de vous connecter plus facilement à vos comptes puisque vous avez accès à vos identifiants et codes 2FA depuis n’importe quel appareil. Certains gestionnaires de mots de passe proposent une fonctionnalité de remplissage automatique qui remplit vos identifiants de connexion et vos codes 2FA lorsque vous tentez de vous connecter.

Keeper Password Manager dispose de fonctionnalités d’application d’authentification intégrées. Vous pouvez donc générer des codes 2FA dès que vous essayez de vous connecter à vos comptes. Il est également livré avec la fonctionnalité KeeperFill qui remplit automatiquement vos identifiants de connexion et vos codes 2FA chaque fois que vous essayez de vous connecter à vos comptes. Inscrivez-vous à un essai gratuit pour protéger vos comptes avec une MFA forte.