Votre avis sur la double authentification et les SMS

Ça a été prouvé faillible techniquement mais souvent avec des moyens non néglieable tout de même. Et on vu quelques attaques d’ingénieurie sociale.

Quand je peux je préfère la double authentification par d’autres moyens.

Faire de la double authentification sans au moins imprimer tes clés quelque part, c’est comme ne pas vouloir faire de backup.

Salut. Ce qui suit représente mon avis et est plutôt subjectif.

Le deuxième facteur par SMS est pas mal. En gros, tout dépend de la sensibilité de l’appli et de l’intérêt qu’à un attaquant à t’attaquer toi en particulier… intérêt souvent assez faible.

Il faut aussi penser que l’attaquant cherche dans 99,9% des cas à se faire de l’argent facilement. Donc perso si je suis un attaquant je vais pas aller attaquer l’appli où je dois sniffer le réseau de l’opérateur ou faire 100 trucs avec un SAV. A sensibilité de data égale, je vais aller attaquer un site qui ne propose pas de "double auth".

Alors oui en théorie c’est faible, c’est pas de l’authentification forte et c’est cassable par quelqu’un d’un niveau technique moyen.

Mais en étant pragmatique, s’il faut que l’utilisateur installe quelque chose, souvent il fera pas (genre les banques qui utilisent cette solution pour pas saouler leurs utilisateur). Sensiblement tout le monde a un smartphone et peut recevoir des SMS. Tu t’exposes à un risque pour ton appli quand tu le mets en place. A toi de le maîtriser. Si ton appli est archi critique c’est souvent pas une bonne solution. Mais souvent c’est pas mal.

Salut,

Dans « double-authentification » il y a avant tout « double ». Ça ne remplace pas le mot de passe, ça le complète avec un code d’identification jetable.

On peut parfaitement en douter, c’est une méthode faillible, mais déjà plus sûre qu’un simple mot de passe.

Pour ce qui est des codes de secours, il faut évidemment prendre soi de les noter et les stocker dans un endroit sûr.

Je t’invite à visionner cette vidéo qui démont(r)e la fiabilité de la double authentification via du phishing (hameçonnage).

Y’a plusieurs choses à prendre en compte :

• C’est techniquement compliqué d’intercepter des SMS. Il faut être proche de la cible et utiliser du matériel adapté, et très fortement régulé puisque considéré comme de l’armement.
• Les services trackent les appareils utilisés pour la connexion : en plus d’avoir l’utilisateur et son mobile à portée d’IMSI catcher, il faut encore être capable de spoofer, non pas le mobile, mais l’appareil dont l’utilisateur se sert généralement pour se connecter.
• Les services trackent les tentatives de connexion et les réinitialisations de mot de passe : typiquement sur un compte Google, si une demande de réinitialisation est faite, ça fait du bruit et c’est annulable en un clic. L’utilisateur légitime peut donc réagir, ou alors il faut que l’attaquant soit capable de bloquer, dans la foulée, ces contremesures en étouffant toutes les notifs/emails qui sont produits par l’événement.

Alors certes la sécurité n’est pas parfaite et ça reste théoriquement possible de casser un compte, mais ça demande quand même des conditions (équipement, situation géographique, timing, …) suffisamment compliquées à reproduire pour que l’attaquant privilégie d’autres méthodes, en exploitant plutôt des failles humaines que techniques.