Dans ce mini-cours, on va aller bien plus loin que “active le 2FA c’est bien”. On va comprendre comment ca marche reellement, pourquoi certaines methodes sont dangereuses, et ce que signifie concrètement un certificat numerique dans le contexte de l’authentification.
L’authentification a deux facteurs (2FA) est un mecanisme qui exige deux preuves d’identite distinctes pour acceder a un compte. Ces preuves appartiennent a des categories differentes :
Le principe du 2FA : combiner au moins deux de ces categories. Un mot de passe + un code SMS, c’est un “ce que tu sais” + un “ce que tu as”. Si un attaquant vole ton mot de passe, il lui manque encore le second facteur.
Chiffre a retenir : selon Microsoft, le 2FA bloque 99,9 % des attaques automatisees sur les comptes. Ce n’est pas une option, c’est une necessite.
Les mots de passe ont des problemes structurels :
Le 2FA ne corrige pas ces defauts — mais il fait en sorte qu’ils ne suffisent plus a compromettre un compte.
Comment ca marche : Apres ton mot de passe, le serveur envoie un code a 6 chiffres par SMS. Tu as 2 a 5 minutes pour le saisir.
Avantages : Universel, aucune app a installer, compris par tous.
Failles :
❌ Mieux que rien — a eviter pour les comptes critiques
Comment ca marche : Meme principe que le SMS mais le code arrive par e-mail.
Probleme : Si un attaquant a deja acces a ton e-mail, cette methode ne protege rien. Ca revient a proteger une porte avec une cle cachee sous le paillasson.
❌ Deconseille — sauf si le compte e-mail est lui-meme tres securise
Comment ca marche : Lors de l’activation, le site te montre un QR code. Tu le scannes avec une application (Google Authenticator, Aegis, Authy, Bitwarden…). L’app et le serveur partagent un secret commun (une cle HMAC). A chaque instant, les deux calculent le meme code a partir de ce secret + l’heure actuelle arrondie a 30 secondes.
L’algorithme TOTP (RFC 6238) :
T = floor(Unix_timestamp / 30)
TOTP = HMAC-SHA1(secret, T) tronque a 6 chiffresAvantages :
Limite principale — phishing en temps reel : un faux site peut te faire saisir ton code TOTP et l’utiliser immediatement sur le vrai site (attaque MITM). 30 secondes suffisent a un script automatise.
Apps recommandees : Aegis (Android, open source, backup chiffre) · Bitwarden Authenticator · Google Authenticator · Authy
⚠️ Bon compromis pour le quotidien — resistance partielle au phishing
Comment ca marche : Apres ton mot de passe, tu recois une notification “Approuver la connexion ?”. Tu appuies sur Oui/Non.
Avantage : Simple, intuitif, souvent enrichi (lieu, appareil, heure).
Limite — Push bombing (MFA Fatigue) : l’attaquant tente de se connecter des dizaines de fois pour t’inonder de notifications jusqu’a ce que tu appuies sur “Oui” par erreur. C’est exactement comme ca qu’Uber a ete compromis en 2022.
⚠️ Bien — activer le “number matching” pour contrer le push bombing
Comment ca marche : La cle physique contient une paire de cles cryptographiques asymetriques. Lors de l’enregistrement, elle genere une paire public/prive specifique a ce site. La cle privee ne quitte jamais le hardware. A la connexion, le navigateur envoie un challenge aleatoire, la cle le signe, et le serveur verifie.
Avantages :
Limites : Cout (20-80 €), prevoir une cle de secours, pas encore supporte partout.
Exemples : YubiKey 5 NFC · Google Titan · SoloKey (open source) · Nitrokey
🏆 Gold standard — obligatoire pour les comptes ultra-critiques
Souvent meconnu du grand public, le certificat numerique est pourtant l’une des methodes d’authentification les plus robustes qui existent.
Un certificat numerique (format X.509) est un fichier signe par une Autorite de Certification (CA) qui atteste qu’une cle publique appartient bien a une entite donnee.
La cle privee associee est stockee sur une carte a puce ou un token USB materiel (HSM). Elle ne quitte jamais le support physique.
A retenir : Le certificat numerique est a l’identite numerique ce qu’un passeport biometrique est a l’identite physique — emis par une autorite reconnue, infalsifiable, verifiable par tous. C’est la methode des gouvernements et des grandes entreprises pour leurs acces critiques.
| Methode | Resistance phishing | Facilite | Cout | Pour qui |
|---|---|---|---|---|
| SMS | ❌ Faible | ⭐⭐⭐⭐⭐ | Gratuit | Rien de critique |
| OTP e-mail | ❌ Faible | ⭐⭐⭐⭐ | Gratuit | A eviter |
| TOTP (app) | ⚠️ Partiel | ⭐⭐⭐⭐ | Gratuit | Usage quotidien |
| Push notification | ⚠️ Partiel | ⭐⭐⭐⭐⭐ | Gratuit | Usage pro (+ number matching) |
| Cle FIDO2 | ✅ Total | ⭐⭐⭐ | 20-80 € | Comptes critiques |
| Certificat numerique | ✅ Total | ⭐⭐ | Variable | Entreprise / gouvernement |
💬 Tu utilises quoi comme methode 2FA ? TOTP, cle physique, SMS… ou rien encore ? Pose tes questions ci-dessous, on est la pour aider.
Mini-cours redige par l’equipe hacktualites.com — pour aller plus loin, explore les autres ressources du forum.