Authentification multifacteur : qui l'a et comment la configurer
Publié: 2022-01-29Le bogue Heartbleed de 2014 a exposé des millions de connexions Internet à des escrocs grâce à un tout petit morceau de code, et nos cauchemars de sécurité n'ont fait que s'aggraver progressivement au cours des années qui ont suivi.
Que doit faire l'internaute moyen ? Eh bien, vous devriez avoir des mots de passe forts. Il s'agit d'une méthode d'authentification assez risible et qui peut être récupérée assez facilement par une variété de méthodes. (Mais vous pouvez arrêter de changer constamment vos mots de passe à moins qu'ils ne soient en infraction.)
Ce dont vous avez vraiment besoin, c'est d'une deuxième façon de vous vérifier. C'est pourquoi de nombreux services Internet, dont un certain nombre ont été piratés ou piratés, proposent une authentification multifacteur (ou MFA ). Jusqu'à très récemment, nous l'appelions généralement l'authentification à deux facteurs ( 2FA ), mais plus il y a de facteurs, mieux c'est. Vous trouverez tous les termes utilisés de manière interchangeable avec "multi-étapes", "deux étapes" et "vérification" selon le marketing.
Comme l'a dit Neil J. Rubenking, analyste en chef de la sécurité chez PCMag, "il existe trois facteurs généralement reconnus pour l'authentification : quelque chose que vous connaissez (comme un mot de passe), quelque chose que vous avez (comme un jeton matériel ou un téléphone portable) et quelque chose que vous êtes (comme votre empreinte digitale). Deux facteurs signifie que le système utilise deux de ces options." Multi-factor signifie que vous pourriez même en avoir plus de deux.
Les scanners biométriques pour les empreintes digitales et les rétines ou les visages ont le vent en poupe grâce à des innovations telles que Face ID d'Apple et Windows Hello. Mais dans la plupart des cas, l'authentification supplémentaire est simplement une chaîne numérique, quelques chiffres envoyés à votre téléphone, sous la forme d'un code qui ne peut être utilisé qu'une seule fois.
Vous pouvez obtenir ce code via un SMS (ce qui n'est pas une bonne idée) ou une application spécialisée pour smartphone appelée "authentificateur". Une fois liée à vos comptes, l'application affiche un ensemble de codes en rotation constante à utiliser chaque fois que nécessaire - elle ne nécessite même pas de connexion Internet. Il existe plusieurs applications, dont certaines de grands noms comme Microsoft et Google, ainsi que Twilio Authy, Duo Mobile et LastPass Authenticator. Ils font tous la même chose, essentiellement, certains avec la gestion des mots de passe et d'autres fonctionnalités. Voici notre aperçu des meilleures applications d'authentification.
La majorité des gestionnaires de mots de passe populaires (tels que LastPass) offrent également une authentification MFA par défaut. Les codes fournis par les applications d'authentification se synchronisent sur vos comptes, vous pouvez donc scanner un code QR sur un téléphone et obtenir votre code d'accès à six chiffres sur votre navigateur, s'il est pris en charge.
Sachez que la configuration de MFA peut en fait interrompre l'accès à certains services plus anciens. Dans de tels cas, vous devez vous fier aux mots de passe d'application, un mot de passe que vous générez sur le site Web principal à utiliser avec une application spécifique. Vous verrez les mots de passe d'application comme une option avec Facebook, Twitter, Microsoft, Yahoo, Evernote et d'autres, qui sont tous utilisés comme identifiants tiers ou ont des fonctions plus anciennes auxquelles vous pouvez accéder à partir d'autres services. Heureusement, le besoin de mots de passe d'application diminue.
Souvenez-vous de ceci lorsque vous paniquez devant la difficulté de tout cela : être en sécurité n'est pas facile . Les méchants comptent sur vous pour être laxiste. La mise en œuvre de MFA signifie qu'il faut un peu plus de temps pour se connecter à chaque fois sur un nouvel appareil, mais cela en vaut la peine à long terme pour éviter un vol grave, qu'il s'agisse de votre identité, de vos données ou de votre argent.
Ce qui suit n'est pas une liste exhaustive des services dotés de la capacité MFA, mais nous couvrons les principaux services que tout le monde a tendance à utiliser et vous guiderons tout au long de la configuration. Activez MFA sur tous ces éléments et vous serez plus en sécurité que jamais.
Vérification Amazon en deux étapes
La prise en charge d'Amazon 2FA est assez importante, car Amazon a ses doigts dans de nombreux tartes, comme Comixology, Audible.com et les sites qui utilisent Amazon pour les paiements, tous liés à votre carte de crédit.
Ouvrez Amazon.com sur le bureau, cliquez sur le menu déroulant Comptes et listes et accédez à Votre compte . Cliquez sur Connexion et sécurité . Sur la page suivante, cliquez sur Modifier à côté de Paramètres de vérification en deux étapes (2SV) . La méthode préférée est une application d'authentification (scannez le code QR); le(s) numéro(s) de téléphone sont la méthode de sauvegarde.
Une option intéressante avec Amazon est la possibilité de dire au service d'ignorer les codes sur les appareils de confiance (ou sur plusieurs navigateurs Web de confiance sur le même appareil). Si cette option ne fonctionne pas plus tard, revenez à la page Vérification en deux étapes (2SV) et cliquez sur Exiger OTP sur tous les appareils . OTP signifie mot de passe à usage unique ; c'est ce qu'Amazon insiste pour appeler le code d'authentification.
Authentification à deux facteurs Apple
Votre identifiant Apple occupe une place importante dans votre vie si vous êtes un utilisateur iOS ou Mac. C'est important non seulement pour l'accès, mais aussi pour le stockage via iCloud ; des achats comme des films, des livres et des applications ; et des abonnements à des services comme Apple Music et Apple TV+.
Pour activer l'authentification à deux facteurs, accédez à la page Gérer votre identifiant Apple et connectez-vous. Recherchez Sécurité du compte > Authentification à deux facteurs et cliquez sur « Commencer... ».
Vous êtes ensuite fourni avec des étapes sur la façon de configurer 2FA pour Apple en utilisant iOS ou macOS. Sur iOS, accédez à Paramètres > [votre nom en haut] > Mot de passe et sécurité > Activer l'authentification à deux facteurs . Sur macOS, accédez à > Préférences système > iCloud , connectez-vous, cliquez sur Détails du compte > Sécurité > Activer l'authentification à deux facteurs . (Voici des détails sur sa configuration dans iOS 15 afin que vous puissiez littéralement utiliser votre appareil iOS comme application d'authentification.)
Vous devrez répondre à deux de vos trois questions de sécurité prédéfinies et reconfirmer votre carte de crédit sur le compte pour accéder à la configuration. Ensuite, vous devez entrer un numéro de téléphone valide pour recevoir un SMS ou un appel téléphonique (même s'il s'agit du numéro déjà sur le téléphone que vous utilisez pour la configuration). S'il s'agit du même téléphone, le code à six chiffres sera saisi automatiquement à sa réception ou saisissez-le simplement.
Après cela, la connexion à quoi que ce soit avec un identifiant Apple devrait générer le code sur l'appareil utilisé pour la configuration. Apple prend également en charge les mots de passe spécifiques aux applications.
Notez qu'une fois que l'authentification à deux facteurs d'Apple est active, vous ne pouvez pas la désactiver. "Certaines fonctionnalités des dernières versions d'iOS et de macOS nécessitent ce niveau de sécurité supplémentaire, qui est conçu pour protéger vos informations", déclare Apple.
Vérification en deux étapes de Dropbox
Dropbox sur le site Web de bureau a un onglet appelé Sécurité . C'est là que vous allez vérifier combien de sessions en cours sont connectées et combien d'appareils utilisent le compte, pour changer le mot de passe et, bien sûr, activer la vérification en deux étapes. Activez-le , entrez un mot de passe et il vous sera demandé si vous souhaitez obtenir des codes de sécurité par SMS ou via une application d'authentification mobile.
Si vous choisissez le texte, entrez un numéro de téléphone et recevez immédiatement un code. Vous pouvez également saisir un numéro de secours et recevoir un numéro à 16 chiffres que vous devez enregistrer en lieu sûr. il vous permettra de désactiver la vérification en deux étapes si nécessaire. Si vous choisissez l'application d'authentification (et vous devriez), vous verrez un code QR à l'écran à scanner. D'autres options incluent l'utilisation d'une clé de sécurité matérielle, si vous en avez une. Dropbox fournit d'excellentes instructions MFA.
Authentification à deux facteurs Facebook
Facebook est le dernier endroit où vous souhaitez perdre le contrôle d'un compte ; sa version de l'authentification à deux facteurs aidera à empêcher cela. Sur le bureau, vous y accédez en vous rendant dans Paramètres > Sécurité et Connexion .
Sous Authentification à deux facteurs , cliquez sur Modifier à droite. Sur l'écran suivant, sélectionnez la manière dont vous souhaitez recevoir votre deuxième forme d'authentification : un message texte, une application d'authentification ou une clé de sécurité physique. C'est quelque chose que vous branchez ou placez près de votre ordinateur pour y accéder. Pour plus d'informations, lisez Les meilleures clés de sécurité pour l'authentification multifacteur.
Si vous sélectionnez une application d'authentification (qui est la meilleure option en ce qui concerne Facebook), Facebook produira un code QR sur l'écran du bureau. Ouvrez votre application d'authentification sur votre smartphone, sélectionnez Ajouter et maintenez votre smartphone devant l'écran de l'ordinateur pour capturer le code. La prochaine fois que vous vous connecterez à Facebook et qu'il demandera votre code à six chiffres, ouvrez l'application d'authentification pour le récupérer.
Les options ci-dessus nécessitent que vous ayez accès à votre téléphone, bien sûr. Mais lorsque vous activez MFA, vous pouvez obtenir une liste de 10 codes de récupération à télécharger et à utiliser à tout moment, même si vous n'avez pas votre téléphone. Obtenez-les dans la zone Paramètres d'authentification à deux facteurs et enregistrez-les dans un endroit sûr.
Vérification Google en 2 étapes
Avec l'accès à votre carte de crédit (pour faire des achats sur Google Play en payant via Google Pay), vos messages et documents importants, vos appareils domestiques intelligents et même vos vidéos sur YouTube, essentiellement toute votre vie, un compte Google doit être bien protégé. Heureusement, la société travaille sur les systèmes MFA depuis 2010.
La première option la plus simple pour la vérification en deux étapes de Google consiste à utiliser l' invite Google . Ajoutez simplement votre smartphone à votre compte, assurez-vous que l'application de recherche Google est sur le téléphone et, lors de la connexion, accédez au téléphone et confirmez simplement d'un simple toucher que vous êtes celui qui se connecte. Facile.
Si cela ne fonctionne pas, vous devrez entrer un code supplémentaire. Ce code est envoyé à votre téléphone par SMS, par appel vocal ou à l'aide d'une application d'authentification. Google Authenticator, ou n'importe quelle application d'authentification, peut générer le code de vérification pour vous, sans connexion Internet. Sur votre compte personnel, choisissez d'enregistrer votre ordinateur de confiance afin de ne pas avoir à saisir de code à chaque connexion.
Une fois que vous avez configuré la vérification en deux étapes de Google, accédez-y à nouveau en accédant aux paramètres de sécurité de votre compte Google. Sélectionnez les numéros de téléphone facultatifs pouvant recevoir des codes, passez à l'utilisation d'une application d'authentification et générez des mots de passe spécifiques à l'application.
Authentification à deux facteurs Instagram
Instagram, propriété de Facebook, propose une authentification à deux facteurs depuis 2016. Pour l'activer, dans l'application mobile, accédez à votre profil (avec l'icône en bas à droite), puis appuyez sur le menu hamburger en haut à droite. Appuyez sur Paramètres > Sécurité > Authentification à deux facteurs .
Là, vous pouvez choisir comment vous souhaitez obtenir votre code d'authentification. Les options incluent une application d'authentification (recommandée) utilisant WhatsApp ou par SMS (incluez le code du pays, car Instagram est partout). Si vous optez pour une application d'authentification, Instagram vous guidera à travers les étapes de configuration, car vous ne pouvez pas scanner exactement un code QR à partir de votre téléphone mobile lorsque vous utilisez l'application sur votre téléphone mobile.)
L'application propose également une liste de cinq codes de secours à utiliser lorsque vous ne pouvez pas obtenir de codes via l'application d'authentification ou par SMS. Dites à l'application de vous envoyer une notification des demandes de connexion à votre compte afin que vous ayez une chance supplémentaire de les approuver.
Intuit ImpôtRapide, Turbo et Mint.com
Le SIRF vous inquiète ? C'est la fraude au remboursement d'identité volée, quelque chose que l'IRS combat pour que vos remboursements d'impôt vous reviennent, pas aux escrocs et aux escrocs.
Aidez-vous en activant MFA, si vous utilisez des logiciels/services de dépôt électronique. Intuit TurboTax est le choix des éditeurs PCMag pour les logiciels de préparation des déclarations. Une fois que vous vous êtes connecté via le navigateur de bureau, cliquez sur Compte Intuit > Connexion et sécurité et cliquez sur le lien à côté de Vérification en deux étapes . Si vous avez déjà entré un numéro de téléphone, il devrait apparaître ici afin que vous puissiez le vérifier par SMS ou par appel vocal. Une fois que c'est activé, l'option Activer l'application Authenticator apparaît. Le numéro de téléphone reste dans le système pour le repli.
Cette connexion fonctionne également pour le suivi des finances personnelles en ligne d'Intuit, Mint.
Vérification en deux étapes de LinkedIn
Le réseau social d'entreprise LinkedIn facilite la configuration de la vérification MFA, soit par SMS, soit par une application d'authentification. Accédez au menu Moi > Paramètres et confidentialité > Connexion et sécurité > Vérification en deux étapes .
Vous recevrez immédiatement un code à six chiffres à entrer pour vérifier que vous êtes bien vous. Vous n'obtenez qu'un seul numéro de téléphone (pas de sauvegarde). Vous pouvez également vous rendre ici pour obtenir des codes de récupération qui vous permettent d'accéder au compte même si vous n'avez pas accès à votre téléphone.
Vérification en deux étapes Microsoft
Microsoft a regroupé la plupart de ses services sous un même parapluie. Outlook.com, OneDrive, Xbox Live, Skype, un abonnement Office 365, le système d'exploitation Windows lui-même et bien d'autres peuvent tous utiliser le même compte. Naturellement, il devrait bénéficier d'une protection supplémentaire.
En fait, Microsoft a déclaré en 2021 qu'il n'exigerait même pas de mot de passe sur les comptes, tant que vous utilisez l'un de ses moyens de connexion de style MFA. Cela signifie utiliser l'application Microsoft Authenticator sur iOS ou Android, la connexion biométrique Windows Hello. Mais vous pouvez vous en tenir à l'utilisation d'un mot de passe et obtenir une clé de sécurité ou un code de vérification.
Recommandé par nos rédacteurs
Connectez-vous à votre compte Microsoft sur account.microsoft.com/profile. Dans la barre de navigation supérieure, cliquez sur Sécurité ; sur la page suivante, cliquez sur Options de sécurité avancées. Vous verrez un lien appelé Ajouter une nouvelle façon de vous connecter ou de vérifier, et vous pouvez entrer beaucoup d'informations ici, telles que les adresses e-mail et les numéros de téléphone qui peuvent être utilisés pour obtenir un code. De plus, vous pouvez configurer Entrez un code à partir d'une application d'authentification. En dessous, vous verrez des options pour le compte sans mot de passe et la vérification en deux étapes.
Vous n'avez pas besoin d'utiliser Microsoft Authenticator si vous configurez uniquement l'accès MFA avec un mot de passe. Il fonctionne également avec d'autres applications d'authentification standard, telles que Google Authenticator et Authy, mais pour les utiliser, vous devez sélectionner "autre" lors de la configuration. Ou vous pouvez obtenir les codes envoyés par SMS ou par e-mail.
Mais si vous souhaitez utiliser la nouvelle option de compte sans mot de passe, Microsoft Authenticator sera requis sur votre smartphone. Mais vous n'aurez peut-être même pas besoin d'entrer un code - l'application apparaîtra si vous essayez de vous connecter quelque part, et après vous être connecté au téléphone, l'application est activée, vous cliquez généralement sur quelques cases pour vous authentifier, c'est facile. (Certains pourraient dire trop facile, car tout ce dont quelqu'un a besoin pour accéder à votre compte Microsoft maintenant est de voler votre téléphone car il n'y a pas de mot de passe.)
Microsoft fournit un code de récupération que vous pouvez écrire et conserver en toute sécurité, un whopper à 25 chiffres (comme celui qu'il utilise sur tout, des enregistrements de logiciels aux cadeaux Xbox).
Vérification PayPal en 2 étapes
En tant que service dédié aux paiements, il est préférable que PayPal soit aussi sécurisé que possible.
Lorsque vous vous connectez, cliquez sur l'icône d'engrenage pour obtenir un menu et accéder à Paramètres > Sécurité . À côté de Vérification en deux étapes , cliquez sur Configurer . Vous pouvez recevoir un SMS ou un code via une application d'authentification ; pour ce dernier, vous effectuez les étapes habituelles de numérisation d'un code QR avec l'application. Choisissez une option comme méthode principale.
Vous avez la possibilité d'ajouter une méthode MFA de sauvegarde à votre compte, comme un numéro différent ou même une autre application d'authentification complète, lorsque vous ne pouvez pas accéder à votre téléphone. Retournez dans Paramètres> Sécurité et cliquez sur Mettre à jour si vous souhaitez ajouter des méthodes ou désactivez complètement MFA. Vous pouvez également ignorer le MFA sur certains appareils lorsque vous vous y connectez, de sorte qu'il ne vous sera plus demandé de code sur cet appareil/navigateur.
Les étapes pour cela sont légèrement différentes si vous avez un compte professionnel, mais en fin de compte, il vous suffit de trouver votre chemin vers les paramètres pour accéder à la vérification en 2 étapes.
Authentification Slack à 2 facteurs
Vous avez un Slack de bureau ? La possibilité de le sécuriser avec deux facteurs dépend des paramètres de compte de votre espace de travail. Si vous vous connectez à Slack à l'aide de votre compte G Suite, vous gérerez deux facteurs via Google. Si vous accédez à plusieurs espaces de travail Slack, vous devez configurer MFA sur chaque espace de travail individuellement - certains peuvent l'utiliser, d'autres non.
Sinon, accédez à Compte > Paramètres > Authentification à deux facteurs pour trouver le bouton Configurer l'authentification à deux facteurs . (Si vous ne le voyez pas, ce n'est pas une option pour vous.) Après avoir entré votre mot de passe, vous avez deux choix : recevoir le code par SMS ou utiliser une application d'authentification. Même si vous choisissez l'application, vous avez la possibilité d'entrer un numéro de téléphone portable de secours.
Les propriétaires/administrateurs peuvent accéder à Paramètres et autorisations de l'espace de travail > Authentification pour exiger une authentification à deux facteurs à l'échelle de l'espace de travail si vous le souhaitez.
Authentification à deux facteurs Twitter
Pour activer la vérification de connexion sur Twitter.com sur le bureau, cliquez sur le menu Plus sur la gauche et sélectionnez Paramètres et confidentialité > Sécurité et accès au compte > Sécurité > Authentification à deux facteurs . Choisissez d'obtenir des codes par téléphone (texte SMS), application d'authentification ou avec une clé de sécurité physique (ou toute combinaison des trois). Dans l'application mobile Twitter, les étapes sont sensiblement les mêmes, mais vous commencez par cliquer sur votre photo de profil.
Twitter générera des codes de secours lorsque vous perdez un appareil et des mots de passe temporaires à utiliser une seule fois lors de la connexion à des services/endroits/moments où vous ne pouvez pas obtenir un code MFA régulier.
Vous pouvez également utiliser l'application Twitter elle-même comme application d'authentification. Sur l'application mobile (cela ne fonctionne pas sur le bureau), accédez à Paramètres > Sécurité et accès au compte > Sécurité > Authentification à deux facteurs > Générateur de code de connexion pour afficher un numéro à six chiffres qui se met à jour toutes les 30 secondes, exactement comme un authentificateur application. Cela peut être utile lors de la connexion à des sites tiers avec vos informations d'identification Twitter.
Clé de compte Yahoo ou vérification en 2 étapes
Pour configurer la vérification sur Yahoo, accédez à vos informations personnelles (recherchez votre nom ou le lien pour se connecter, dans le coin supérieur droit de n'importe quelle page Yahoo, et sélectionnez Ajouter ou gérer des comptes > Informations sur le compte ). Cliquez sur Sécurité du compte et vous verrez la bascule de vérification en deux étapes . Il confirmera immédiatement le numéro de téléphone sur votre compte, ou en demandera un nouveau et enverra un code de vérification. Il vous avertit également que certaines applications ne fonctionneront pas avec la deuxième vérification de connexion, celles-ci nécessiteront des mots de passe d'application.
Il n'y a pas d'option pour utiliser une application d'authentification tierce. Cependant, la clé de compte Yahoo est la meilleure chose à faire. Il s'attend à ce que vous ayez au moins une application Yahoo sur votre téléphone, telle que Yahoo Mail. Lorsque vous essayez de vous connecter, vous devez lancer l'application, puis Yahoo Account Key lui enverra une notification directement. Vous appuyez sur un bouton pour confirmer qu'il s'agit bien de vous, et c'est tout : aucun code ni mot de passe à saisir.
Si vous n'avez pas d'application Yahoo sur votre appareil mobile, Yahoo peut vous envoyer un SMS ou un e-mail avec un code MFA. Lorsque/si vous activez la clé de compte Yahoo, Yahoo désactive la vérification en deux étapes, et vice versa, car la clé de compte doit être désactivée pour permettre la vérification en deux étapes.
Après avoir configuré l'un des éléments ci-dessus, la liste Sécurité du compte affiche une autre option : Générer un mot de passe d'application . Lorsque vous serez prêt à accéder aux services Yahoo sur des appareils sans assistance directe, vous irez ici pour créer le nouveau mot de passe unique qui permettra l'accès.
Tous les sites avec MFA
La liste ci-dessus couvre les plus grandes entreprises technologiques et certaines qui ont un accès important à vos données. Mais si vous avez besoin d'une liste complète de presque tous les sites ou services qui offrent une authentification multifacteur, avec des instructions pour chacun, il y a une option : le répertoire 2FA a une excellente liste de sites qui le prennent en charge et la méthode qu'ils utilisent pour envoyer un code (ils appellent une application d'authentification un "jeton logiciel" sur le site.) Ils fournissent également des liens vers la documentation sur chaque site/service pour savoir comment configurer MFA.