Apres le mot de passe, une autre porte

Un mot de passe fuit par plus de canaux que la plupart des gens ne imaginent. Une seule fuite expose un mot de passe qui servait ailleurs, et une information volee ouvre alors plusieurs comptes a la fois. Une page de connexion imitee a la perfection recueille tout ce qui est tape et le transmet. Un programme malveillant pose sur une machine lit les informations au passage. Face a cela, un mot de passe seul reste une ligne mince, et il est mince depuis des annees.

La double authentification choisit un autre chemin: elle ajoute un verrou que vous portez sur vous. A la connexion il y a le mot de passe, et puis il y a un code qui nexiste que dans votre telephone et change toutes les trente secondes. Un mot de passe se copie depuis un autre pays; ce second facteur ne se prend pas sans tenir la machine en main. Celui qui possede votre mot de passe reste devant une porte qui demande un numero quil na pas.

Google Authenticator est le logiciel qui a rendu cette idee ordinaire. Il ouvre la categorie et en est le standard de fait, et il est minimal au point detre austere: une colonne de six chiffres qui defilent, rien dautre qui reclame attention. Derriere cette simplicite se trouve la couverture la plus large de tous les authentificateurs, et voila pourquoi tant de sites le nomment en premier lorsquils demandent de activer la verification.

Trois minutes pour un compte plus solide

La mise en place ne demande rien de difficile a un debutant. Ouvrez les reglages de securite de un site qui accepte les codes a usage unique, activez la double authentification, puis lisez le code a deux dimensions avec cette application. Un code apparait aussitot, saisissez le une fois et le lien est fait. Ensuite chaque connexion demande le mot de passe et le code courant, et celui qui a trouve le mot de passe ne passe toujours pas. Le tout prend le temps de une tasse de the.

Pendant des annees le point faible etait celui dont personne ne parlait: changer de telephone signifiait perdre toutes les cles, et avec elles acces a chaque compte rattache. Ce defaut est corrige. Les cles peuvent desormais etre sauvees dans espace en ligne du compte, et apres connexion sur une machine neuve un seul geste les restaure. Cette correction a transforme un outil fragile en quelque chose que on emporte sans crainte quand on change de materiel.

Cela pese plus que le mot ne le suggere, parce que le second facteur est une autre sorte de secret. Un mot de passe est quelque chose que vous savez, et ce que vous savez se partage, se devine, se fait avouer ou se lit par dessus une epaule. Un code roulant est quelque chose que vous avez, produit dans une machine qui reste avec vous, et il expire avant que une copie puisse servir. Les deux facons de echouer ne se rejoignent pas, et cest tout le propos: un attaquant doit resoudre les deux problemes en meme temps, et le second ne se multiplie pas comme le premier.

La philosophie de Google Authenticator tient en peu de mots: moins, cest plus sur. Pas de fil social, pas de notifications, rien de superflu. Pendant les trente secondes ou vous vous connectez, il tend six chiffres sans bruit puis se retire.

Le conseil qui suit est direct. Activez le dabord pour le mail, le stockage en ligne et tout ce qui touche aux paiements, car ces comptes ouvrent les autres. Gardez la capture de la cle de secours ou les codes de recuperation dans un endroit sur: si le telephone disparait, ce document est la derniere ressource. La sauvegarde en ligne est commode, et si vous voulez la posture la plus stricte vous pouvez encore la refuser et travailler hors ligne.

Il ne coute rien, il nagace personne, et il couvre les deux plateformes mobiles. Comme premier authentificateur, rien nest plus facile a recommander: trois minutes de reglage, et les comptes qui comptent le plus se retrouvent derriere un second verrou que personne dautre nouvre.

Rien de tout cela ne rend le logiciel agreable a regarder, et cest voulu. Aucun fil a faire defiler, aucun badge a effacer, aucune fonction qui invite a explorer. Il reste dans un dossier, se reveille quand une page de connexion demande six chiffres, puis se tait de nouveau. Les outils qui gardent quelque chose gagnent la confiance en etant ennuyeux, et celui ci est ennuyeux, au meilleur sens, depuis tres longtemps.