Pourquoi la 2FA devrait être votre habitude n°1 en matière de sécurité des e-mails

Inventée dans les années 90 (et largement attribuée à AT&T), elle n’a vraiment gagné en popularité qu’au milieu des années 2000. L’authentification à deux facteurs (ou 2FA, comme on l’appelle plus couramment) repose sur un principe si simple qu’il en est presque beau : combiner quelque chose que vous savez avec quelque chose que vous possédez.

Le problème et la solution

Le problème :

Un nom d’utilisateur et un mot de passe étaient tout ce qui se dressait entre nos données et les accès non autorisés. Nos comptes sont essentiellement une porte non surveillée, prête à être forcée 24 h/24 et 7 j/7 à notre insu. Cela n’est pas aidé par le fait que les noms d’utilisateur sont presque toujours formulaires, et que les mots de passe peuvent aussi être faciles à deviner parce que nous avons tous tendance à suivre les mêmes idées.

Par exemple, un mot unique serait difficile à deviner pour un autre être humain, mais en raison du nombre limité de mots dans la langue anglaise, il est étonnamment facile à trouver pour un ordinateur. C’est pourquoi de nombreux sites nous demandent de renforcer nos mots de passe avec des lettres et des caractères spéciaux. Mais avec des logiciels de piratage de plus en plus sophistiqués, et maintenant l’arrivée de l’IA, même cela ne suffit plus. N’oubliez pas que cette « porte » vers votre compte est repérable dans l’éther 24 h/24 et 7 j/7.

La solution :

Vérifier qu’il s’agit bien de vous qui vous connectez en utilisant quelque chose qui ne peut (logiquement) être qu’en votre possession. Cela peut être un smartphone, un compte e-mail, une clé ou même des données biométriques. Quelle que soit la méthode utilisée, la 2FA garantit que les tentatives de connexion non autorisées peuvent être bloquées, et vous pouvez prendre des mesures pour limiter d’autres violations.

Bien sûr, c’est une vérification d’identité améliorée — l’équivalent de regarder par le judas avant d’ouvrir la porte d’entrée — mais sa mise en œuvre est assez ingénieuse quand on y pense. Le niveau de sécurité et de vigilance que la 2FA ajoute à un compte l’élève au-delà de la somme de ses parties.

Alors, pourquoi a-t-elle mis si longtemps à s’imposer ? C’était probablement simplement une combinaison de l’augmentation progressive de la cybercriminalité au fil des ans, de la fréquence croissante des personnes disposant d’appareils secondaires et de la puissance de calcul accrue à la disposition des cybercriminels, qui a fait qu’elle a dû attendre son heure de gloire. Il est également possible qu’il y ait eu des inquiétudes quant à la perte de l’appareil secondaire.

Là où nous avons vu la 2FA exceller depuis des années

Les applications bancaires et financières l’utilisent déjà depuis plusieurs années. Mais si vous ne l’avez pas encore vu arriver sur vos comptes plus « quotidiens », vous le verrez probablement bientôt. Son déploiement est en cours à mesure que les technologies de piratage deviennent plus sophistiquées et que les entreprises de données ont une responsabilité croissante dans la protection de nos données.

Prenons par exemple la 2FA dans le contexte des comptes e-mail. Jusqu’à présent, vous avez peut-être considéré qu’activer la 2FA pour vos comptes e-mail était un peu fastidieux, ou excessivement prudent — mais nous allons vous convaincre pourquoi cela en vaut vraiment la peine, surtout si vous êtes en affaires.

Pourquoi ajouter la 2FA pour sécuriser votre compte e-mail ?

Eh bien, tout d’abord, une deuxième couche de protection au-delà de votre mot de passe n’est jamais vraiment une mauvaise chose. Maintenant, arrêtez-vous un instant et pensez au type de données sensibles que contient votre compte e-mail :

• Informations bancaires — le genre de données que vous protégez déjà avec la 2FA ailleurs depuis des années.

• Pièces jointes personnelles — photos, documents ou même créations dont vous souhaitez conserver la propriété intellectuelle.

• Historique d’achats — et autres données qui pourraient avoir de la valeur pour les annonceurs.

• Données médicales — dossiers de rendez-vous, médicaments ou même pathologies.

• Données immobilières — l’achat de maisons et d’autres démarches importantes se font souvent sans papier.

Et, comme nous l’avons mentionné, si vous êtes en affaires, ces données incluent presque certainement aussi celles de vos clients. Assurer la sécurité de ces données est une obligation légale dans les pays dotés de règles comme le RGPD. Sécuriser l’e-mail commence donc déjà à sembler évident, et nous n’avons même pas encore terminé !

La raison la plus cruciale de sécuriser votre e-mail est peut-être qu’il constitue une passerelle vers beaucoup de vos autres comptes. Depuis des années, c’est un moyen courant de réinitialiser des mots de passe. Il suffit à quelqu’un ayant accès à votre e-mail de lire vos messages pour comprendre sur quels sites vous avez des comptes, puis de passer par le processus de « mot de passe oublié » sur ceux-ci.

Pour presque tous les sites plus petits, le compte e-mail enregistré est tout ce qui empêche quelqu’un d’accéder à votre compte. Cela pourrait signifier que beaucoup de vos comptes sont compromis avant même que vous ne sachiez que votre compte a été piraté.

Ajoutez facilement la 2FA à votre compte

La bonne nouvelle, c’est qu’il est vraiment facile d’ajouter la 2FA à la plupart des comptes e-mail. Les comptes e-mail professionnels sont particulièrement susceptibles d’offrir cette fonctionnalité. Le processus d’activation est généralement simple et très rapide à configurer, surtout si vous utilisez déjà un authentificateur pour d’autres applications.

Nous allons prendre l’exemple de Spacemail (de Spaceship), où la 2FA peut être activée en quelques clics.

1. Connectez-vous à votre compte

2. Cliquez sur l’icône d’engrenage des paramètres en haut à droite de l’écran.

3. Cliquez sur « Launch security center » dans la deuxième case.

4. Cliquez sur TWO FACTOR AUTHENTICATION dans l’onglet.

5. Choisissez l’un des deux types de 2FA pris en charge.

N’oubliez pas de sécuriser les autres points d’entrée

Ajouter la 2FA à la connexion principale, c’est très bien, mais il y a de fortes chances que vous ayez une autre porte dérobée vers votre compte e-mail si vous l’avez connecté à une application (comme Outlook ou Gmail) sur votre téléphone.

Les protocoles utilisés pour activer cette fonctionnalité incluent IMAP, SMTP et POP3. S’ils sont activés, l’accès à votre compte pourrait être configuré via une application, contournant ainsi la 2FA que vous avez configurée. Pour garantir la sécurité, désactivez ces protocoles si possible.

Dans le cas de Spacemail, une application est actuellement en cours de développement et sa sortie est prévue plus tard cette année. Cela vous permettra d’accéder facilement à votre messagerie sur un appareil comme un smartphone, sans compromettre la sécurité.

Types de 2FA

Puisque nous parlons des « types de 2FA », examinons de plus près ce qu’ils sont et comment ils fonctionnent dans le contexte de Spacemail. D’une manière générale, il existe trois types de 2FA. Chacun utilise un élément différent pour l’authentification.

« Quelque chose que vous savez »

Cela inclut des éléments comme des codes PIN supplémentaires ou des questions de sécurité. Ce sont des informations que vous seul devriez connaître — mais qui, à bien des égards, ne sont pas si différentes d’un mot de passe. Forme plus ancienne de 2FA, elle est progressivement abandonnée au profit des méthodes ci-dessous.

Vous avez peut-être entendu il y a plusieurs années qu’il était conseillé de choisir un faux « nom de jeune fille de la mère » ou « premier animal de compagnie » pour éviter que des personnes ne devinent ou ne recherchent votre réponse.

En raison de sa relative insécurité, cette méthode n’est pas prise en charge par Spacemail.

« Quelque chose que vous êtes »

Nous l’avons déjà brièvement évoqué. Ce type de 2FA repose sur des données biométriques telles que les empreintes digitales, la reconnaissance faciale et la reconnaissance vocale. C’est utile lorsqu’un appareil secondaire n’est pas la meilleure option ; par exemple, dans de nombreux cas, nous utilisons un smartphone qui est lui-même l’appareil secondaire.

Les données biométriques permettent une validation secondaire à l’aide de soi-même. Bien que cela nécessite des capteurs supplémentaires que l’on ne trouve généralement que sur des appareils récents et sophistiqués.

« Quelque chose que vous possédez »

La plupart des systèmes de 2FA entrent dans cette catégorie, et c’est le cas des deux options que vous trouverez sur Spacemail. Elles nécessitent la possession d’un appareil ou d’un objet spécifique. Il existe plusieurs façons de mettre en œuvre cette méthode.

TOTP (mot de passe à usage unique basé sur le temps)

Un code généré par une application d’authentification permet une connexion sécurisée. Vous pouvez utiliser des applications d’authentification ou envoyer des codes à usage unique par SMS/e-mail. Dans le cas de Spaceship, le TOTP n’est autorisé que via une application d’authentification, car c’est bien plus sécurisé.

U2F (deuxième facteur universel)

L’U2F utilise la cryptographie à clé publique, ce qui le rend plus sécurisé et résistant au phishing. Il ne nécessite pas de saisir des codes manuellement. Il vous suffit d’insérer une clé matérielle (comme une YubiKey) dans votre appareil. Cela présente aussi l’avantage supplémentaire que si quelqu’un vole votre smartphone, un appareil supplémentaire (la clé) est nécessaire pour accéder aux comptes sécurisés par 2FA.

Quelle méthode choisir

L’U2F est généralement considéré comme plus sécurisé, car les appareils sont résistants aux manipulations et le processus cryptographique est lié au site web ou à l’application spécifique. Cela garantit que même si un utilisateur est trompé et visite un faux site, l’authentification échouera, car le faux site ne peut pas reproduire la connexion sécurisée requise.

Bien sûr, l’achat d’une clé U2F implique un coût, mais cela peut en valoir la peine lorsqu’il s’agit de votre sécurité.

La 2FA dans le cadre d’une hygiène de sécurité équilibrée…

L’homme ne peut pas vivre de la seule 2FA. Elle ne remplace pas de bonnes pratiques de sécurité globales. Nos comptes e-mail sont particulièrement vulnérables au phishing et aux attaques de logiciels malveillants. L’ironie, c’est que personne n’a besoin d’entrer dans votre compte pour représenter une menace de cette manière. Il suffit d’envoyer un e-mail.

C’est pourquoi les comptes qui offrent d’autres protections contre les menaces liées aux e-mails, en particulier des filtres anti-spam, constituent également un investissement judicieux. En vous empêchant même de voir les e-mails contenant des pièges d’ingénierie sociale ou des logiciels malveillants, vous ne verrez jamais le plus grand risque pour votre sécurité.Activez la 2FA sur votre compte dès aujourd’hui, et si vous constatez qu’il ne la propose pas, envisagez de passer à un compte qui la propose.