BlockPulseNews
Aussi appelé : authentification à deux facteurs
La 2FA (authentification à deux facteurs) exige une seconde preuve d'identité en plus du mot de passe, comme un code généré par une application ou une clé physique, pour protéger un compte sur une plateforme crypto.
Thème : Sécurité et arnaques
Le principe repose sur la combinaison de deux catégories de preuves : quelque chose que l'on connaît (le mot de passe) et quelque chose que l'on possède (un téléphone, une clé de sécurité). Même si un pirate obtient le mot de passe par une fuite de données ou un hameçonnage, il lui manque le second facteur pour se connecter, valider un retrait ou modifier les paramètres de sécurité du compte.
Toutes les méthodes ne se valent pas. Le code reçu par SMS est le plus fragile, car il peut être intercepté via une fraude à la carte SIM (le SIM swap, où l'escroc fait transférer le numéro sur sa propre carte). Les applications TOTP génèrent localement un code à usage unique qui change toutes les 30 secondes environ. Les clés physiques FIDO2 ou U2F vont plus loin : elles vérifient le domaine du site, ce qui les rend très résistantes aux faux sites de phishing.
Il faut noter que la 2FA protège l'accès à un compte hébergé chez un tiers (plateforme d'échange, messagerie, gestionnaire de mots de passe). Elle ne protège pas un portefeuille autocustodial, dont la sécurité dépend de la clé privée et de la phrase de récupération. Pour ces portefeuilles, la protection passe par une sauvegarde hors ligne soignée et, le cas échéant, par un hardware wallet. Il reste toutefois utile d'activer la 2FA sur l'adresse e-mail liée aux comptes crypto, car c'est souvent par elle que passe la réinitialisation d'un mot de passe.
Imaginons que Claire utilise le même mot de passe sur un forum et sur sa plateforme d'échange. Le forum est piraté et son mot de passe circule. Un attaquant tente de se connecter à son compte crypto, mais la plateforme réclame le code à six chiffres de son application d'authentification. Sans accès physique à son téléphone, la tentative échoue et Claire reçoit une alerte l'invitant à changer son mot de passe.
La 2FA par SMS reste exposée au SIM swap. Perdre son téléphone sans avoir conservé les codes de secours peut bloquer l'accès au compte pendant une longue procédure de récupération. Enfin, certains sites de phishing relaient en temps réel le code TOTP saisi par la victime : seule une clé FIDO liée au domaine neutralise ce scénario.
Les clés physiques FIDO2 ou U2F offrent la meilleure protection, notamment contre le phishing. Une application TOTP est un bon compromis. Le SMS est la solution la moins robuste.
Il faut utiliser les codes de secours fournis lors de l'activation, s'ils ont été conservés. À défaut, la plateforme lance une procédure de récupération qui passe généralement par une vérification d'identité.
Nos articles qui parlent de 2FA, les plus pertinents d'abord.