Authentification & et autres mots de passe…

ℹ️ Veuillez noter que les contenus ci-dessous peuvent être volontairement simplifiés ou vulgarisés afin qu’ils soient plus compréhensibles mais que les technologies employées sont souvent plus complexes ! L’objectif étant de comprendre, il est inutile de vous noyer dans des termes techniques dont nous n’avons pas besoin ici 😉

Principes de base

Lorsque que l’on souhaite s’authentifier auprès d’un service (sa banque, son compte retraite, sa mutuelle, un site web marchand, le site des impôts, etc.) cela se fait en 2 phases bien distinctes :

1. on dit qui on est,

2. on prouve que c’est bien nous !

Certains services nous autorisent aussi à être authentifié par ce que l’on appelle « un tiers de confiance ». Ainsi, on peut utiliser ce tiers de confiance et avec une seule et même authentification on peut se connecter sur d’autres services « partenaires ».

Dire qui on est…

Aujourd’hui cela peut prendre plusieurs formes :

- une adresse mail, c’est unique dans le monde entier,

- un numéro de téléphone, là aussi c’est unique dans le monde entier,

- un numéro de compte ou identifiant fiscal, là aussi c’est unique au sein d’une même organisation,

- un pseudonyme, unique au sein d’un même service (un forum par exemple),

etc.

Prouver qu’on est bien la bonne personne !

Authentification à un seul facteur

On saisit tout simplement un mot de passe ou un code secret pour accéder au service demandé. On part alors du principe que vous seul détenez ce mot de passe ou ce code…

Une seule « clé » permet donc d’accéder à un service, ce qui est considéré aujourd’hui comme une sécurité faible et ce qui vous oblige à ne jamais l’égarer (ne pas s’en souvenir), à ne jamais la divulguer et à la changer souvent au cas où… De plus, si la « clé » (le mot de passe) est trop simple à reproduire (le nom de votre chien suivi du code postal de votre commune comme Médor75001), on peut très facilement la trouver...

Authentification à plusieurs facteurs

1. Recevoir un code par SMS ou par mail à chaque fois que l’on veut se connecter à un service. Ce qui sous-entend que ledit service connaît au moins une de ces deux informations vous concernant et que vous seul avez accès à vos SMS ou à vos mails.

2. Recevoir une notification, sur son mobile, directement au sein d’une application dédiée et confirmer notre demande de connexion. Exemple : Vous avez installé l’application mobile de votre banque sur votre smartphone. Votre smartphone est alors considéré comme un objet unique, vous appartenant et il est référencé (numéro et modèle) par votre banque et on part du principe que vous seul y avez accès. Dans certains cas, on peut utiliser les données biométriques stockées dans votre smartphone, si vous avez activé cette méthode, et on peut alors vous demander votre empreinte digitale ou utiliser la reconnaissance faciale (reconnaissance de votre visage).

Ces méthodes d’authentification à plusieurs facteurs sont désormais plébiscitées par les services les plus sensibles.

À noter qu’il existe d’autres méthodes qui permettent de prouver que l’on est bien la bonne personne comme des méthodes basées sur des dispositifs physiques, tels une carte à puce ou une clé USB contenant des clés d’accès ou encore des méthodes basées sur l’identification de votre connexion Internet ou de vos machines habituelles (PC, Tablettes, Smartphones...).

Et alors c’est quoi FranceConnect ?

France Connect🌐, un service opéré par le gouvernement français est ce que l’on appelle un tiers de confiance. Ce service va vous permettre, grâce à une authentification unique, de vous connecter à d’autres services vous permettant ainsi d’avoir moins de mots de passe à gérer.

Exemple : Vous disposez d’une authentification pour accéder au service des impôts français, mais vous avez aussi besoin d’accéder au service de gestion des retraites ou encore à la caisse d’assurance maladie. Donc, en allant sur le site de l’Assurance Maladie vous n’allez pas directement vous authentifier auprès de ce service mais utiliser l’option (un bouton en général) « FranceConnect ». Dès lors, authentifiez-vous sur le service des impôts (puisque c’est la seule authentification que vous connaissez…) et le site des impôts vous renverra vers le site de l’assurance maladie en étant dûment authentifié !

Ce n’est pas plus compliqué que cela, c’est comme une seule clé qui ouvre plusieurs portes !

Les mots de passe

Les mots de passe ou autres codes secrets, sont des clés qui vous permettent « d’ouvrir des portes » pour accéder à un service. Pour votre carte bancaire par exemple, c’est un code à 4 chiffres… Pour votre site web marchand (site de ventes en ligne…) on vous demandera certainement un code plus complexe composé de lettres majuscules et/ou minuscules, de chiffres voire de caractères spéciaux comme le caractère & ou @. De plus, une certaine longueur (nombre de caractères composant ce code) est exigée !

Il est évident que si vous utilisez le même mot de passe pour tous les services que vous utilisez et qui nécessitent une authentification alors vous risquez d’avoir des problèmes :

- si vous égarez (oubliez) ce mot de passe, il faudra alors faire une procédure de récupération (le fameux « j’ai perdu mon mot de passe ») sur tous les services que vous utilisez et cette procédure peut être complexe en fonction du service,

- idem si vous pensez que votre mot de passe ait pu être divulgué il faudra alors le changer, par acquit de conscience, pour tous les services que vous utilisez ce qui peut être très long à faire…

⚠️Vous avez bien compris : ne posséder qu’une seule et même clé pour votre maison, votre garage, votre voiture ou vélo, votre coffre bancaire, vos moyens de paiements est un peu « suicidaire » en cas de perte ou vol !

C’est quoi un bon mot de passe ?

La logique voudrait que ce soit un mot de passe que l’on arrive à retenir… Mais comment en retenir 30 ou plus et surtout s’ils ressemblent à celui-ci : )9A-476h5rb$8-15QRe 😂

C’est donc mission impossible et ce même en les notant sur un carnet, ce qui est d’ailleurs très fortement déconseillé pour des raisons évidentes de perte ou de divulgation à des tiers dudit carnet !

Le seul moyen de s’en sortir consiste donc à utiliser un coffre-fort pour les ranger et il existe désormais des coffres-forts virtuels que l’on peut installer sur toutes ses machines (PC, Tablettes, Smartphones) pour peu qu’ils soient synchronisés et ainsi en disposer à tout moment et en tout lieu.

Résultat : avec une seule clé (un seul mot de passe), vous ouvrez votre coffre et accédez à tous vos mots de passe complexes, pour chacun des services que vous utilisez. Attention néanmoins, il ne faudra pas perdre cette clé !

Et comment fait-on pour se rappeler de cet unique mot de passe permettant d’ouvrir mon coffre ?

On va faire preuve d’un peu de bon sens afin de concocter un mot de passe « fort » que vous n’oublierez pas.

Exemple : Vous étiez fan de la série « Game Of Thrones », du Club Dorothé, vous êtes né en 1979 et, personne le sait, vous avez joué une fois au Poker dans votre vie et avez perdu 250€...

Donc un bon mot de passe pour vous serait : GoT&DoroT79Pkr250e

Vous vous en rappelez déjà n’est-ce pas 😂

Utiliser le coffre-fort intégré au navigateur Firefox

Le navigateur Firefox vous propose d’enregistrer, dans son coffre-fort intégré, vos identifiants et mots de passe au fur et à mesure que vous les utilisez en vous connectant à vos sites et services préférés sur Internet.

Mieux, lorsque vous vous enregistrez sur un nouveau site ou service, il vous propose même un mot de passe complexe, mot de passe qu’il conserva, dans son coffre et vous n’aurez même pas besoin de le mémoriser…

Ainsi, lorsque vous visitez un site qui nécessite une authentification, c’est Firefox qui va s’identifier à votre place, en pré-remplissant les champs « utilisateur » et « mot de passe ».

⚠️ Attention, si une personne malintentionnée accède à votre PC, il accède de fait aux sites et à vos identifiants. Pour éviter cela, il faut protéger l’accès au coffre-fort du navigateur par un mot de passe principal comme décrit dans cette documentation. C’est le moment d’utiliser votre super clé : GoT&DoroT79Pkr250e 😂

Logiquement, le coffre-fort intégré au navigateur est dédié à la gestion des identifiants de sites et de services Internet mais, vous pouvez le dévoyer, pour y stocker d’autres secrets comme, par exemple, le code de votre carte bancaire.

⚠️ Attention, certains sites sensibles, comme celui de votre banque par exemple, ne permettent pas l’enregistrement de votre mot de passe. Celui-là, il faudra le mémoriser…

ℹ️ Si vous utilisez le navigateur Firefox sur plusieurs machines (votre PC et votre Smartphone par exemple) vous avez la possibilité de créer un « compte Firefox » (c’est libre) afin de synchroniser vos mots de passe (et bien d’autres choses...) entre ces deux machines.

Autre alternative possible

Une autre alternative existe si vous ne souhaitez pas confier à un « tiers » la conservation de vos identifiants, mots de passe et autres secrets et ce, même si c’est très bien sécurisé.

Vous pouvez donc opter pour un coffre-fort à installer directement sur votre machine (votre PC et/ou votre tablette et smartphone). Avec Linux Mint, la logithèque vous propose l’application Keepass2 qui est une référence en la matière.

Là aussi, il est nécessaire de sécuriser l’accès à ce coffre qui contiendra tous vos « secrets ». Il est même possible d’y insérer des documents ! Une extension pour votre navigateur existe afin de pré-remplir automatiquement les identifiants et mots de passe stockés dans votre coffre-fort Keepass2.