Authentification à deux facteurs

Les trois facteurs habituels sont quelque chose que vous savez, quelque chose que vous possédez et quelque chose que vous êtes, et un véritable second facteur doit appartenir à une catégorie différente du premier. Les recherches de Google sur le détournement de comptes ont montré qu'une demande envoyée sur l'appareil a bloqué 99 pour cent des tentatives d'hameçonnage de masse et 90 pour cent des tentatives ciblées, tandis que les codes envoyés par texto en ont bloqué 96 et 76 pour cent. Sur une plateforme d'échange, tout cela protège le compte, jamais les bitcoins.

Comment cela fonctionne

L'authentification à deux facteurs transforme la connexion en deux affirmations indépendantes, et toute sa valeur tient à leur degré réel d'indépendance.

Les codes d'une application (TOTP). La norme est la RFC 6238, publiée en mai 2011 sur la base du schéma HOTP plus ancien de 2005. Lors de la configuration, le service vous montre un QR code contenant un secret partagé, généralement de 160 bits. À partir de là, votre téléphone et le serveur calculent tous deux un HMAC sur ce secret et le pas de temps courant de 30 secondes, le tronquent à six chiffres et les comparent. Rien ne circule sur le réseau pour produire le code, et c'est pourquoi une application résiste à un détournement de carte SIM qui ferait échouer les textos.

La conséquence que les gens oublient est que le secret peut être copié. Faites une capture d'écran du QR code de configuration et votre second facteur vit désormais partout où vos photos sont synchronisées. Stockez le secret TOTP dans la même entrée de gestionnaire de mots de passe que le mot de passe et vous avez deux codes protégés par un seul mot de passe principal, soit un seul facteur déguisé.

Les codes par texto. Le code passe par le réseau téléphonique et dépend de ce qu'un employé de l'opérateur ne soit ni trompé ni payé. La SP 800-63B du NIST classe les codes à usage unique envoyés sur le réseau téléphonique public comme authentificateur restreint, ce qui signifie que les services qui les utilisent doivent reconnaître le risque. Les codes par texto restent bien mieux que rien.

Les clés de sécurité et les clés d'accès (FIDO2, WebAuthn). Ici, l'authentificateur génère une paire de clés par site web, conserve la clé privée et signe un défi qui inclut l'origine du site. La signature est inutilisable pour tout autre domaine, donc une page de connexion imitée ne recueille rien qu'elle puisse rejouer. WebAuthn est devenue une recommandation du W3C en mars 2019 et est prise en charge par tous les grands navigateurs. Une clé d'accès est le même protocole, avec l'identifiant synchronisé entre vos appareils au lieu d'être lié à un seul matériel.

La récupération est le quatrième facteur que personne ne configure. Une clé de sécurité parfaite ne sert pas à grand-chose si le compte peut encore être réinitialisé par courriel et par texto. Les attaquants savent qu'il faut attaquer le chemin de récupération, pas la connexion.

Pourquoi cela compte quand vous achetez du bitcoin

L'authentification à deux facteurs protège un compte, et un compte est une créance sur une entreprise. Gardez cette distinction devant tout le reste de cette page.

Configurez-la dans cet ordre sur toute plateforme d'échange que vous utilisez. Choisissez un mot de passe long et unique. Enregistrez une clé de sécurité si la plateforme en prend une en charge, sinon une application d'authentification, et jamais les textos comme facteur principal. Ouvrez ensuite les paramètres de récupération du compte, qui se trouvent généralement sur une page distincte, et supprimez le numéro de téléphone comme méthode de réinitialisation. Imprimez les codes de secours sur papier et rangez-les quelque part où un incendie de votre logement ne les atteindrait pas. Enfin, ajoutez une liste blanche d'adresses de retrait pour qu'une session compromise ne puisse pas inventer une destination.

Occupez-vous ensuite de l'angle mort. Les clés API contournent entièrement la connexion, et avec elle tous les facteurs que vous venez de configurer. Un bot de trading, un suivi de portefeuille ou un outil fiscal qui a un jour demandé un accès en lecture peut détenir une clé qui n'expire jamais. Passez en revue la section API de chaque compte de plateforme d'échange que vous avez, supprimez les clés que vous ne reconnaissez pas, refusez l'autorisation de retrait sur tout, et liez les clés à une adresse IP fixe là où la plateforme le permet.

Les plateformes d'échange dont ce site publie l'avis diffèrent par ce qu'elles proposent. Kraken et Coinbase prennent en charge les clés de sécurité matérielles et les clés d'accès. Bitstamp, Binance et Bitpanda prennent en charge au minimum les applications d'authentification. River et Swan, tous deux conçus autour des achats récurrents, s'appuient sur des contrôles au niveau du compte plutôt que sur des API de trading, ce qui supprime toute une catégorie d'exposition. Aucune de ces différences ne change la fin de partie : achetez, puis retirez vers un portefeuille que vous contrôlez, où il n'y a aucune connexion à défendre.

Un portefeuille matériel n'est pas protégé par l'authentification à deux facteurs et n'en a pas besoin. Ses équivalents sont le code PIN de l'appareil, qui efface tout après un nombre fixe de tentatives erronées, et une phrase secrète facultative.

Ce que les mesures montrent réellement

Google, en collaboration avec l'université de New York et l'université de Californie à San Diego, a étudié de véritables tentatives de détournement visant des comptes Google et publié les résultats en mai 2019.

Ces chiffres se lisent comme un classement plutôt que comme des valeurs absolues. Face aux bots automatisés, toutes les méthodes testées ont bloqué 100 pour cent des tentatives. Face à l'hameçonnage de masse, une demande envoyée sur l'appareil a bloqué 99 pour cent et un code par texto 96 pour cent. Face aux attaques ciblées, où une personne s'occupe précisément de votre compte, la demande envoyée sur l'appareil a tenu à 90 pour cent et le code par texto est tombé à 76 pour cent.

Lisez ce dernier chiffre attentivement. Environ un quart des attaques déterminées ont franchi le second facteur le plus répandu au monde. La réponse de Google pour ses propres effectifs a été d'exiger des clés de sécurité physiques pour plus de 85 000 employés, après quoi l'entreprise a déclaré n'avoir constaté aucun détournement de compte confirmé par hameçonnage.

La traduction pratique pour un détenteur de bitcoin : tout second facteur vaut mieux que rien, une application vaut mieux qu'un texto, et une clé de sécurité est la seule option qui supprime la catégorie de l'hameçonnage plutôt que de la réduire.

Authentification à deux facteurs vs phrase secrète

Une phrase secrète sur un portefeuille matériel est souvent décrite comme une authentification à deux facteurs pour vos bitcoins, et l'analogie se brise d'une manière qui coûte de l'argent aux gens. L'authentification à deux facteurs est un contrôle effectué par le serveur d'une entreprise, qui peut être réinitialisé, contesté et pris en charge. Une phrase secrète BIP39 est une donnée d'entrée de la dérivation de clé elle-même : une phrase secrète différente produit un ensemble de clés complètement différent, sans aucune trace où que ce soit que l'autre ensemble existe. Personne ne peut la vérifier, personne ne peut la récupérer, et il n'y a aucun service d'assistance. Oubliez le second facteur de votre plateforme d'échange et vous déposez une demande de récupération. Oubliez votre phrase secrète et les bitcoins sont perdus définitivement, même si vous détenez encore les vingt-quatre mots de la phrase de récupération.