Comment utiliser Google Authenticator sur iPhone et iPad

Au-delà de la simple sécurisation de Twitter, voici comment vous éloigner des authentifications à deux facteurs basées sur SMS et sécuriser correctement votre vie en ligne, en utilisant Google Authenticator sur votre iPhone.

L’authentification à deux facteurs (2FA) est entrée dans l’actualité en raison d’un changement sur Twitter en difficulté. Dans le cadre d’un changement de politique en février, Twitter oblige les utilisateurs gratuits qui ne veulent pas payer l’abonnement Twitter Blue à s’éloigner du système 2FA basé sur SMS, en faveur de l’utilisation d’applications d’authentification.

Malgré la tonalité à ce sujet, les applications d’authentification sont plus sûres que l’utilisation de messages SMS. Voici ce que vous devez savoir sur 2FA et comment vous lancer sur l’une des applications d’authentification les plus populaires, Google Authenticator.

Qu’est-ce que l’authentification à deux facteurs ?

L’authentification à deux facteurs est un excellent moyen de sécuriser les comptes en ligne, car elle va au-delà du nom d’utilisateur et du mot de passe standard. Si un attaquant en ligne connaît ou peut trouver votre mot de passe, 2FA peut empêcher tout accès ultérieur à celui-ci.

Le principe de 2FA est qu’il est basé sur la confirmation de ce que vous « savez » et de ce que vous « avez ». Pensez-y comme si vous utilisiez une porte de sécurité où vous devez entrer un code dans un clavier (« savoir ») et une clé physique dans une serrure (« avoir ») pour entrer.

Alors que le mot de passe du compte est classé dans la partie « savoir », le « avoir » consiste en une forme de jeton vérifiable. Cela peut prendre la forme d’un objet physique, tel qu’une YubiKey, mais le plus souvent, il s’agit d’une application d’authentification mobile ou d’un porte-clés d’authentification.

L’application et le porte-clés sont configurés pour produire un nouveau code à plusieurs reprises après un certain laps de temps, par exemple 30 secondes. Ces codes ne sont pas aléatoires, car ils sont générés à partir d’une graine connue du service, ainsi que selon des règles prédéterminées et immuables.

En effet, le service en ligne avec lequel vous vous authentifiez saura quel était le code correct que l’authentificateur a généré en dernier, et peut donc confirmer ou infirmer le code que vous lisez et tapez dans l’écran de connexion du service.

L’utilisation d’une application pour 2FA est également un peu plus sécurisée que l’utilisation d’un porte-clés pour la génération de code, car vous devez toujours vous authentifier avec votre iPhone pour accéder à l’application en premier lieu.

Un formulaire plus simple existe également où un site Web pourrait demander à l’utilisateur de confirmer dans une application compagnon qu’il vient de se connecter. Cela fonctionne aussi, mais c’est plus rare et n’existe vraiment que pour quelques services majeurs, tels que les applications Facebook et Google.

L’écosystème d’Apple peut également fonctionner de la même manière, les autres appareils Apple d’un utilisateur demandant une confirmation et offrant des codes pour qu’un utilisateur entre manuellement dans l’appareil auquel il se connecte.

Quel est le problème avec la 2FA textuelle ?

Bien que l’authentification à deux facteurs en soi soit une bonne idée, la mise en œuvre d’un formulaire affaiblit le système.

L’utilisation de SMS ou de 2FA basé sur du texte signifie que, plutôt que d’utiliser un code généré sur une application ou un dongle physique, ce code est plutôt envoyé à votre smartphone sous forme de message texte.

À première vue, cela semble assez correct, et dans la plupart des cas, c’est le cas. Le problème est la nature du SMS lui-même.

Les codes d’accès SMS à usage unique sont envoyés en clair sur le système cellulaire de votre réseau, de sorte qu’ils sont librement lisibles et non cryptés. Évidemment, ce n’est pas idéal, mais peut fonctionner à la rigueur.

L’autre problème est qu’il repose sur l’envoi du message sur la carte SIM de votre smartphone. Comme les opérateurs peuvent être amenés par un attaquant à échanger des cartes SIM sur un système de compte, il est possible qu’un numéro de téléphone fonctionne entièrement avec une autre carte SIM, éventuellement déjà entre les mains de l’attaquant.

Dans de tels cas, un code 2FA légitime basé sur SMS pourrait être envoyé via le réseau de l’opérateur, mais être reçu par l’attaquant. S’ils connaissent également les informations d’identification de votre compte, par exemple à la suite d’une violation de données d’un service majeur, ils pourraient potentiellement se connecter à votre compte et prendre le contrôle.

Étant donné que le système SMS lui-même est le maillon faible, déplacer 2FA vers une application sur votre smartphone est une sage décision.

Premiers pas avec Google Authenticator

Google Authenticator est une application d’authentification très établie et populaire, pour plusieurs raisons. Pour commencer, il est relativement simple à utiliser, ce qui est essentiel pour encourager davantage de personnes à sécuriser leurs comptes en premier lieu.

C’est aussi d’un nom bien connu dans le monde de la technologie : Google. Indépendamment de vos sentiments sur les activités publicitaires de l’entreprise et les habitudes de collecte de données, la reconnaissance de la marque est toujours importante pour le grand public.

Cela aide également que son soutien soit assez répandu.

Ensuite, il y a la possibilité d’utiliser plusieurs appareils. Il est possible de configurer Google Authenticator sur plusieurs appareils et d’avoir des codes sur chacun d’eux fonctionnant de la même manière.

Cela n’est pas nécessairement considéré comme le plus élevé en matière de sécurité, mais étant donné que vous devez toujours vous connecter à vos téléphones et tablettes en premier lieu, c’est un compromis décent.

La prise en charge multiplateforme est liée à cela, car elle fonctionne sur les appareils iPhone, iPad et Android. Vous pouvez l’avoir sur iOS, iPadOS et Android si vous le souhaitez vraiment.

N’oubliez pas que vous n’avez pas besoin d’un compte Google pour cela. Bien que vous puissiez évidemment l’utiliser avec le système de Google – et vous devriez – vous pouvez toujours l’utiliser avec d’autres services tiers sans lier votre compte Google à l’authentificateur.

Étant donné que le système repose sur la saisie d’une clé de configuration ou la numérisation d’un code QR, il est fortement conseillé de configurer le 2FA sur un appareil différent de celui sur lequel vous configurez Google Authenticator.

De plus, bien que la manière générale d’activer 2FA sur un service soit similaire dans l’industrie, la manière réelle de le faire pour chaque application ou service variera. Ce qui suit est plus un guide général plutôt que des instructions spécifiques.

Comment configurer Google Authenticator pour iPhone et iPad

1. Téléchargez Google Authenticator depuis l’App Store sur votre appareil. C’est gratuit à télécharger.
2. Connectez-vous au service pour lequel vous souhaitez activer 2FA et essayez de le configurer. Cela pourrait être une option dans les paramètres du compte sous une section intitulée « sécurité » et une option proposant de « configurer une authentification à deux facteurs », par exemple, mais cela variera d’un service à l’autre.
3. Lorsque vous y êtes invité, vous devez choisir d’utiliser une application d’authentification. Il peut vous être recommandé d’utiliser une application d’authentification spécifique, alors vérifiez que Google Authenticator figure sur cette liste.
4. Une fois présenté avec un code QR ou une clé d’authentification, ouvrez Google Authenticator sur votre iPhone ou iPad.
5. S’il s’agit de votre premier ajout à l’application, il vous sera demandé comment vous souhaitez ajouter le code directement. Sinon, sélectionnez le symbole plus en bas à droite de l’écran.
6. Si un code QR vous est présenté sur le site ou l’application pour laquelle vous configurez 2FA, sélectionnez Scan a QR Code, puis utilisez l’appareil photo de votre appareil pour scanner le code.
7. Si une clé est proposée, entrez le nom du compte (généralement l’adresse e-mail correspondante) et la clé qui vous est fournie à l’écran. Assurez-vous de sélectionner s’il est basé sur le temps ou sur le compteur si le système de compte le conseille, sinon laissez-le sur basé sur le temps.
8. Il vous sera ensuite demandé de confirmer que le système d’authentification a fonctionné. Entrez le code à six chiffres qui apparaît sur l’écran de votre appareil dans l’application ou le service avec lequel vous configurez 2FA comme confirmation.

Une fois que vous êtes configuré, il vous sera demandé d’utiliser l’application d’authentification pour générer un code pour vous connecter aux services, chaque fois que vous vous connectez.

C’est simple, car tout ce que vous avez à faire est d’ouvrir Google Authenticator, de rechercher le service et le nom du compte qui s’y rapportent, puis de lire le code à six chiffres associé. Étant donné que le code change périodiquement, vous souhaiterez peut-être attendre que la minuterie expire et qu’un nouveau code apparaisse, afin de maximiser votre temps de saisie du code.

Si vous entrez le code dans une application sur le même appareil, appuyez sur le code pour le copier dans le presse-papiers, que vous pouvez ensuite coller dans la zone de texte de l’application pour la saisie.

Comment supprimer les listes de comptes de Google Authenticator pour iOS

1. Ouvrez l’application et appuyez sur les trois points en haut à droite.
2. Appuyez sur Modifier.
3. Appuyez sur l’icône en forme de crayon à côté du compte concerné.
4. Appuyez sur la corbeille.
5. Dans la boîte de confirmation, appuyez sur Supprimer le compte.

N’oubliez pas que la suppression d’un compte de l’application Google Authenticator n’affecte pas le statut de 2FA sur le compte lui-même. Si vous souhaitez supprimer 2FA du compte, faites-le avant de supprimer la liste Google Authenticator.

Juste le commencement…

Vous pouvez faire plus de choses avec Google Authenticator, comme le configurer pour obtenir les mêmes codes sur plusieurs appareils. Oui, vous pouvez utiliser plusieurs appareils utilisant la même application pour scanner le code QR au moment de la configuration. Cependant, vous pouvez également profiter de la fonction d’exportation pour faire la même chose pour plusieurs codes en même temps.